案例背景

筆記型電腦（Win2000/XP），頻繁斷網、重啟暫緩、AIM 仍通、netstat 顯示大量不明外連、未確認補丁狀態、用戶常攜帶居家辦公。

第一階段：分析研判

• 即時隔離：拔網線 → **暴力斷電**（保留記憶體/交換檔/暫存檔證據）。
• 鏡像取證：使用 EnCase/FTK Imager/WinHex/Helix Linux dd 逐位元複製硬碟至備用機，原機封存待法庭呈證。
• 鑑識分析：備用機上執行 Fport（進程-埠對應）、HijackThis（啟動項）、netstat（主動外連），鎖定惡意進程與 C&C 位址。

第二階段：立即響應 (24h 黃金窗口)

• 邊界防火牆封鎖惡意埠（如 AIM 5190、IRC 6666/6667、木馬常用埠）。
• 發送全員郵件要求關閉即時通訊軟體，隔離未受感染網段。
• 依企業「突發事件響應計畫」執行；**無計畫者：切勿恐慌關機全網**，優先斷開含敏感資料主機網路連接，保留現場供外部鑑識介入。

第三階段：恢復重建

• 補丁管理工具 + 人工驗證：全網部署防毒、反間諜、最新 Windows Update。
• 單機淨化：離線啟動 → 多引擎掃毒/反間諜/Rootkit 掃描/埠映射/應用層防火牆 → 確認乾淨。
• **全面變更密碼**（Windows、AIM、VPN、郵箱、資料庫等本地存儲憑證）。
• 重接網路前部署網路分析儀抓包/協議監控，驗證無持續惡意流量。

第四階段：長效防範

• 補丁管理系統覆蓋遠端/離線主機（VPN/離線包推送）。
• 部署內容過濾/新一代防火牆：阻斷惡意網站、垃圾郵件、埠掃描告警。
• 排程每夜/每週全盤防毒+反間諜掃描。
• 已知高風險埠（IRC、P2P 等）建立防火牆存取規則並啟用日誌告警。
• 集中式端點防護（防毒+HIPS+防火牆），強制策略下發，用戶零運維負擔。
• 用戶安全意識訓練：識別釣魚、拒絕不明軟體/媒體、遠端辦公補丁流程。
• 選型標準：除檢測率外，**必須具備自動化封鎖/隔離/修復能力**（尤其夜間爆發時）。

專家共識

「重新安裝/鏡像還原」是短期最確定止血手段；若需法律追究，嚴格遵循鑑識流程。預防投資（自動化補丁、多引擎端點、網行為分析）ROI 遠高於事後滅火成本。