Windows 8 內建強大的安全機制，善用「本地安全策略」、「Windows 防火牆」與「AppLocker」，即可在不安裝第三方安全軟體的情況下，大幅提升系統抗駭能力。本文詳細說明關鍵設定步驟。

一、開啟本地安全策略

按 Win+R 開啟「執行」對話框，輸入 secpol.msc 按 Enter。

二、阻擋暴力破解密碼：帳戶鎖定與匿名存取限制

暴力破解仰賴大量嘗試帳號密碼組合。透過限制失敗嘗試次數與封鎖匿名枚舉，可有效癱瘓此類攻擊。

1. 於左側樹狀目錄依序展開：「帳戶原則」→「帳戶鎖定原則」。
2. 設定「帳戶鎖定臨界值」為 3~5 次無效登入、「帳戶鎖定時間」為 15~30 分鐘、「重設帳戶鎖定計數器」為 15 分鐘。
3. 展開「本地原則」→「安全性選項」，找到並啟用下列項目（雙擊選「已啟用」）：
   • 網路存取：不允許 SAM 帳戶和共用的匿名枚舉
   • 網路存取：不允許匿名 SID/名稱轉換
4. 同一節點下，將下列四項的「值」全部清空（雙擊 → 刪除內容 → 確定）：
   • 網路存取：可匿名存取的共用
   • 網路存取：可遠端存取的登錄路徑
   • 網路存取：可遠端存取的登錄路徑和子路徑
   • 網路存取：可匿名存取的具名管道

三、善用 Windows 防火牆進階安全性

Windows 防火牆支援出站/入站規則、連線安全規則，功能不輸第三方產品。

進入方式

• 控制面板 → 系統及安全性 → Windows 防火牆 → 左側「進階設定」。
• 或在本地安全策略中：「Windows 防火牆及進階安全性」→ 右鍵「建立新規則」。

範例：封鎖 Photoshop 連網

1. 右鍵「輸出規則」→「新增規則」→ 規則類型選「程式」。
2. 程式路徑指向 Photoshop.exe（如 C:\Program Files\Adobe\Photoshop CS6\Photoshop.exe）。

3. 動作選「封鎖連線」。
4. 設定檔全勾選（網域、私人、公用），命名為「Block Photoshop Net」。

同樣邏輯可封鎖任意 IP、IP 區段、特定連接埠、服務名稱，甚至建立 IPsec 連線安全規則強制加密通訊。

四、AppLocker：比「軟體限制原則」更強的應用程式管制

AppLocker 可依「發行者」（數位簽章）、「路徑」、「檔案雜湊」建立規則，甚至能阻擋惡意程式改名、改路徑、加殼後執行。

1. 於本地安全策略中：「應用程式控制原則」→「AppLocker」→「可執行檔規則」→ 右鍵「建立新規則」。

2. 精靈中可指定「使用者或群組」（如僅限制 Guests）、選擇條件類型：
   • 發行者：針對簽章發布者，自動涵蓋該廠商所有版本（含更新版），極適合封鎖 QQ、迅雷、酷狗等全系列。
   • 路徑：指定資料夾或完整路徑。
   • 檔案雜湊：針對特定檔案 SHA-256 雜湊值，精準度最高。

3. 動作設為「拒絕」，完成精靈。

AppLocker 亦可搭配「軟體限制原則」（路徑規則、雜湊規則、網路區域規則）雙重防護，並可透過「全域物件存取稽核」細粒度控制登錄、檔案系統權限。

五、常見故障排除

無法開啟本地安全策略（錯誤 CLSID: {8FC0B734-A0E1-11D1-A7D3-0000F87571E3}）

1. 檢查環境變數 Path 是否包含 %SystemRoot%\system32;%SystemRoot%;%SystemRoot%\system32\wbem，缺漏請手動補上。
2. 開啟登錄編輯器，定位至 HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC，將 RestrictToPermittedSnapins 設為 0。

確保 IPsec Policy Agent 服務啟動

服務管理單元（services.msc）中找到「IPsec Policy Agent」，啟動類型設為「自動」並啟動服務。