前言

惡意軟體爆發不可完全避免，但採取主動措施可在下一次襲擊來臨時大幅減輕損害。承接上篇「感染後控制步驟」，本文聚焦預防爆發的八大關鍵策略。

一、建立事件應變計畫並存檔

參考 NIST《電腦安全事件處理指南》，至少文檔化：偵測、調查、遏制、清除、恢復 五階段標準作業程序。初期無需過度精細，但必須有書面計畫並定期演練。

二、封鎖 NetBIOS 與 MSRPC 埠口

在網路邊界與主機防火牆封鎖：
TCP：135、139、445 / UDP：135、137、445。
許多公開存取系統仍暴露此類埠口，是自動化蠕蟲掃描與利用的首選入口。

三、停用或限制 WSH 與 ActiveX

伺服器與工作站應停用 Windows Script Host (WSH) 與 ActiveX 控制項。
前提： 在生產環境完整測試業務應用，確認無相依性後再停用。

四、落實群組原則安全基線

透過群組原則或本地安全原則強化 Windows 內建防禦（如密碼策略、帳戶鎖定、審核、權限指派、安全選項）。先前發表的加固指南可作為優秀起點。

五、部署主機級防護 (HIPS/HIDS)

邊界防護不足，必須在端點部署主機入侵防禦系統 (HIPS)：
✅ 封鎖不必要的 NetBIOS/MSRPC 本地存取
✅ 防止未授權本地軟體對外通訊
✅ 瀏覽器/郵件附件下載惡意代碼攔截
Windows 防火牆在此維度效用有限。推薦：ZoneAlarm Pro、Symantec Client Security、BlackICE 等功能完整的主機級 IDS/IPS。微軟 AntiSpyware (後整合為 Windows Defender) 亦提供基礎防護。

六、啟用殺毒軟體啟發式掃描

開啟啟發式/行為分析功能，捕捉未知變種異常行為（如自我複製、修改系統關鍵區、大量網路連線）。

七、構建分層防毒體系，不打折使用殺毒軟體

• 網關/郵件伺服器/桌面三層部署殺毒引擎。
• 補充反間諜軟體措施（針對間諜軟體及變種）。
• 考慮基於異常行為攔截的專用產品（如 Finjan、Sana Security）。

八、隨時可用的網路分析儀

選定一款順手工具持續監控流量：
免費：Wireshark (原 Ethereal)。
商業有線：CommView、EtherPeek、Sniffer Portable。
商業無線：AiroPeek、AirMagnet Laptop Analyzer、Sniffer Wireless。
善用分析儀可見惡意軟體網路行為（C&C 通訊、橫向移動、數據外洩），結合郵件監控指南進一步強化可見性。

結語

「防禦深度」非口號：內建 Windows 控制 + 協力廠商 HIPS/殺毒/分析儀 + 書面應變流程 = 面對惡意軟體爆發時的最佳生存套裝。立即檢視清單，逐項落地。