系統管理員面對 500+ 種脆弱性無從下手。安全機構提煉出可立即處置的十大高危隱患及對應加固動作，覆蓋 DNS、Web、RPC、IIS、郵件、文件共享、口令、郵件協議、SNMP 核心面向。
- BIND 漏洞：默認安裝運行即成靶子。
→ 包過濾器/防火牆限制訪問；chroot 降權運行；禁用對外區域傳遞；打補丁並啟用日誌；配置拒絕不可信主機區域傳遞。
- CGI/Web 擴展漏洞：改頁面、盜信用卡、植後門。
→ 更新 ht://dig 等組件；口令存 shadow 並跑 Crack 測強度；SSH/遠程 Shell 隔離部署於無其他服務主機。
- RPC 漏洞：遠程過程調用成攻擊高速公路。
→ 禁用非必要 RPC 服務；邊界防火牆僅放行必要服務（封鎖日曆/時間等）；系統/應用及時打補丁；掃描 NFS 伺服器；強化 NFS 口令。
- IIS RDS 漏洞：IIS 易成攻擊靶心。
→ 安裝補丁/升級；修正所有已知 IIS 安全漏洞。
- Sendmail 攻擊：Unix/Linux 郵件傳輸代理，早曝漏洞且廣泛部署。
→ 升級最新版打補丁；非郵件伺服器勿以守護進程模式運行；避免郵件客戶端在 Root 空間完成核心功能。
- sadmind/mountd 緩衝區溢位：Solaris 遠程管理/NFS 掛載服務。
→ 禁用服務並打補丁；關閉/刪除直連網絡的非必要服務。
- 文件共享配置不當：暴露系統文件、給予完全訪問權。
→ Windows：按需共享，禁用「空會話」匿名枚舉，路由器/NT 封鎖 NetBIOS 會話端口（137/139/445）。
→ Mac：按需共享。
→ Unix：mount -o noexec,nosuid,nodev；Samba 禁用明文口令；評估遷移更安全共享架構。
- 弱口令/空口令：最易修復、最難落地。
→ 教育用戶/管理員；建立口令策略（長度/複雜度/週期/歷史）；定期掃描弱口令；用系統工具/擴展包強化策略執行。
- IMAP/POP 緩衝區溢位：非郵件伺服器禁用；升級最新版打補丁。
- 默認 SNMP 社區字串：
public/private 裸奔，可遠程配置/關閉設備、洩露網絡拓撲。
→ 必用則改字串；snmpwalk 驗證；MIB 設唯讀；邊界封鎖外部 SNMP 訪問；同步子代理配置；打補丁兼容性測試後上線。
嚴格落地上述清單，將大幅壓降安全事件發生率，讓團隊在相對安全環境中專注業務創新。