通過系統內建功能，無需第三方軟體即可大幅提升主機安全基線。本文整理四大維度 20+ 具體操作，適用 Windows 2000/XP/2003。
一、徹底禁用預設共享與空連接
net share 查看共享，net share admin$ /delete、c$ /delete… 刪除行政共享。- 註冊表
HKLM\SYSTEM\CurrentControlSet\Control\LSA\RestrictAnonymous = 1，禁用 IPC$ 空連接。
- 新增
HKLM\System\CurrentControlSet\Services\NetBT\Parameters\SMBDeviceEnabled (DWORD=0) 關閉 445 埠。
- 網路連線 → TCP/IP 內容 → 進階 → WINS → 禁用 NetBIOS over TCP/IP (關 139 埠)。
- 關閉 3389 遠端桌面：系統屬性 → 遠端 → 取消勾選；或停用 Terminal Services 服務。
二、精簡服務：停用 23 項高危/非必要服務
控制台 → 管理工具 → 服務，將下列服務啟動類型設為「已停用」：
- Alerter、ClipBook、Distributed File System、Distributed Link Tracking Server、Human Interface Device Access、IMAPI CD-Burning、Indexing Service、Kerberos KDC、License Logging、Messenger、NetMeeting Remote Desktop Sharing、Network DDE、Network DDE DSDM、Print Spooler (無印表機)、Remote Desktop Help Session Manager、Remote Registry (關鍵)、Routing and Remote Access、Server、Special Administration Console Helper、TCP/IP NetBIOS Helper、Telnet、Terminal Services、Windows Image Acquisition。
三、本地安全策略強化
密碼策略
- 密碼必須符合複雜性：啟用
- 最小長度：10 字元
- 最長使用期限：42 天
- 最短使用期限：0 天
- 強制密碼歷史：0
- 可還原加密儲存密碼：禁用
稽核策略 (成功/失敗均記錄)
- 稽核策略變更、登入事件、目錄服務存取、特權使用、系統事件、帳號登入、帳號管理 → 成功、失敗
- 物件存取、程序追蹤 → 僅失敗
事件檢視器 → 應用程式/安全性日誌 → 最大 512MB、不覆寫。
安全選項精選
- 網路存取：不允許 SAM 匿名列舉 → 啟用
- 網路存取：可匿名共享/命名管道/遠端註冊表路徑/子路徑 → 全部清空
- 網路存取：限制匿名存取命名管道和共享 → 啟用
- 重命名 Guest/Administrator 為中文名
四、防止註冊表被修改 + 封鎖高危端口
- 停用 Remote Registry 服務 (同上)。
- 關閉 TCP 139/445/593/1025/2513/2745/3127/6129/3389、UDP 123/137/138/445/1900。
- 裝置管理員 → 顯示隱藏裝置 → 非 Plug and Play → 禁用 NetBIOS over TCP/IP。
- 停用 Windows Time (關 UDP 123)、SSDP Discovery Service (關 UDP 1900)。
- 其他端口用 IP 安全策略 (IPSec) 封鎖：本地安全策略 → IP 安全策略 → 建立規則封鎖特定埠。
最後防線
做完上述仍需安裝殺毒軟體與防火牆，纏深度防御。木馬手法層出不窮，基線加固+主動防護雙管齊下。