作者基於 Windows XP SP2 + 寬帶路由器雙機環境，構建「不依賴常駐殺毒、極致精簡、可驗證」的個人安全體系。核心理念：**寧可不跑殺毒即時防護，也不浪費系統資源**；以「縮小攻擊面、提高攻擊成本、縮短發現時間、具備恢復能力」四維防禦。
第一層：主動縮小攻擊面（配置階段一次設定，長期受益）
1. 網路層：路由器/防火牆封鎖高危埠
- 路由器 ACL / Windows 防火牆進階規則：封鎖 135/137/138/139/445 (SMB/NetBIOS)、1433/1434 (SQL)、3389 (RDP)、5900 (VNC)、6667 (IRC)、3127/3128/8080/10080/2745 等常見木馬/蠕蟲埠。
- 僅開放必要埠（80/443/53/25/110/995/587 等），出站預設允許、入站預設拒絕。
2. 登機檔關鍵鍵值權限鎖定（防篡改）
方法：`regedit` → 定位鍵值 → 右鍵「權限」→ 添加 `Everyone` → 僅允許「讀取」→ 「進階」→ 編輯 `Everyone` → 勾選拒絕：「設定值」、「建立子項」、「建立連結」、「刪除」、「寫入 DAC」、「寫入擁有者」。需臨時修改時再勾回「完全控制」。
必鎖清單：
- 啟動項（10 大區域）： `HKLM/HKCU\...\Run`、`RunOnce`、`RunServices`、`RunServicesOnce`、`Winlogon\Userinit/Shell`、`HKCU\...\Windows\Load`、`Policies\Explorer\Run`、`Terminal Server\Wds\rdpwd\StartupPrograms`。
- 映像劫持 (IFEO)： `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\` —— 防惡意 `Debugger` 劫持正規程式。
- 服務註冊： `HKLM\System\CurrentControlSet\Services\` —— 防木馬註冊偽裝服務。
- 安全模式保護： `HKLM\System\CurrentControlSet\Control\SafeBoot` —— 防病毒破壞安全模式啟動項。
3. 群組策略 (gpedit.msc) 強化
- 用戶配置 → 管理範本 → Windows 元件 → IE → **「禁用變更主頁設定」→ 已啟用**。
- 用戶配置 → 管理範本 → 系統 → **「關閉自動播放」→ 已啟用 → 「所有磁碟機」** —— 阻斷 USB `autorun.inf` 傳播鏈路。
- 電腦配置 → Windows 設定 → 安全性設定 → 本地原則 → 安全性選項 → 「網路存取：本地帳戶的共用和安全性模型」→ 「經典 - 對本地使用者進行身份驗證，不改變其原本身分」。
4. 特殊資料夾免疫（阻斷 USB/移動裝置傳播）
原理：建立同名資料夾 + `md xxx..\` 創建不可正常刪除/寫入的目錄，使病毒無法寫入 `autorun.inf`/偽裝資料夾 exe。
# 每個磁碟根目錄執行（含 U 盤/MP3/手機）：
md autorun.inf
cd autorun.inf
md protect..\
常見需免疫對象：各磁碟根目錄 `autorun.inf`、高頻病毒檔名（如 `ravmon.exe`、`sxs.exe` 等）。
5. 系統帳號與共享基線
- 禁用 Guest，Administrator 設強密碼（12+ 字元、大小寫數字符號）。
- 關閉預設共享：`net share admin$/delete /y` `ipc$/delete /y` `c$/delete /y` `d$/delete /y`...（注意：域環境/網管軟體/網管版殺毒**不可關閉**，見文章 147224）。
- 關閉遠端註冊表、遠端協助、允許空密碼登入共享。
第二層：使用習慣防線（日常操作）
- 瀏覽器策略： 主力 Firefox/Chrome/Opera（非 IE 核心），保留 IE/Edge 相容舊系統/銀行/政務站點。
- 執行未知程式前： 右鍵檢查是否有解壓選項（自解壓包） → 解壓分析內容（PE 結構、字串、簽名、VirusTotal） → 確認無惡意行為再執行。
- 不點不明連結、不開不明附件、不信任非官方下載站。
第三層：必備工具箱（按需載入，非常駐）
| 類別 | 推薦工具 | 用途 |
|---|
| 殺毒/二次掃描 | Kaspersky Free / Bitdefender Free / Windows Defender / ESET Online Scanner | 定期全盤/關鍵目錄掃描 |
| 流氓軟體/啟動項清理 | 360 安全衛士 / 火綿 / Autoruns | 啟動項/服務/排程/IE 附加元件管理 |
| 防火牆 | Windows 防火牆進階 / TinyWall / GlassWire | 出站連線監控、應用級阻斷 |
| 核心分析/手動查殺 | Process Explorer / IceSword / GMER / RootkitRevealer | 進程/執行緒/控制代碼/DLL/網路連線/登機檔深度檢視 |
| 離線急救 | WinPE 2.0+ / 矮人 DOS 工具箱 / Kaspersky Rescue Disk / ESET SysRescue | 系統損壞/Rootkit/勒索軟體離線修復 |
| 檔案管理/對比 | Total Commander / Beyond Compare / HashTab | 檔案完整性驗證、差異對比 |
第四層：手動應急響應流程（發現異常時）
- 發現異常來源： 殺毒報警、系統行為異常（CPU/網路/磁碟異常）、瀏覽器主頁被改、帳號異地登入提醒。
- 立即斷網（拔網線/關無線/防火牆封鎖所有出站）。
- 保存易失性證據： `netstat -ano > net.log`、`tasklist > task.log`、`ipconfig /all > ip.log`、匯出關鍵註冊表分支 `.reg`。
- 進程分析： Process Explorer 定位可疑進程 → 檢查簽名/路徑/命令列/父進程/載入 DLL/TCP 連線 → 標記惡意 PID。
- 終止惡意進程樹：`taskkill /f /pid /t` 或 Process Explorer Kill Tree。
- 清除持久化： 依「登機檔必鎖清單」逐項檢查刪除惡意啟動項/服務/排程/IFEO/啟動資料夾/Winlogon/系統配置檔。
- 刪除惡意檔案：安全模式 / WinPE / 可開機 USB 環境下刪除（避免檔案鎖定/自我防護）。
- 修復系統損壞： `sfc /scannow`、`DISM /Online /Cleanup-Image /RestoreHealth`、修復 IE/捷徑關聯/主頁/搜尋引擎/Hosts/防火牆規則。
- 全盤二次掃描 + 線上多引擎掃描** 確認乾淨。
- 修改所有帳號密碼、啟用 2FA、檢查郵箱轉發規則/授權應用。
- 事後複盤： 記錄入侵路徑、利用漏洞、時間線、損失評估、改進措施 → 更新防護基線。
「安全不是產品，是過程；不是買來的，是配出來的；不是裝上就忘，是持續驗證、持續改進。」