Windows XP 預設安裝為了易用性犧牲了安全性：開放匿名連線、啟用大量非必要服務、預設帳號權限過高、無密碼複雜度要求。本文提供四大系統級加固策略，構建纵深防禦體系。
法寶一：全盤採用 NTFS 檔案系統——權限控管的基石
- 必要性：FAT32 無檔案/資料夾級權限（ACL），無加密 (EFS)、無磁碟配額、無壓縮、單檔 4GB 上限。
- 執行：安裝時選擇 NTFS；已為 FAT32 可無損轉換：
convert C: /fs:ntfs（需重開機完成）。
- 分區策略：系統盤 (C:) 必須 NTFS；資料盤建議 NTFS；唯有需與 Win9x/DOS 共存的分區考慮 FAT32。
- 應用程式隔離：不要將 IIS、資料庫、網站根目錄等高風險應用置於系統分區，獨立分區限制攻擊面。
法寶二：最小服務原則——只啟用確定需要的服務
原則：最少服務 + 最小權限 = 最大安全
- 預設安裝啟用 30+ 服務，實際僅需 12-15 項核心服務。
- 參考前文「XP 精簡服務完整清單」，逐項評估業務需求停用。
- 關鍵停用清單：
Messenger（垃圾彈窗/漏洞）、RemoteRegistry（遠端改註冊表）、Telnet（明文傳輸）、SSDPSRV/upnphost（UPnP 漏洞）、Schedule（排程任務攻擊面）、WebClient（WebDAV 漏洞）。
- 使用
services.msc 或 sc config 服務名 start= disabled 批次腳本自動化部署。
法寶三：嚴格管控帳號與資源權限
內建群組權限階層
| 群組 | 權限範圍 | 建議用途 |
|---|
| Administrators | 系統完全控制 | 僅限 IT 管理員、緊急救援帳號 |
| Power Users | 修改系統設定、安裝軟體、管理本地使用者/群組、無法加入 Administrators | 高級用戶/部門資訊人員 |
| Users | 執行已驗證應用程式、建立本地群組、修改自身資料 | 標準日常使用帳號 |
| Guests | 同 Users 但限制更多（無法建立永久設定檔等） | 臨時/訪客帳號 |
權限配置實作
- 日常帳號歸屬 Users 群組，不加入 Power Users/Administrators。
- 資料夾 NTFS 權限：遵循 最小權限原則，移除 Everyone/Users 的「完全控制」，僅授予「讀取/執行」「列出資料夾內容」「讀取」。
- 共享權限設為 Everyone「讀取/變更」，細部管控交由 NTFS 權限（取較嚴格者生效）。
法寶四：使用者帳號深度強化
- 停用/重命名 Guest：控制台 → 使用者帳號 → Guest → 關閉帳號。並設定複雜密碼防止被啟用後被利用。
- 清理冗餘帳號：刪除測試帳號、共用帳號、離職人員帳號、重複帳號。
- 雙管理員帳號策略：
Admin_Daily：Power Users 權限，處理郵件、文書、一般管理。
Admin_Root：Administrators 權限，僅在安裝驅動、修改系統設定、應用修補程式時使用（RunAs 或切換使用者）。
- 重命名 Administrator：
本地安全性原則 → 本地原則 → 安全性選項 →「帳號：重新命名系統管理員帳號」→ 改為無規則名稱（如 SysAdmin_2024）。
並啟用「帳號：重新命名來賓帳號」→ 改為 Guest_Disabled。
- 隱藏上次登入使用者名稱：
註冊表：HKLM\Software\Microsoft\Windows\CurrentVersion\Winlogon\DontDisplayLastUserName = 1（DWORD）。
登入畫面不再顯示上次登入帳號，增加暴力破解難度。
- 密碼原則強制 (gpedit.msc)：
密碼必須符合複雜性要求：啟用
密碼最小長度：≥ 8
密碼最長使用期限：90 天
密碼最短使用期限：1 天（防止立即改回舊密碼）
強制密碼歷史記錄：記住 5 次密碼
- 帳號鎖定原則：
帳號鎖定閾值：5 次錯誤嘗試
鎖定時間：30 分鐘
重設鎖定計數器：30 分鐘
驗證加固成效
- 掃描工具：MBSA (Microsoft Baseline Security Analyzer)、Nessus、OpenVAS 掃描本機漏洞。
- 檢查項目：開放連接埠 (netstat -an)、啟用服務、共用資料夾、帳號密碼原則、註冊表關鍵值、補丁安裝狀態。
- 目標：零高危漏洞、零中危漏洞、開放埠口僅限業務必要（如 3389 遠端桌面僅限管理 IP）。
結語
Windows XP 安全加固非一次性動作，而是「最小安裝 → 服務精簡 → NTFS 權限 → 帳號強化 → 持續修補 → 定期稽核」的生命週期管理。即使微軟終止官方支援，經過四大法寶加固的 XP 系統，在隔離網路/虛擬機/專用設備等受控環境中，仍可相對安全地延續服役。