XP 安全硬化：八招構建纵深防禦

Windows XP 雖已停止支援，但其安全架構設計仍具教學價值。本文解析八項核心策略，從服務精簡到加密與防火牆，構建多層防護體系。

1. 精簡服務：縮減攻擊面

控制台 → 管理工具 → 服務。停用非必要服務（如 Telnet、Messenger、Remote Registry），啟動類型設為「手動」或「停用」。原則：不用的不開、能手動的不自動。

2. 電源保護：防止意外斷電損毀資料

控制台 → 電源選項 → 進階 → 「按下電源鈕時」選「休眠」或「詢問我該怎麼做」。避免誤觸電源鈕導致資料遺失或檔案系統損壞。

3. EFS 檔案加密：保護機密資料

僅限 NTFS 分割區與 Professional 版。資源管理器 → 右鍵檔案/資料夾 → 內容 → 進階 → 勾選「加密內容以保護資料」。加密後呈現綠色字體，僅持有憑證的使用者可存取。

4. 一鍵鎖定電腦：離席不關機

桌面右鍵 → 新增 → 捷徑 → 輸入 rundll32.exe user32.dll,LockWorkStation → 命名「鎖定電腦」。雙擊即鎖定，需密碼解鎖，比關機重開機快速且安全。

5. 啟用 ICF（網際網路連線防火牆）

網路連線 → 右鍵撥號連線 → 內容 → 進階 → 勾選「網際網路連線防火牆」→ 設定自訂規則。提供基本封包過濾，阻擋未授權連入。

6. 強化帳號原則

執行 secpol.msc → 帳號原則 → 密碼原則：設定最小長度、複雜度、最長使用天數；鎖定原則：設定錯誤嘗試次數與鎖定時間，防暴力破解。

7. 稽核原則：留蹤跡

本機原則 → 稽核原則 → 啟用「稽核登入事件」（成功/失敗）、「稽核物件存取」。搭配事件檢視器追蹤異常活動。

8. 限制使用者權限：最小權限原則

日常使用標準使用者帳號，僅在需安裝軟體或系統設定時切換至管理員。可透過「執行身分」或快速使用者切換實現。

進階建議

• 安裝第三方防火牆（如 ZoneAlarm、Comodo）替代 ICF
• 使用 SRP（軟體限制原則）僅允許白名單程式執行
• 定期掃描開機項目與排程工作，清除惡意軟體持久化機制