防毒軟體、防火牆都裝了，為何仍中招？關鍵在於「自檢」。病毒與木馬常利用 TCP 連線對外攻擊或接受外部指令，定期自檢 TCP 連線能及早發現異常、降低損害。本文分兩大面向說明自檢方法與工具。

小知識：何謂惡意 TCP 連線？

當惡意程式（病毒、木馬、駭客控制端）啟動時，會先以 TCP 三向交握建立端對端連線，再進行資料竊取、橫向移動或下載惡意載體。掌握連線狀態，即掌握主動權。

一、細心偵測：由內向外的惡意連線（主機主動對外）

情境

主機感染震盪波、衝擊波等蠕蟲，在破壞本地系統的同時，大量發起對外 TCP 連線掃描、感染其他主機。若防毒軟體暫時無法查殺，須先手動遏制擴散。

工具推薦：Tcpview（Sysinternals）

Windows 內建 netstat 為命令列介面、無法即時更新。Tcpview 提供 GUI、即時動態顯示所有進程的 TCP/UDP 連線，含程序名、PID、協定、本地/遠端 IP:Port，極利於快速分析。

操作步驟

1. 開啟 Tcpview，觀察「進程名」欄位。陌生進程且連線數極多、變化極快 → 高度疑似惡意程式。
2. 記錄該進程使用的本地埠號。
3. 右鍵該進程 →「End Process」終止連線。
4. 於防火牆建立規則封鎖該埠號，防止惡意程式重建連線。

輔助對策

安裝 Windows XP SP2 以上補丁，可將單一程序可開啟的 TCP 連線數限制在 10 個以內，有效抑制蠕蟲大量對外連線。

總結

此法可緩解內向外攻擊，但根治仍須更新防毒軟體、打系統補丁、移除惡意程式。

二、謹慎嚴查：外部發起的惡意連線（主機被動被攻擊）

情境

特定埠突然湧入大量 TCP 連線，頻寬被佔滿、服務不穩，疑似遭受 DoS/DDoS 或駭客暴力破解。

偵測重點

• 使用 netstat -an 或 Tcpview 觀察 SYN_RECEIVED、ESTABLISHED 狀態的外部連線來源 IP 與埠號。
• 單一來源 IP 大量連線 → 可能為 DoS 攻擊來源。
• 多來源分散連線同一埠 → 可能為 DDoS 或掃描行為。

應對措施

1. 防火牆/路由器層面封鎖攻擊來源 IP 或疑似埠號。
2. 啟用 SYN Cookie、限制半連線佇列長度、調整 TCP 逾時參數，緩解 SYN Flood。
3. 若為特定服務（如 Web、DB）被攻擊，考慮套用 WAF、IPS 或流量清洗服務。
4. 保留日誌（防火牆、系統、應用層）供事後鑑識與報案。

定期自檢 TCP 連線，配合防毒、防火牆、補丁管理，才能構建纵深防禦，將網路威脅降至最低。