一、計算機基礎配置硬化

1. 關閉「檔案和印表機共享」：網路連線屬性取消勾選；註冊表 NoFileSharingControl=1 禁止用戶更改。
2. 停用 Guest 帳號、重命名 Administrator：本地用戶和群組 → Guest 停用；Administrator 改名 + 建立同名誘餌帳號。
3. 禁止空連線：HKLM\SYSTEM\CurrentControlSet\Control\LSA\RestrictAnonymous=1 (或 2)。

二、隱藏 IP 位址

使用代理伺服器 (HTTP/SOCKS) 或 VPN 隱藏真實公網 IP。原理：客戶端 → 代理 → 目標，目標僅見代理 IP。
注意：免費代理多不可信 (記錄流量、注入廣告/惡意碼)，企業應自建或採購可信代理/VPN 服務；配合瀏覽器策略強制走代理 (PAC/WPAD)。

三、關閉不必要的埠口

• 安裝埠口監控工具 (Netstat、TCPView、PortReporter、現代 EDR 內建)。
• 識別業務必要埠 (如 80/443/3306/1433/22/3389 僅限內網/堡壘機)，其餘全部關閉 (防火牆規則/停用服務)。
• 定期掃描 (Nmap/Masscan) 驗證暴露面。

四、重構管理員帳戶體系

1. 真 Administrator：強複雜密碼 (≥20 字元)、重命名、僅緊急使用、MFA、審計日誌。
2. 偽 Administrator：同名標準用戶，誘捕暴力破解/枚舉。
3. 日常管理：專用域帳號、委派最小權限 (RBAC)、Privileged Access Management (PAM) / Just-In-Time (JIT) 提權。

五、補丁與漏洞管理

• 訂閱廠商安全公告 (Microsoft Patch Tuesday、Linux 發行版安全公告、第三方軟體)。
• 建立資產台帳 (CMDB) 關聯 CVE，風險評分 (CVSS + 資產價值 + 威脅情報)。
• 測試環境驗證 → 分階段推送 (金絲雀 → 灰度 → 全量) → 修補後掃描驗證。
• 緊急漏洞 (如 Log4Shell、ProxyLogon) 48 小時內完成緩解 (WAF 規則/禁用功能/微補丁) 與修補。

六、防火牆與網路邊界防護

• 主機防火牆：預設拒絕入站、最小化出站 (僅允許更新/授權/監控)。
• 網路邊界：新一代防火牆 (NGFW) + IPS + 應用識別 (App-ID) + SSL 檢測 + 沙箱分析 (APT 防護)。
• 微隔離：NSX / Calico / Cilium 實現工作負載級東西向流量控制。

七、惡意代碼防護

• 端點防護平台 (EPP/EDR/XDR)：下一代防毒 (行為/機器學習/雲端查證) + EDR 可見度 + 自動化響應 (隔離、終結、回滾)。
• 應用白名單 (AppLocker/WDAC) 阻止未簽名/未授權程式執行。
• 禁用宏/腳本自動執行 (Office 宏、PowerShell 腳本、WSH、HTA)，簽名驗證強制。

八、資料保護與備份

• 靜態加密：BitLocker (Windows)、LUKS (Linux)、資料庫 TDE、檔案級 EFS/IPSEC。
• 傳輸加密：TLS 1.2+ 全站、SMB 簽名/加密、IPsec VPN。
• 備份 3-2-1 原則：3 份副本、2 種介質、1 份異地離線/不可變 (Object Lock/WORM)。定期恢復演練。
• DLP/IRM：敏感資料標記、防外洩、動態撤銷存取。

九、安全意識與應急預案

• 全員定期安全意識訓練：釣魚演練、密碼衛生、社交工程識別、事件報告流程。
• 建立 CSIRT、預案 (針對勒索軟體、資料外洩、DDoS、供應鏈攻擊)、桌面推演 (Tabletop Exercise) 季度演練。
• 網路保險風險轉移。

結語

九大策略構成「縱深防禦」基石：主機硬化、網路邊界、身分存取、漏洞管理、惡意代碼防護、資料保護、備份恢復、意識培訓、應急響應。缺一不可，持續改進。