前言：漏洞頻出，安全在於防範
Word 零時差漏洞、PDF 後門、Flash 拒絕服務……面對層出不窮的漏洞，網管若無系統性防禦策略，單一主機失守即可能導致全網淪陷。本文整理十四大核心策略，無需昂貴設備，僅靠基本檢查與管理即能發揮高效防護。
十四大安全策略
- 拒絕未經驗證軟體：掌握系統運行程式清單，不知底細無法防護。
- 非管理員嚴禁以系統管理員/Root 權限登入：最小權限原則。
- 保護郵件系統：HTML 轉純文字、預設封鎖附件副檔名（僅放行必要類型）。
- 強化密碼政策：一般用戶 ≥10 字元，管理員 ≥15 字元；啟用帳戶鎖定（哪怕 1 分鐘）；Windows 禁用 LM Hash，Linux 用 MD5/bcrypt/yescrypt。
- 預設拒絕與最小權限：基於規則的安全，IT 團隊按職責分組而非單一「IT 安全組」。
- 定義與強化安全域：誰需存取什麼？何種通訊合法？建立基線、記錄異常流量。
- 加密所有機密資料：特別是筆電與儲存裝置，無藉口偷懶（參考 AT&T、美國退伍軍人部、美國銀行資料外洩慘痛教訓）。
- 修補管理常態化：OS 與所有程式（Flash、RealPlayer、Acrobat 等）及時更新。
- 閘道與主機雙重部署防毒/反垃圾/反間諜套件。
- 資安資訊模糊化：重命名管理員帳號、避免伺服器命名洩露角色（FS1、Exchange1）、關鍵服務改非預設埠（SSH→30456、RDP→30389、HTTP→30080）。
- 掃描並調查未知 TCP/UDP 監聽埠。
- 記錄並公開用戶上網區域與時間：實時線上報告，促使用者自我管理（副作用：生產力常大幅提升）。
- 自動化安全策略：非自動化即失衡。
- 全員資安教育與獎懲機制：習慣變化與結構化管理，違規必究。
總結
以上建議非盡善盡美（物理安全等另需考量），但已是絕佳起點。一次專注完成一項，跳過暫時無法執行者，集中資源落實可行項目。真正需要昂貴 IDS 時再採購——但請先做好基礎工夫。