前言：網路時代的生存法則

駭客工具門檻極低、自動化攻擊腳本滿天飛、供應鏈攻擊/零日漏洞/社交工程學層出不窮。**「我不重要、不會被盯上」是最大的幻覺。** 建立纵深防禦體系，從帳號、瀏覽器、通訊軟體、路由器、系統、網路邊界多層面著手，才能大幅降低風險。

鐵律一：帳號與密碼 — 第一道防線

• 長度 ≥ 12 字元，包含大小寫、數字、符號 (如 Tr0ub4dor&3Xpl0it!)。
• 每個服務唯一密碼，杜絕撞庫攻擊。善用 密碼管理器 (Bitwarden, 1Password, KeePass, Apple/Google/Chrome 內建) 產生、儲存、自動填入。
• 啟用多因子認證 (MFA/2FA)：優先 **TOTP 應用程式 (Authenticator/Google Authenticator/Microsoft Authenticator)** 或 **硬體安全金鑰 (YubiKey, Titan, Feitian)**，**避免簡訊/語音 OTP** (SIM 卡交換攻擊風險)。
• 定期檢視有無洩露：Have I Been Pwned、密碼管理器內建洩露監控、Google/Chrome/Microsoft Edge 密碼檢查。
• 不在瀏覽器/系統記住敏感帳密 (銀行、郵件、主密碼庫)，改用密碼管理器。
• 帳號復原選項：設定備用信箱、電話、復原碼，並保管妥當。

鐵律二：瀏覽器與網頁安全 — 主戰場

• 保持瀏覽器最新：Chrome/Edge/Firefox/Safari 自動更新，修補 0-day 漏洞。
• 啟用「增強型安全瀏覽」/「安全瀏覽」：即時比對惡意網址/下載/擴充功能。
• 嚴格管理擴充功能：僅安裝必要、信任、開源、近期更新的擴充功能。定期審核權限 (存取所有網站資料/讀取瀏覽記錄等)。
• Cookie 與追蹤防護：啟用「封鎖第三方 Cookie」、「防止跨站追蹤」(ITP/ETP/Strict Tracking Prevention)。定期清除 Cookie/快取/站台資料。
• HTTPS 強制：安裝 HTTPS Everywhere (現多內建) 或瀏覽器設定「永遠使用安全連線」。
• 下載檔案掃描：瀏覽器下載前/後自動送防毒掃描，或手動上傳 VirusTotal。
• 公開電腦/他人裝置：使用**隱私/無痕模式**，離開前**清除瀏覽資料 (含 Cookie、快取、表單、密碼)**，關閉所有分頁並登出所有帳號。

鐵律三：電子郵件與通訊軟體 — 社交工程主攻擊面

• 零信任態度對待郵件：不輕信寄件者顯示名稱，**驗證真實寄件郵件位址 (From: 欄位)、檢視郵件原始標頭 (SPF/DKIM/DMARC 驗證結果)**。
• 不點擊可疑連結、不開啟未預期附件 (.exe, .scr, .zip, .iso, .lnk, .pdf, .docm, .xlsm 等)。附件先存檔 → VirusTotal 掃描 → 再開啟。
• 警惕商務郵件詐騙 (BEC)：主管/財務/HR 偽裝要求匯款/購買禮品卡/提供帳密。**建立多層驗證流程 (電話回撥/內部系統核准/雙人授權)**。
• 使用數位簽章 (S/MIME) 與加密 (PGP/GPG) 保護敏感郵件機密性與完整性。
• 即時通訊軟體 (LINE/WeChat/Telegram/Signal/Discord/Slack/Teams)：
  • 啟用雙因子認證、鎖定應用 (指紋/Face ID/密碼)。
  • 隱私設定：限制陌生人加好友/進群、隱藏電話/ID/相簿存取。
  • 開啟端對端加密 (E2EE) (Signal/Telegram 秘密聊天/WhatsApp/iMessage/Threema/Element)，敏感對話勿用無加密平台。
  • 不掃描不明 QR Code、不點擊不明連結、不安裝不明第三方外掛/主題/機器人。

鐵律四：無線路由器與家庭網路 — 邊界防線

• 修改預設管理帳密 (admin/admin → 強密碼)，關閉遠端管理 (WAN 存取管理介面)。
• Wi-Fi 加密：WPA3-Personal (SAE) 或 WPA2-PSK (AES)，密碼 12+ 字元複雜度。**禁用 WPS、WEP、TKIP**。
• 隱藏 SSID (選擇性)、啟用 **PMF (802.11w)**、關閉 UPnP (或僅開啟必要埠)。
• 訪客網路隔離：給訪客/IoT 裝置獨立 SSID/VLAN，無法存取主網路裝置/NAS/管理介面。
• 防火牆規則：預設拒絕 WAN 入站、啟用 SPI/DoS 防護、封鎖已知惡意 IP 列表 (威脅情報餵養)。
• 定期更新韌體** (每月檢查)，修補 KRACK、FragAttacks、DNS 重綁、RCE 等漏洞。
• DNS 安全：路由器/客戶端使用 **DoH/DoT** (Cloudflare 1.1.1.1, Google 8.8.8.8, Quad9 9.9.9.9, NextDNS, AdGuard DNS) 防劫持、過濾惡意/廣告/追蹤域名。

