面對層出不窮的溢出漏洞與本地提權攻擊，單靠打補丁遠遠不夠。本文分享五大最簡有效的系統加固策略，將入侵者擋在「安全門」外。

1. 自動化補丁管理：零延遲修補

• 開啟 Windows Server 自動更新，指定低峰期自動同步 Microsoft Update。
• 內網環境部署 WSUS 服務器，實現離線補丁分發。

2. 極致精簡服務：減小攻擊面

停用所有非業務必需服務（如 Web 服務器無需 MSDTC，即禁用之）。「不運行的代碼就不會被利用」是核心邏輯。

3. TCP/IP 端口與協議精準白名單

• 僅開放業務必需 TCP 端口（21/80/25/110/3389 等）。
• 高安全等級場景關閉 UDP，或用 IPSec 封鎖 UDP 對外訪問。
• 協議篩選僅允許 TCP(6)、UDP(17)、RDP(27) 等必要協議。

4. IPSec 策略雙重保險

• 封鎖高危端口對外：135/139/445/145 等。
• 強制通訊加密 + 互信 IP 白名單，杜絕反彈木馬回連。

5. 關鍵系統文件 ACL 精細管控

目標文件：cmd.exe, net.exe, net1.exe, ipconfig.exe, regedit.exe, regsvr32.exe, tftp.exe, ftp.exe 等黑客常用工具。
三種手段任選：
① 刪除/重命名（先清 %windir%\system32\dllcache 備份並停 FRS 服務）；
② 移動至受控目錄，管理員按需調用；
③ ACL 精細授權：僅授予 Administrator 訪問權，**拒絕 SYSTEM 賬號訪問**（關鍵：阻斷溢出後 SYSTEM 權限調用工具提權）。

層層設防，方能讓溢出攻擊「有洞難鑽」。