資安無絕對，但提高攻擊成本、降低攻擊面是必修課。本文針對 Windows 主機，說明三項最高 CP 值的基礎防護動作：關閉非必要埠口、重命名/偽裝 Administrator、徹底封鎖 Guest 帳號。
一、 關閉不必要的連接埠：縮減攻擊面
原則：業務不需要的埠口一律關閉，無論防火牆規則或停用服務。
| 埠口 | 服務 | 建議動作 |
|---|
| TCP 80/443 | HTTP/HTTPS | 非 Web 伺服器關閉；Web 伺服器限制來源 IP + WAF |
| TCP 135/139/445/593 | RPC/NetBIOS/SMB | 內網僅限管理區段存取，邊界封鎖，啟用 SMB 簽署/加密 |
| TCP 1025/1026/1027... | RPC 動態埠 | 限制動態埠範圍 `netsh int ipv4 set dynamicport tcp start=49152 num=16384`，邊界封鎖 |
| TCP 2745/3127/6129/3389 | 木馬後門/遠端桌面 | 3389 僅允許堡壘機/VPN 來源 IP，或改用 RD Gateway/Just-In-Time VM Access |
| UDP 135/137/138/445 | NetBIOS/SMB | 同 TCP，邊界封鎖，內網僅限必要區段 |
工具：Windows 防火牆進階安全性 (WFAS) / `netsh advfirewall` / 群組原則 / 硬體防火牆 / 微隔離方案 (Illumio, Guardicore, Cisco ACI, NSX)。
二、 重命名/偽裝 Administrator：讓駭客找不到真正的鑰匙
- 重命名內建 Administrator：`lusrmgr.msc` / 群組原則「電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項 → 帳號: 重新命名系統管理員帳號」 → 設為無規律名稱 (如 `SvcAdmin_2024`)。
- 設定超強密碼：≥ 20 字元、大小寫數字符號、存入 PAM/密碼管理器。
- 建立蜜罐 Administrator：新增帳號名稱為 `Administrator`，不加入 Administrators 群組、設極長亂碼密碼、啟用「帳號已停用」或「智慧卡登入」。
- 啟用稽核：稽核「帳號登入失敗 (4625)」、「特權使用 (4672)」，SIEM 告警蜜罐帳號被嘗試登入。
⚠️ 注意：SID (S-1-5-500) 不變，部分工具仍可識別真身。配合「拒絕從網路存取此電腦」指派給蜜罐帳號，增加迷惑度。
三、 徹底封鎖 Guest 帳號：關上便利之門
- 停用 Guest：`lusrmgr.msc` → Guest → 勾選「帳號已停用」。
- 群組原則強制：「電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項 → 網路存取: 區域帳號的共用與安全性模型」設為「僅經典 - 對本地使用者進行驗證，不改變其身分」或「來賓 - 對本地使用者進行驗證，其身分為來賓」(視需求)。
- 若業務必須啟用 (極少見)：
- 設強密碼、設定到期日。
- NTFS 權限：僅授權特定資料夾「讀取/列出資料夾內容」，移除「寫入/修改/完全控制」。
- 防火牆封鎖 Guest 發起任何出站連線。
- 稽核 Guest 所有登入/存取事件。
四、 延伸：基線自動化與持續合規
- 將上述設定封裝為 Security Baseline (GPO/Intune/SCCM/Ansible/PowerShell DSC)，新機部署自動套用。
- 定期 (每週/每月) 掃描偏差：`secedit /export /cfg baseline.inf` 比對、`PowerShell DSC Test-DscConfiguration`、合規儀表板。
- 納入弱點掃描 (Nessus/OpenVAS/Qualys) 驗證埠口關閉、帳號設定生效。
結語
「關埠、改名、封 Guest」三動作，成本為零、風險大降。配合基線自動化部署、持續合規稽核、SIEM 關聯告警，才能將「一次設定」轉化為「永續防護」。資安基本功，練得越紮實，駭客攻擊成本越高。