鐵律五：防惡意軟體與勒索軟體 — 纵深偵測與備份

• 新一代端點防護 (NGAV/EDR/XDR)：行為分析、機器學習、威脅情報、自動回應 (隔離/回滾/殺毒)。Windows Defender (Microsoft Defender for Endpoint) + 定期掃描 + 雲端保護 + 受控資料夾存取 (防勒索) 已足夠多數個人/中小企業。
• 應用程式白名單/控制：AppLocker / WDAC (Windows Defender Application Control) / macOS Gatekeeper + Notarization，僅允許簽署/受信任程式執行。
• 最小權限原則：日常使用**標準使用者帳號**，僅在必要時 UAC/sudo 提權。禁用/重命名 Administrator/root 帳號。
• 3-2-1 備份鐵律：**3 份副本、2 種不同媒體 (本地+離線/雲端)、1 份異地/離線/不可變 (Immutable/Object Lock)**。定期演練還原。Veeam, Duplicati, Restic, Rclone, Time Machine, Windows 備份, Synology Hyper Backup 等工具。
• 巨集/腳本/解譯器限制：Office 禁用巨集/受保護檢視、PowerShell 限制執行原則、Windows Script Host 禁用 .vbs/.js 執行。

鐵律六：系統與軟體修補 — 縮小攻擊面

• 啟用自動更新：Windows Update、macOS Software Update、Linux 套件管理器 (dnf/apt/pacman/zypper) 自動/定時更新。
• 驅動程式/韌體更新：顯示卡、晶片組、BIOS/UEFI、SSD 韌體、外設韌體。
• 移除不需軟體/功能：未用的伺服器角色 (IIS/SMBv1/FTP/Telnet)、舊版 Java/Flash/ActiveX、體積大/風險高的體驗計畫/遙測。
• 啟用安全開機 / 核心 DMA 保護 / VBS (虛擬化基礎安全性) / HVCI (超visor 保護代碼完整性) (Windows 10/11 Pro/Enterprise + 相容硬體)。

鐵律七：網路防火牆與流量監控 — 看得見才能管得到

• 主機防火牆：Windows Defender 防火牆/iptables/nftables/pf/Windows Filtering Platform — **預設拒絕入站、按需放行出站**、記錄被拒連線。
• 網路層防火牆/UTM/下一代防火牆：應用識別、IPS/IDS、SSL/TLS 檢測 (解密檢查)、沙箱、威脅情報、地理 IP 封鎖。
• 流量可視化與異常偵測：Zeek (Bro), Suricata, Wireshark, ntopng, Darktrace, Elastic SIEM, Splunk。建立基線，偵測 C2 通訊、資料外洩、掃描/暴力破解、異常埠/協定。
• DNS 防火牆/過濾：RPZ (Response Policy Zone)、Pi-hole/AdGuard Home/NextDNS 封鎖惡意/廣告/追蹤域名，記錄查詢日誌供稽核。

鐵律八：實體安全與社交工程 — 最後一公里

• 螢幕鎖定自動啟動** (離開座位 Win+L / Ctrl+Cmd+Q)，強制密碼喚醒。
• 硬碟全盤加密**：BitLocker (Windows Pro/Ent)、FileVault (macOS)、LUKS (Linux)、VeraCrypt (跨平台) — 防實體竊取資料。
• USB/周邊介面管制**：GPO/MDM 禁用 USB 大容量儲存/非授權裝置、BIOS/UEFI 密碼保護開機順序。
• 銷毀/淨化儲存媒體**：NIST 800-88 標準擦除/物理銷毀 (碎紙機/消磁/鑽孔)。
• 社交工程免疫**：定期演練釣魚郵件/語音/簡訊/實體尾隨，建立「零信任驗證」文化 — **不輕信、要核實、有流程、敢拒絕**。

總結：安全是過程，而非產品

沒有絕對安全，只有**持續降低風險、縮短偵測時間、限制損害範圍、加速恢復**。將上述 8 大鐵律內化為習慣、自動化為流程、制度化為政策、文化化為共識。從今天開始：換掉弱密碼、開啟 MFA、更新系統、備份資料、檢查路由器設定 — — 每一步都讓您更安全。