電腦常被攻擊，非駭客技術高超，而是我們自己開滿大門。每個開放埠口都是潛在入口。TCP/IP 協定 0-65535 埠，預設大量開放。普通用戶僅需極少數埠口，其餘全關，等於為駭客焊死大門。

查看目前開放埠口

`cmd` → `netstat -an` → 大量 `LISTENING`/`ESTABLISHED` 埠口，風險可想而知。

Windows TCP/IP 篩選設定步驟 (XP/2003/2000)

1. 桌面右鍵「網上鄰居」→「內容」 → 右鍵「區域連線」/「撥號連線」→「內容」。
2. 雙擊「Internet 協定 (TCP/IP)」→「進階」→「選項」標籤。
3. 選取「TCP/IP 篩選」→「內容」→ 勾選「啟用 TCP/IP 篩選」。
4. TCP 埠口、UDP 埠口、IP 協議 **全部設為「僅允許」**。
5. 點「新增」逐一加入**必須**的埠口：
   - TCP 80 (HTTP 網頁)
   - TCP 443 (HTTPS)
   - UDP 4000 (QQ 舊版) / TCP 8000 (新版 QQ)
   - TCP 21 (FTP)、TCP 25/110/143/993/995 (郵件)
   - TCP 3389 (遠端桌面，若需)
   - 其他業務必要埠口
6. 確定套用，重開機生效。

效果驗證

再次 `netstat -an`，只剩剛加入的埠口處於 `LISTENING`，其餘全消失。駭客掃描無開放埠口，無法建立連線，入侵大門徹底關閉。

現代系統 (Vista/Win7/10/11) 建議

• 改用 **Windows 防火牆進階安全性 (WFAS)**：新增「輸入規則」→ 連接埠 → TCP/特定本機埠 → 允許連線 → 設定檔 (域/專用/公用) → 命名。預設封鎖所有輸入，僅放行白名單埠口，管理更彈性、支援群組原則部署。
• 搭配 **應用程式規則** (允許特定程式如 `chrome.exe`、`outlook.exe` 輸出)，比單純埠口控制更精準。

最小權限原則應用於網路埠口，是主機防禦最高性價比的基線動作。