殭屍網路是大量受感染電腦組成的機器人軍團，受攻擊者控制發動 DDoS、垃圾郵件、挖礦、竊密。企業與個人皆需部署纵深防禦，六把利劍層層設防。

利劍一：部署 Web 過濾服務（首道防線）

• 功能：即時掃描 URL/IP/域名信譽，阻擋惡意下載、C&C 連線、釣魚網站、Drive-by Download。
• 代表產品：Cisco Umbrella (OpenDNS)、Zscaler、WebTitan、Forcepoint、FortiGuard、Cloudflare Gateway。
• 部署：DNS 層面（修改 DNS 為服務商 IP）、Proxy 層面、防火牆/UTM 整合、端點代理。
• 優勢：不依賴特徵碼，行為/信譽/機器學習判斷，可阻擋零時差威脅。

利劍二：瀏覽器標準化與多樣化（降低攻擊面）

• 統一企業標準瀏覽器（Edge/Chrome/Firefox ESR），統一策略管控（群組原則/Intune/Chrome Enterprise Policies）。
• 禁用/移除 IE、舊版 Edge、非必要瀏覽器。
• 考慮部署瀏覽器隔離（Remote Browser Isolation, RBI）：在雲端容器渲染網頁，僅將畫面串流回端點，徹底斷開本地程式碼執行鏈。

利劍三：禁用/限制瀏覽器腳本執行（極端但有效）

• 群組原則/Intune 設定：禁止 JavaScript、VBScript、ActiveX、Java Applet、Flash（已淘汰）、Silverlight。
• 或使用 NoScript / uBlock Origin / ScriptSafe 擴充功能，預設封鎖，白名單制放行受信任站點。
• 衝擊：內部 Web 應用若大量依賴腳本會受影響，需例外清單管理。

利劍四：部署 IDS/IPS 偵測殭屍特徵流量

• 特徵： 週期性連線固定 C&C IP/域名、非標準埠口 TLS/SSL 流量激增、大量 DNS 查詢 DGA 域名、SMTP 爆發外寄郵件、SSH/Telegram/Discord API 異常流量。
• 工具： Suricata/Snort (開源)、Zeek (Bro)、Cisco Firepower、Palo Alto、FortiGate、Hillstone、Sangfor。
• 關鍵： 規則集每日更新（Emerging Threats Proofpoint、Talos、ThreatFox）、啟用 TLS 檢測（中間人解密）、整合威脅情報平台 (MISP/STIX/TAXII)。
• 避坑： 僅靠特徵碼無法偵測新變種，需結合行為分析 (UEBA/NDR) 與沙箱聯動。

利劍五：保護使用者生成內容 (UGC) 防止惡意上傳

• 企業論壇/部落格/上傳介面：僅允許純文字、圖片 (JPEG/PNG/WebP)、音訊 (MP3/AAC)、影片 (MP4/H.264)，嚴禁 HTML/JS/EXE/APK/ZIP/Office 宏/PDF (含 JS)。
• 上傳管線：病毒掃描 → 檔案型態驗證 → 內容解析 → 重新編碼/轉檔 → 重新隨機命名 → 存儲於隔離儲存桶 → CDN 分發。
• CSP (Content-Security-Policy) 標頭嚴格限制 inline script、eval、外部資源載入。

利劍六：補救工具 — 發現感染主機的急救包

• 立即隔離： 網路層面封鎖該主機對外連線（VLAN 隔離/防火牆規則/交換機 Port Shutdown）。
• 深度掃描清除：
  • Windows Defender 離線掃描 (WinRE 環境，Rootkit 也能查殺)。
  • Malwarebytes / HitmanPro / Kaspersky Virus Removal Tool / ESET Online Scanner。
  • GMER / TDSSKiller / aswMBR 專攻 Rootkit/Bootkit。
• Rootkit 級清除： Symantec/Veeam VxMS、McAfee Deep Defender、Kaspersky TDSSKiller 繞過 Windows API 直接掃描磁碟/記憶體。
• 事後： 重置帳號密碼、檢查排程任務/服務/啟動項/WMI/註冊表殘留、重新部署映像/重灌（最乾淨）。

個人用戶簡化版三步驟

1. 斷網 → 進安全模式/WinRE → Windows Defender 離線掃描 + Malwarebytes 掃描。
2. 清理啟動項、排程任務、瀏覽器擴充功能、Proxy/DNS 設定。 3. 修改所有重要帳號密碼、啟用 2FA、觀察一週無異常再接網。