XP 退役十年，堅守陣地的安全強化指南

Windows XP 釋出超過 20 年，主流支援 2009 年結束，延伸支援 2014 年終止。無官方補丁環境下，若必須繼續使用 (工控、醫療設備、舊版軟體相容)，需建立多層次補償性防護。本文更新版安全策略，整合現代威脅情境。

核心原則：假設失陷，縮減衝擊

• 無補丁 = 已知漏洞永久存在 = 必須用非補丁方式緩解
• 單一防護線會失效，需纵深防禦
• 網路隔離優於本機防護

一、服務精簡：關閉攻擊面 (更新版服務清單)

控制台 → 管理工具 → 服務 (services.msc)。建議停用/手動：

二、電源按鈕保護：防物理誤觸

控制台 → 電源選項 → 進階 → 「按下電源鈕時」→ 「休眠」或「詢問我該怎麼做」。防止長按強制關機導致檔案系統損壞。

三、EFS 加密 + 憑證備份：資料機密性

僅限 Professional + NTFS。參考 文章 130328 完整流程。重點：務必備份 .pfx 憑證至離線媒體。

四、一鍵鎖定桌面：物理安全

捷徑目標：rundll32.exe user32.dll,LockWorkStation。指定熱鍵 (如 Ctrl+Alt+L)。離席必鎖。

五、防火牆策略：雙層防護

• 主機防火牆：Windows Firewall (ICF) 基礎規則 + 第三方 (Comodo/ZoneAlarm/Outpost) 進階 HIPS、應用程式控制、沙箱
• 網路層防火牆：前端路由器/硬體防火牆封鎖所有非必要入站、限制出站目的地 (白名單)
• 連接埠封鎖：135, 137-139, 445, 593, 1025-1030, 1433, 3389, 5900 等高風險埠

六、軟體限制原則 (SRP) / AppLocker 前身：執行控制

secpol.msc → 軟體限制原則 → 新增規則：

• 預設安全性等級：「不允許」 (白名單模式)
• 路徑規則：允許 %SystemRoot%\*, %ProgramFiles%\*, C:\ApprovedApps\*
• 雜湊規則：允許特定檔案 SHA-1 雜湊 (防竄改)
• 憑證規則：允許受信任發布者簽署的程式

效果： 未授權程式 (含病毒、勒索軟體、未簽署工具) 無法執行。

七、瀏覽器隔離：最高風險入口防護

• 主力瀏覽器：Firefox 52 ESR Portable / Chrome 49 Portable / 360安全瀏覽器 XP 版
• 必要時用 IE：僅存取內部舊系統，設定「網際網路」區域安全性為「高」、停用 ActiveX/腳本
• 沙箱執行瀏覽器：Sandboxie (免費版仍可用於 XP) 隔離瀏覽器寫入
• DNS 過濾：使用 OpenDNS FamilyShield (208.67.222.123/208.67.220.123) 或 Quad9 (9.9.9.9) 阻惡意域名

八、帳號權限最小化

• 日常使用「標準使用者」 (Users 群組)
• Administrator 重命名、設強密碼、停用 (參考 文章 130348 方法二反向操作)
• Guest 帳號停用
• 建立專用服務帳號運行服務 (非 SYSTEM/Administrator)

九、補充防護工具箱

十、企業級補償性控制 (NIST 800-53 對應)

• CM-7 最小功能性：移除非必要軟體/服務/功能
• SC-7 邊界保護：網路分段、單向閘道、資料二極管
• SI-3 惡意程式碼防護：多引擎掃描、應用程式白名單、記憶體保護
• SI-4 系統監控：Sysmon + 集中日誌、異常行為警報
• AC-6 最小權限：標準使用者、SRP、UAC 替代
• MP-6 媒體清理：USB 管控、資料外洩防護 (DLP)