ADSL 長駐帶來的風險放大

永久在線 = 7×24 小時暴露於掃描/暴力破解/嗅探/自動化蠕蟲傳播。攻擊者可耐心進行：
① TCP/IP 協議堆疊指紋識別 OS (ISN 採樣、FIN 探測、BOGUS Flag、初始視窗大小) — 工具 **Nmap (-O/-sS)**。
② 發現開放埠/服務版本 → 匹配公開 Exploit。
③ 利用 **IPC$ 空連線** (匿名列舉帳號/共享/原則/密碼策略) → 爆破弱口令 → net use \\target\ipc$ "pwd" /u:admin 建立會話 → 上傳木馬/執行命令/橫向移動。

四步驟基線硬化 (Windows 2000/XP/2003 經典環境，現代 OS 同理)

1. 禁用 Guest、重命名 Administrator、強制複雜密碼、啟用帳號鎖定 (5 次/30 分鐘)。
   lusrmgr.msc / secpol.msc → Account Policies。
2. 停用所有預設隱藏共享：
   net share 查看 → net share C$ /delete 等逐一刪除，或 reg add HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters /v AutoShareServer /t REG_DWORD /d 0 /f (需重啟 Server 服務)。
   **注意**：管理共享 (C$, ADMIN$, IPC$) 刪除後可能影響遠端管理/備份軟體，評估後再行。
3. 關閉非必要服務並封鎖埠口：Server、Computer Browser、Remote Registry、Messenger、Telnet、TFTP、SNMP、IIS (非 Web 伺服器) — 設置為「已停用/手動」，主機防火牆封鎖 135/139/445/1433/3389 等高危埠入站。
4. 自我掃描驗證：本機執行 nmap -sS -O localhost、nmap -sU --top-ports 100 localhost，確認僅業務必要埠開放；定期對全網段執行授權掃描，建立資產基線。

進階：IPC$ 深度防禦

• reg add HKLM\SYSTEM\CurrentControlSet\Control\LSA /v RestrictAnonymous /t REG_DWORD /d 1 /f (限制匿名枚舉)。
• reg add HKLM\SYSTEM\CurrentControlSet\Control\LSA /v RestrictAnonymousSam /t REG_DWORD /d 1 /f (限制 SAM 遠端讀取)。
• 群組原則：Network access: Do not allow anonymous enumeration of SAM accounts and shares → Enabled。
• 啟用 **SMB 簽名強制** (EnableSecuritySignature = 1, RequireSecuritySignature = 1) 防中間人竄改。

核心觀念：ADSL 安全 = **主機基線硬化 + 網路層存取控制 + 持續掃描驗證 + 事件應變預案**，而非單一產品即可包辦。