不論 Windows、Linux、macOS、BSD，遵循以下四大原則即可大幅提升系統安全基線。

1. 強密碼與認證強化

• 密碼長度 ≥ 12 字元（建議 16+），混合四類字元；使用密碼管理器生成/儲存唯一密碼。
• 啟用多因子認證（MFA）：SSH 金鑰、Windows Hello、智慧卡、OTP（TOTP/WebAuthn）。
• 禁用/重命名預設管理帳號；實施最小權限原則，日常使用標準用戶。

2. 邊界與網路層防護

• 部署邊界防火牆/路由器：封鎖非業務必要入站埠，啟用 SPI/IDS/IPS 功能。
• 單機亦需啟用主機防火牆：Windows Defender Firewall、iptables/nftables、pf，設定「預設拒絕入站、允許出站」。
• 網段隔離：DMZ、伺服器區、辦公區、IoT 區採用 VLAN + ACL/防火牆區域隔離。
• 代理伺服器/安全 Web 閘道：URL 過濾、惡意碼掃描、DLP、SSL 檢測。

3. 及時修補與版本管理

• 建立修補管理流程：資產清單 → 漏洞掃描 → 風險評分（CVSS） → 測試 → 部署 → 驗證。
• 關鍵補丁（如 PrintNightmare、Log4Shell、ProxyShell）應在 24-72 小時內完成部署。
• 防毒/EDR 特徵碼與引擎自動更新（至少每日），啟用雲端查證。
• 淘汰 EOL 作業系統與軟體（Win 7、Server 2008、CentOS 6、Python 2 等）。

4. 關閉非必要服務與功能（減少攻擊面）

• 定期審核監聽埠（netstat -an / ss -lntup），關閉無業務正當性的服務。
• 常見高風險服務：Telnet、FTP、TFTP、RPC、SMBv1、WebDAV、遠端登錄、印表機後台列印（Print Spooler）。
• Windows：停用「遠端登錄」、「SSDP Discovery」、「UPnP Device Host」、「Browser」、「Remote Registry」。
• Linux：systemctl disable/stop 不需單元；最小化安裝，移除無用套件。

額外加分項

• 啟用磁碟加密（BitLocker、LUKS、FileVault）。
• 應用程式白名單（AppLocker、WDAC、SELinux/AppArmor）。
• 定期離線備份並驗證可還原（3-2-1 原則）。
• 安全啟動 + UEFI + TPM 2.0，防範 Bootkit/Rootkit。