Windows XP 雖已停止支援，但仍有特定環境需維持運行。本文整理六大安全防護支柱，涵蓋常規防護、遠程服務封鎖、終端服務關閉、Messenger 服務停用、IPC$ 共享防範、Administrator 帳號管理，構建纵深防御體系。
支柱一：常規安全基線
- 安裝可靠防毒軟體，啟用即時掃描、自動更新病毒碼。
- 安裝 SP3 並套用所有安全更新（至 2014 年 4 月停止支援前的最後更新），或使用離線更新包（WSUS Offline Update）。
- 防火牆啟用「禁止 Ping」（ICMP 回應封鎖），減少被掃描發現機率。
支柱二：禁止遠端協助、封鎖閒置連接埠
- 右鍵「我的電腦」→「內容」→「遠端」→ 取消「允許從這台電腦傳送遠端協助邀請」。
- 安裝 Microsoft RPC 漏洞修補工具與 Blaster 免疫程式。
- TCP/IP 篩選：
網路連線 → 內容 → Internet 協定 (TCP/IP) → 內容 → 進階 → 選項 → TCP/IP 篩選 → 內容
→ 勾選「僅允許」→ 分別添加必要 TCP/UDP/IP 協定埠（如僅開 80,443,53），其餘全阻擋。
此為最強網路層級存取控制，無第三方防火牆也能生效。
支柱三：關閉終端服務
- 右鍵「我的電腦」→「內容」→「遠端」。
- 取消勾選「允許使用者遠端連線到這台電腦」。
終端服務預設開啟，若帳號密碼弱，攻擊者可透過 RDP (TCP 3389) 完全控制電腦。不需遠端桌面時務必關閉。
支柱四：停用 Messenger 服務
- `控制台` → `管理工具` → `服務`。
- 找到 `Messenger` → 右鍵「停止」→ 啟動類型設「停用」。
此服務允許匿名透過 `net send` 發送彈出訊息，常被廣告彈窗、惡意騷擾濫用，無實際業務需求應關閉。
支柱五：防範 IPC$ 空連線攻擊
XP 預設允許匿名連線 `IPC$` 列舉使用者帳號，配合字典攻擊破解密碼。
- 登錄編輯器：`HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA` → `RestrictAnonymous` 設 `1`（禁止空連線列舉）。
- 同路徑新增 `DWORD` 值 `RestrictAnonymousSam` 設 `1`（進一步限制 SAM 存取）。
- 伺服器版：`HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters` → 新增 `AutoShareServer` (REG_DWORD=0)。
- 工作站版：同路徑新增 `AutoShareWks` (REG_DWORD=0)，關閉預設行政共享 (C$, D$, ADMIN$, IPC$)。
支柱六：妥善管理 Administrator 帳號
- 進入安全模式（開機連按 `F8`），「控制台」→「使用者帳號」→ 為 `Administrator` 設定強密碼。
- 或建立新管理員帳號，將 `Administrator` 重命名（群組原則：`電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項 → 帳號: 重新命名系統管理員帳號`）。
- 日常使用標準使用者帳號，需提權時用「執行身分管理員」。
進階加固（可選）
- 啟用「安全性原則」→「帳號鎖定原則」：鎖定門檻 5 次、鎖定時間 30 分鐘。
- 停用不必要服務：`Remote Registry`、`SSDP Discovery`、`Universal Plug and Play`、`Telnet`、`NetMeeting Remote Desktop Sharing`。
- 使用「安全性設定與分析」匯入 `hisecws.inf` 高安全性範本。
- 部署軟體限制原則（SRP）/ AppLocker（需較新版本），僅允許簽名/白名單程式執行。
XP 已無安全更新，若必須繼續使用，請務必實施上述措施，並將該機器隔離於受管控的 VLAN、禁止直接連接外網、定期離線備份，將風險降至最低。