前言：你正身處危機四伏的網路環境

瀏覽網頁、IM 聊天、收發郵件、編輯文件、網銀理財 — 每個動作都可能遭遇：惡意網頁掛馬、IM 傳遞惡意連結、郵件釣魚附件、鍵盤側錄、螢幕監控、勒索軟體加密。本文整合系統、瀏覽器、網路、硬體、應用五大面向，構建個人級纵深防禦。

一、系統基線：保持最新、最小權限、核心防護

1. 自動更新 — 零成本最高效

Win10/11：設定 → 更新與安全性 → Windows Update → 進階選項 → 「自動下載並安裝」。企業用 WSUS/Intune 管理。修補已知漏洞 (CVE) 是阻斷 80% 以上攻擊的基石。

2. 內建防火牆 — 最低限度邊界

控制台 → Windows Defender 防火牆 → 開啟「網域/專用/公用」三網域。預設「阻擋入站、允許出站」。執行未知程式時會彈窗詢問，選「取消」即阻斷其外連。進階安全性中可建立輸出規則限制高風險程式 (如 powershell.exe, cmd.exe) 非必要不出網。

3. 反間諜軟體 — SpyBot Search & Destroy 經典實測

• 下載：safer-networking.org
• 安裝 → 選繁體中文 (五星旗) → 主介面「檢查與修復」→「檢查問題」→ 修復發現項目。
• 「免疫功能」：一鍵寫入已知惡意網站/ActiveX/追蹤器至 Hosts/登錄/IE 限制區域，預防感染。

現代替代： Malwarebytes Free、AdwCleaner、Windows Defender 完整掃描。

4. 微軟基準安全分析器 (MBSA) — 免費稽核神器

• 下載：MBSA 2.3 (支援 Win2K/XP/2003，新版 OS 改用 Microsoft Defender for Endpoint / SCM 基線)。
• 掃描項目：缺失補丁、弱密碼、多餘服務、IIS/SQL/Office 設定、共享權限、登錄弱點。
• 報告依嚴重性排序，附修正建議連結，極適合定期自檢。

5. IIS Lockdown Tool — 若必須跑 Web/FTP

執行 IISLockd.exe：移除非必要腳本映射 (HTR, IDC, HTW)、停用 WebDAV、限制 HTTP 動詞 (GET/HEAD/POST)、設定 URLScan 規則、鎖定匿名存取。原則：不跑 IIS 最安全；必須跑則鎖到最小功能集。

二、瀏覽器硬化：IE 時代的教訓與現代防護

IE 時代推薦：SpywareBlaster

• 下載：brightfort.com
• 機制：設定 ActiveX 殺傷位元 (Kill Bit) 於登錄 HKLM\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{CLSID}，徹底禁止惡意控制項載入，不消耗資源。
• 操作：更新資料庫 → 「啟用所有保護」→ 完成。

現代瀏覽器 (Edge/Chrome/Firefox) 必裝三件套

擴充套件	功能	替代
uBlock Origin	廣告/追蹤器/惡意網域/礦機攔截 (CPU/記憶體極低)	AdGuard, Ghostery
Privacy Badger	自動學習阻擋第三方追蹤器 (不依賴清單)	DuckDuckGo Privacy Essentials
HTTPS Everywhere	強制網站升級 HTTPS (EFF 出品)	瀏覽器內建「永遠使用安全連線」

瀏覽器設定：關閉第三方 Cookie、啟用「增強型拼寫檢查」關閉、關閉「預載網頁」、啟用「安全 DNS (DoH)」(Cloudflare/NextDNS/Google)。

三、ADSL/光纖 Modem/Router 安全：被忽視的邊界

• 修改預設管理密碼 (admin/admin → 複雜密碼)。
• 關閉「遠端管理」(WAN 存取管理介面) — 絕對不可對公網開放。
• 啟用 WPA3/WPA2-AES 加密，隱藏 SSID (可選)，設定 MAC 過濾 (可繞過但加阻力)。
• 關閉 WPS (PIN 碼易遭暴力破解)。
• 固件保持最新 (廠商官網下載驗證簽名後升級)。
• 啟用路由器防火牆、DoS 防護、SPI、UPnP 僅在必要啟用。

四、網銀交易：數位堡壘核心防禦區

1. 必須使用加密傳輸協定 (TLS 1.2+)

• 網址列顯示 https:// + 鎖頭圖示 (綠色/灰色)。
• 首次連線會提示安裝銀行根憑證/伺服器憑證，安裝後鎖頭閉合。
• 檢查憑證主體 (CN) 是否為銀行正式域名，簽發者為受信任 CA (GlobalSign, DigiCert, 台灣電子簽章等)。

2. 必須使用數位憑證 (客戶端憑證 / 自然人憑證 / 晶片金融卡)

• 雙因子認證 (擁有因子：憑證/Token + 知識因子：PIN/密碼) 遠強於單純密碼。
• 憑證具備：電子簽章 (不可抵賴)、加密 (機密性)、身分驗證 (確定性)。

3. 檔案型憑證保管鐵律

1. 申請時選擇「存儲於 USB Token/智慧卡/手機安全區」，勿存硬碟。
2. 若必須存硬碟：匯出 PFX 設強密碼 → 存入 VeraCrypt 加密容器 / BitLocker 加密磁碟機 / 硬體加密 USB。
3. 絕不與瀏覽器快取、下載資料夾、桌面、雲端同步資料夾同存。
4. 定期備份 PFX 至離線加密介質，並測試還原流程。

五、硬體層面安全特性：物理防護最後一哩

結語：安全是生活習慣，不是產品清單

從開啟自動更新、裝上 uBlock Origin、換掉路由器預設密碼、申請自然人憑證存入 YubiKey、買支援 OPAL SED 的 SSD、貼上攝像頭滑蓋 — 每一個微小動作，都在為你的數位堡壘加磚添瓦。沒有絕對安全，但有「比駭客更勤奮、比漏洞更快修補、比慾望更理性」的防禦者。從今天開始，做自己的首席資安官 (CISO)。

技術	原理	代表產品/規格
硬碟鎖定 (ATA Security / OPAL SED)	硬體級加密，離開主機無法讀取；支援預開機認證 (PBA)	Samsung 860/970 PRO, Intel SSD DC 系列, TCG Opal 2.0 認證磁碟
TPM 2.0 (Trusted Platform Module)	安全儲存金鑰、度量啟動完整性、支援 BitLocker、Windows Hello、Virtual Smart Card	Intel PTT, AMD fTPM, 獨立晶片 (Infineon SLB9670)
Intel vPro / AMD PRO	硬體級遠端管理 (AMT)、記憶體加密 (TME)、供應鏈完整性驗證	商用筆電/桌機 (ThinkPad X1, Dell Latitude, HP EliteBook)
生物辨識 (指紋/臨床/虹膜)	Windows Hello 生物特徵 + PIN，私鑰不出 TPM，防盜刷	內建讀取器或外接 FIDO2 金鑰 (YubiKey 5, Feitian K26)
隱私螢幕 / 摄像頭物理遮蔽	光學限制可視角度、硬體斷開攝像頭電源	3M 隱私螢幕貼, 攝像頭滑蓋, ThinkPad ThinkShutter