前言：群組原則是 Windows 安全基線的核心杠桿
適用於 Windows XP/2000/Server 2003 本地或域環境 (OU 層級)。以 Server 2003 域為例，透過組原則管理主控台 (GPMC) 或 `gpedit.msc` 編輯「預設域原則」。每項設定前請深入研究相容性，有條件請先在測試環境驗證。
核心安全配置清單
1. 密碼原則 (電腦配置 → Windows 設定 → 安全性設定 → 帳號原則 → 密碼原則)
- 強制密碼歷史記錄： ≥ 24 次
- 最大密碼期限： 90 天
- 最小密碼期限： 1 天 (防止立即改回舊密碼)
- 最小密碼長度： ≥ 12 字元
- 密碼必須符合複雜性需求： 啟用
- 使用可逆向加密儲存密碼： 禁用
2. 帳號鎖定原則 (同路徑 → 帳號鎖定原則)
- 帳號鎖定閾值： 5 次失敗
- 帳號鎖定計數器重設時間： 15 分鐘
- 帳號鎖定持續時間： 15 分鐘 (或「管理員解鎖」更安全)
3. 稽核原則 (電腦配置 → Windows 設定 → 安全性設定 → 本地原則 → 稽核原則)
理想啟用「成功」與「失敗」雙向稽核，但需評估日誌量與儲存能力。建議最低啟用：
- 稽核帳號管理 (成功/失敗)
- 稽核登入事件 (失敗至少，成功視資源而定)
- 稽核原則變更 (成功/失敗)
- 稽核權限使用 (失敗)
- 稽核系統事件 (成功/失敗)
- 稽核程序追蹤 (失敗) — 監控異常進程啟動
- 稽核物件存取 (失敗) — 需在檔案/資料夾/登錄檔設定 SACL
4. 使用者權利指派 (本地原則 → 使用者權利指派) — 關鍵收緊項目
- 從網路存取此電腦： 僅授權必要使用者/群組 (移除 Everyone、Users)。
- 作為批次工作登入： 僅授權服務帳號。
- 作為服務登入： 僅授權服務帳號。
- 從遠端系統強制關機： 僅授權 Administrators (參考文章 118256)。
- 管理稽核與安全性記錄檔： 僅授權 Administrators、稽核員。
- 備份/還原檔案和目錄： 僅授權備份操作員、Administrators。
- 變更系統時間： 僅授權 Administrators、時間同步服務帳號。
- 載入及卸載裝置驅動程式： 僅授權 Administrators。
5. 安全性選項 (本地原則 → 安全性選項) — 關鍵強化
- 網路存取：禁止匿名列舉 SAM 帳號： 已啟用
- 網路存取：禁止匿名列舉 SAM 帳號和共用資料夾： 已啟用
- 網路存取：允許匿名 SID/名稱轉換： 已停用
- 互動式登入：不需要 Ctrl+Alt+Del： 已停用 (強制三鍵登入)
- 關機：允許系統在未登入的情況下關機： 已停用
- 系統物件：強制大小寫檢查 (非 Windows 子系統)： 已啟用
- 使用者帳號控制 (UAC) 相關項目 (Vista/Server 2008+)： 全部啟用，尤其是「以管理員核准模式執行所有管理員」與「提示同意提升」。
6. 事件記錄設定 (電腦配置 → Windows 設定 → 安全性設定 → 事件記錄)
- 應用程式/安全性/系統記錄：最大大小 ≥ 128 MB (視磁碟空間調大)，保留方式「依大小覆寫」或「手動清除」 (配合日誌轉存)。
- 限制非管理員存取安全性記錄。
7. 限制群組 / 受限群組
定義 Administrators、Remote Desktop Users、Power Users 等敏感群組成員名單，GPO 強制同步，防止本地擅自新增成員。
部署建議
- 使用 GPMC 集中管理、版本控制、差異比較、結果模擬 (RSOP)。
- 分階段推廣：測試組 → 試點部門 → 全域推送。
- 建立基線備份 (GPO 備份)、文檔化每項設定業務理由。
- 定期 (季度) 審核 GPO 生效狀態 (gpresult /h report.html) 與合規性。
結語
群組原則是 Windows 防線的「總開關」。密碼、鎖定、稽核、使用者權利、安全性選項、事件記錄、受限群組七大板塊逐項收緊，配合測試驗證、分階段推廣、持續審核，能從根本上封堵駭客利用預設弱配置、弱口令、過度權限、匿名列舉、遠端關機等經典攻擊路徑，構建企業級主機安全基線。