駭客工具門檻極低、攻擊手段日新月異，個人電腦防護不能僅靠「運氣好」。本文提煉六大領域、二十餘條可落地執行的安全準則，構建從帳號認證到網絡邊界的纵深防禦體系。

一、密碼安全：第一道防線

• 複雜度：≥12 字元，含大小寫、數字、特殊符號（如 K7#mP9@vL2!）
• 唯一性：每個網站/服務使用獨立密碼，嚴禁跨站複用
• 管理工具：使用 Bitwarden、1Password、KeePass 等密碼管理器生成、存儲、自動填充
• 定期輪換：核心帳號（郵箱、銀行、社交、雲存儲）每 90 天更換
• 絕不儲存於瀏覽器/文本文件/便利貼，離線備份僅限加密導出文件
• 啟用雙因子認證 (2FA/MFA)：優先選擇 TOTP（Google Authenticator/Authy）、硬體金鑰（YubiKey）、推送確認，避免簡訊驗證碼（SIM 卡劫持風險）

二、電子郵件安全：最高價值攻擊面

• 附件零信任：未預期的附件（即使來自熟人）必須經殺毒掃描 + 沙箱分析後方可開啟
• 禁用 HTML 郵件自動載入遠程圖片/腳本：防止 Web Beacon 追蹤、XSS 攻擊
• 使用獨立郵件客戶端（Thunderbird/Outlook）+ PGP/S-MIME 加密簽名
• 申請轉信信箱（如 SimpleLogin、AnonAddy）：真實郵箱不直接暴露於公開場合
• 限制郵件大小、啟用垃圾郵件/釣魚過濾、遠程預覽模式

三、瀏覽器硬化：上網的「防彈玻璃」

• 禁用自動完成/表單填充/密碼管理（IE：Internet 選項→內容→自動完成 全取消）
• 離開前強制清理：歷史、Cookie、快取、表單數據、網站權限（快捷鍵 Ctrl+Shift+Del）
• 部署 Cookie 控制擴展（uBlock Origin、Cookie AutoDelete）或個人防火牆規則
• 啟用 HTTPS-Only 模式、禁用 TLS 1.0/1.1、啟用 DNS over HTTPS (DoH)
• 公共電腦改用便攜版瀏覽器（USB 執行），用完帶走

四、即時通訊軟體防護

• 設置隱身/隱藏 IP，防止專用工具解析真實地址
• 禁用 Java/ActiveX/自動播放媒體/圖片自動下載，防「Java 炸彈」刷屏死機
• 不接收陌生人文件/鏈接，驗證身份後再通過雲盤/加密郵件傳輸
• 關閉不必要的端口映射/UPnP，減少攻擊面

五、木馬/惡意軟體免疫

• 軟體來源白名單制：僅從官網、官方應用商店、可信第三方（如 MajorGeeks、FileHippo）下載
• 執行前多引擎掃描：VirusTotal、Hybrid Analysis、本地殺毒軟體三重檢查
• 沙箱運行可疑程式：Windows Sandbox、Sandboxie、VirtualBox 快照還原
• 定期檢查啟動項、服務、計劃任務、WMI 事件訂閱（Autoruns、Process Explorer）
• 啟用 Windows Defender 應用程式與瀏覽器控制（Exploit Protection、核心隔離、受控資料夾存取）

六、系統與網絡基線加固

項目	基線配置	驗證命令/工具
補丁管理	自動更新開啟、關鍵補丁 48h 內安裝、WSUS/Intune 統管	wsusutil、PowerShell Get-HotFix
防火牆	啟用「公用」配置檔、出站規則預設阻擋、僅放行必要程式/端口	wf.msc、PowerShell Get-NetFirewallRule
文件共享	非必要不共享、必共享則啟用密碼保護共享、設置 NTFS 權限	fsmgmt.msc、icacls
遠程桌面	非管理員禁用、必須啟用則 NLA+非標準端口+IP 白名單+堡壘機	SystemPropertiesRemote.exe
服務精簡	禁用 Print Spooler、Remote Registry、WebClient 等高風險非必要服務	services.msc、sc query
應用程式白名單	AppLocker/SRP 僅允許簽名/路徑/雜湊在白名單的程式執行	secpol.msc、AppLocker CSP

應急預案：中招後的黃金 4 步驟

1. 斷網隔離：拔網線/關無線/關交換機端口，阻止數據外洩與橫向移動
2. 保留現場：不關機、不重啟、不刪除文件；使用 WinPMEM/FTK Imager 獲取記憶體映像、磁碟鏡像
3. 溯源分析：時間線重組、IOC 提取、MITRE ATT&CK 技術映射
4. 徹底清理與加固：重裝系統、恢復乾淨備份、修換所有憑證、部署加固基線、事後複盤

安全非產品，而是流程；非終點，而是旅程。將上述準則內化為日常習慣，配合定期演練與持續學習，才能在數位世界中立於不敗之地。