前言：寬帶常在線 = 24 小時暴露在掃描器槍口下

IP 地址庫讓駭客輕松鎖定目標，**默認配置往往是最大的漏洞**。以下十大鐵律覆蓋主機加固、網絡隔離、賬號管控、應用防護、應急響應，適用於 Windows 2000/XP/2003/Vista/7/8/10/11。

鐵律一：取消默認隱藏共享（C$、D$、ADMIN$、IPC$）

reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareWks /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareServer /t REG_DWORD /d 0 /f

重啟生效。原理：禁止 Server 服務啟動時自動創建管理共享，斷開駭客通過 `\\IP\C$` 空密碼嘗試的路徑。

鐵律二：禁用/限制惡意代碼執行（IE 安全區域策略）

• IE → 工具 → Internet 選項 → 安全 → **Internet 區域 → 自定義級別 →「高」**。
• 關鍵設置：**ActiveX 控件與插件** →「下載未簽名的 ActiveX」禁用、「下載已簽名的 ActiveX」提示、「運行 ActiveX 控件和插件」提示/禁用、「腳本化不安全標記的 ActiveX」禁用。
• 進階：註冊表開啟隱藏的「我的電腦」區域 (`HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0` Flags=1)，對本地 HTML/HTA 執行更嚴格限制。

鐵律三：封死 NetBIOS/SMB 等高危協議端口

1. 網絡連接 → 本地連接 → 屬性 → **協議清單僅保留 TCP/IP**，移除 NetBEUI、IPX/SPX、AppleTalk 等。
2. TCP/IP 進階 → WINS → **勾選「禁用 TCP/IP 上的 NetBIOS」**。
3. 防火牆/安全策略封鎖 **TCP 135/139/445、UDP 135/137/138/445** 入站/出站（除域環境必須域控通訊外）。

鐵律四：關閉「文件和打印機共享」並鎖定設置

1. 網絡連接屬性 → 「文件和打印機共享」→ 取消勾選兩項。
2. 註冊表鎖定：
   `reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Network" /v NoFileSharingControl /t REG_DWORD /d 1 /f`

鐵律五：禁用/重命名/強化 Administrator & Guest 帳號

• Guest：控制面板 → 用戶賬號 → 進階 → 本地用戶和組 → Guest → 屬性 → **勾選「帳戶已停用」**。必要時設置強密碼 + NTFS 權限最小化。
• Administrator：
  1. 設置 **超強密碼**（≥16 位、全字符集）。
  2. 重命名（如 `SysAdmin_2024`），隱藏真實管理員身份。
  3. 建立**誘餌帳號** `Administrator`（標準用戶權限，無密碼/弱密碼），審計其登入嘗試作為蜜罐預警。

鐵律六：禁止空會話連接

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RestrictAnonymous /t REG_DWORD /d 1 /f

防止匿名用戶枚舉用戶列表、共享列表、策略信息。

鐵律七：隱藏真實 IP，使用代理/VPN/Tor

• 原理：客戶端 → 代理服務器 → 目標服務器，目標端只見代理 IP。
• 選擇：付費高匿代理 / 企業 VPN / Tor 瀏覽器（高延遲但匿名性強）。
• 驗證：訪問 `ip138.com` / `whatismyip.com` 確認顯示為代理 IP。

鐵律八：關閉非必要服務與端口

工具：`netstat -anob` 審計監聽端口、`nmap` 自掃、`Windows Firewall with Advanced Security` / `Norton Internet Security` 配置規則。

鐵律九：部署必要安全軟體並保持啟用

• 殺毒軟體：實時防護 + 雲查殺 + 定時全盤（推薦：卡巴斯基、Bitdefender、火綜合、Windows Defender + 微點主動防御）。
• 主機防火牆/HIPS：Comodo Firewall、ZoneAlarm、360 安全衛士（兼容模式）、Windows Defender 防火牆進階規則。
• 漏洞掃描/補丁管理：WSUS/SCCM/360/火綜合漏洞修補模塊，關鍵補丁 **0-day 內修補**。

鐵律十：木馬/釣魚/社工綜合防範

1. 下載文件 → 獨立資料夾 → 多引擎掃描 (VirusTotal/火綜合/微步在線) → 再執行。
2. 檢查啟動項：`msconfig`、`Autoruns`、`任務管理器`，清理不明條目。
3. 註冊表 `Run/RunOnce/RunServices/Winlogon/Userinit/Shell` 等鍵值清理可疑值。
4. **不回覆/不點擊/不輸入** 陌生郵件/短信/即時消息中的鏈接、附件、驗證碼、賬號密碼。

總結：安全是過程，不是產品

十大鐵律 = **減少攻擊面 (1-3,8) + 提高利用門檻 (4-6) + 隱藏資產 (7) + 部署檢測響應 (9) + 培養免疫力 (10)**。
逐條落地，定期複核（建議季度），你的電腦將從「裸奔」進化為「穿著盔甲、拿著盾牌、還有偵察雷達」的硬骨頭。