XP 退役不代表裸奔：第三方防護體系建構指南

微軟 2014 年 4 月停止 XP 免費支援，無補丁環境下如何持續使用？本文整合專家建議，提供多層次防護策略，適用於必須繼續使用 XP 的特定場景（工控、舊軟體相容、嵌入式設備）。

風險評估

• 零時差漏洞：微軟不再發布安全更新，新發現漏洞永無修補
• 病毒木馬首選目標：XP 市佔率雖降但存量大，黑色產業鏈持續開發針對性攻擊
• 瀏覽器風險最高：超過 80% 感染源自瀏覽掛馬網站，利用瀏覽器/外掛漏洞

防護策略金字塔

第 1 層：強力終端防護（必要條件）

• 安裝主動防禦型防毒軟體（金山毒霸、360、卡巴斯基、ESET 等），每日自動更新病毒碼
• 啟用行為監控、雲端查殺、反勒索加密、記憶體防護等進階功能
• 安裝個人防火牆（Comodo、ZoneAlarm、Outpost），設定嚴格輸出規則，封鎖非必要外連

第 2 層：瀏覽器隔離與強化（最高優先級）

• 棄用 IE 6/7/8：不再更新，漏洞極多
• 改用支援 XP 最後版本的現代瀏覽器：
  • Firefox 52 ESR（2017 年停止支援 XP，但可用 Portable 版）
  • Chrome 49（最後支援 XP 版本）
  • Opera 36 / Maxthon 5 / 360 安全瀏覽器 XP 版
• 安裝安全擴充套件：uBlock Origin、NoScript、HTTPS Everywhere、LastPass
• 部署 Web 防護工具：金山網盾、360 網站衛士、Malwarebytes Browser Guard，即時攔截惡意網址、駭客網站、釣魚頁面

第 3 層：系統強化與攻擊面縮減

• 停用非必要服務：Server、Workstation、Computer Browser、Remote Registry、Messenger、Telnet 等
• 關閉非必要連接埠：135, 139, 445, 1433, 3389 等（防火牆/登錄表/網路介面停用 NetBIOS over TCP/IP）
• 啟用 DEP（資料執行防護）：我的電腦 → 內容 → 進階 → 效能設定 → 資料執行防護 → 「所有程式和服務，除了我選取的」
• 安裝 EMET (Enhanced Mitigation Experience Toolkit) 5.2（最後支援 XP 版本），強制啟用 ASLR、SEHOP、HeapSpray 防護等緩解技術
• 移除不需軟體：Java、Flash Player、Adobe Reader 舊版、Windows Media Player 等高風險組件

第 4 層：權限最小化與沙箱隔離

• 日常使用標準使用者帳號，UAC 替代方案：su / runas / DropMyRights
• 高風險操作（開啟不明附件、瀏覽可疑網站、執行未簽署程式）在沙箱中進行：Sandboxie、Shadow Defender、Returnil、Deep Freeze
• 關鍵資料加密：EFS、VeraCrypt、BitLocker To Go（需 Vista+ 主機掛載）

第 5 層：網路層級防護（企業/進階用戶）

• 前端部署 IPS/IDS（Snort、Suricata）、Web 應用防火牆（ModSecurity）
• 網路分段：XP 設備隔離於獨立 VLAN，僅允許必要存取（白名單 ACL）
• 禁止 XP 設備直接上網，強制透過 Proxy/VPN 出站，啟用內容過濾
• 定期掃描開機項目、排程工作、服務、登錄表 Run 鍵值，清除持久化機制

企業級建議

• 制定 XP 淘汰時間表，納入資產管理系統追蹤
• 虛擬化封裝：將 XP 環境封裝為 VM（VMware、VirtualBox、Hyper-V），快照備份、快速還原、網路隔離
• 應用程式虛擬化：App-V、ThinApp、Cameyo 將舊應用封裝於新 OS 執行
• 尋求廠商付費延長支援（Microsoft Custom Support），或第三方微補丁（0patch、ACROS Security）

給堅持使用 XP 的用戶最後建議

1. 離線使用：不連網、不插不明 USB，風險近乎為零
2. 若必須聯網，務必完成上述第 1-3 層防護
3. 重要資料異地備份（3-2-1 原則）
4. 心理準備：隨時可能中毒、資料加密勒索、系統毀損，接受重灌/還原成本