雖 XP 已停止支援，但嵌入式系統、舊設備仍在運作。若必須維持，請依此清單將風險降至最低。
一、安裝階段策略
- 離線安裝：安裝過程中勿接網路，避免安裝階段即遭入侵（預設建立無密碼 ADMIN$ 共享）。
- 全分區採用 NTFS：支援檔案/資料夾 ACL、EFS 加密、磁碟配額；FAT32 無權限控制。
- 系統與應用程式分區分離：C: 僅放 OS，D: 放應用、資料，限制攻擊者利用 Web/資料庫漏洞竄改系統檔。
- 選擇英文版：補丁釋出較中文版早 2 周以上，縮小暴露窗口。
- 自訂元件安裝：僅安裝必要服務（最小服務 = 最大安全）。
二、帳號安全策略
- 重命名 Administrator、Guest（群組原則 → 安全性選項）。
- 停用 Guest，設定強密碼。
- 移除重複/測試/共享帳號；定期稽核本地用戶清單。
- 建立標準用戶日常使用，透過 UAC/Runas 提權。
三、本地安全性原則（secpol.msc）
- 密碼原則：長度 ≥ 8、複雜度啟用、最長壽命 42 天、歷史 24 代。
- 帳號鎖定：閾值 5 次、鎖定 30 分鐘、重置計數器 30 分鐘。
- 稽核原則：登入/登出（成功/失敗）、物件存取（失敗）、程序追蹤、原則變更、特權使用。
- 使用者權利指派：拒絕從網路存取、拒絕批次作業登入、拒絕服務登入 → 指派給 Guest、非必要群組。
四、服務與註冊表精簡
- 停用：Server、Workstation（若無檔案共享）、Remote Registry、SSDP Discovery、UPnP Device Host、Telnet、ClipBook、Messenger、Error Reporting。
- 註冊表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous=1（限制匿名列舉）。
五、防火牆與防毒
- 啟用 Windows 防火牆（SP2 內建），預設阻擋所有入站；僅開放必要埠（如 3389 僅限管理 IP）。
- 安裝輕量級防毒（如 ESET NOD32、Kaspersky、Bitdefender），保持病毒碼最新。
最終建議：規劃遷移至受支援 OS（Win 10/11 LTSC、Linux LTS）。若無法立即遷移，請將 XP 系統置於隔離網段（VLAN/防火牆區域），禁止直接連通 Internet。