理解 Windows 安全機制三大支柱，建立正確防護觀念。

一、連接埠：網路通訊的大門

• 每項服務對應埠號：HTTP 80, HTTPS 443, SMTP 25, FTP 21, RDP 3389, NetBIOS 139, SMB 445...
• 原則：最小開放。僅開放業務必要埠，其餘在主機防火牆/邊界防火牆封鎖。
• 重點封鎖 139 (NetBIOS Session) 防止枚舉共享/空連線攻擊：網卡 → TCP/IP 進階 → WINS → 停用 NetBIOS over TCP/IP。

二、群組原則：集中化安全基線

• gpedit.msc (本地) / GPMC (域) 統一管控。
• 應用範例：
  • 限制使用者修改 IP/防火牆設定。
  • 強制密碼複雜度/長度/歷史。
  • 審核原則：啟用「審核物件存取」成功/失敗，事後可查安全日誌追蹤共享被存取痕跡。
• 路徑：電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 審核原則。

三、EFS (Encrypting File System) 透明加密

• 僅支援 NTFS 分區，檔案/資料夾屬性勾選「加密內容以保護資料」即啟用。
• 機制：產生 FEK (File Encryption Key) → 對稱加密檔案資料 → 用使用者公開金鑰加密 FEK 存於檔案屬性 $EFS。
  存取時：私鑰解密 FEK → FEK 解密資料，對應用程式透明。
• 風險：使用者私鑰遺失 (未備份憑證) 導致資料永不可解；系統重灌若未匯出憑證同樣無法存取舊 EFS 檔案。
• 應急保護：需快速加密敏感資料時，EFS 為最快手段 (無需第三方軟體)。

掌握三大支柱，再配合數位憑證、IPSec、AppLocker、BitLocker、Windows Defender ATP 等進階功能，可構建完整 Windows 安全防禦體系。