資安不一定要燒錢。Gartner 指出：80% 的資安事件源於基本衛生未做好。本文精選十四條「零授權費、低複雜度、高覆蓋率」的安全策略，網管可即刻落地、持續運營，構建扎實基本功。
- 嚴禁未授權軟體運行：建立軟體白名單 (AppLocker/WDAC/Intune)，未簽名/未授權/非業務軟體一律阻擋。知曉每台主機運行什麼、為什麼運行。
- 非管理員不得以系統管理員/Root 身分登入：日常操作使用標準用戶，UAC 設為最高級、管理員帳號棧出/棧入 (LAPS/PAM)，原則上不登入桌面。
- 郵件安全硬化：HTML 轉純文字、封鎖高風險附件類型 (`.exe,.scr,.bat,.cmd,.vbs,.js,.jar,.msi,.ps1,.lnk,.iso,.img,.vhd`)、啟用 DMARC/DKIM/SPF 拒絕策略、沙箱動態分析、URL 重寫點擊時防護。
- 密碼策略現代化：
- 一般用戶 ≥ 12 字元、管理員 ≥ 16 字元、服務帳號 ≥ 32 字元 (機器產生)。
- 檢查洩露密碼清單 (HaveIBeenPwned API)、禁用常見弱密碼字典。
- 帳號鎖定：5 次失敗鎖定 15 分鐘、智慧鎖定 (風險基礎)。
- Windows：禁用 LM Hash (`NoLMHash`)、啟用 NTLMv2 僅接受 (`LmCompatibilityLevel=5`)。
- Linux：`yescrypt`/`bcrypt`/`scrypt`/`PBKDF2` (SHA-512) `/etc/login.defs`、`/etc/pam.d/` 配置。
- 最小權限 + 基於規則的存取控制 (RuBAC/ABAC)：一個 IT 規則一個群組，而非單一「IT 安全群組」。資料存取、系統指令、網路連線、雲端 API 均按「業務必要」授權，定期審查 (Access Review/認證)。
- 定義並強化安全域/區域：誰需要存取什麼？何種通訊合法？繪製資料流圖 (DFD)、威脅建模 (STRIDE) → 設計邊界防火牆/微隔離/零信任分段。建立流量基線，異常即告警。
- 全盤加密機密資料，特別是可攜式設備：BitLocker (Windows)、FileVault (macOS)、LUKS (Linux)、VeraCrypt (跨平台)、Sed/Opal 自加密硬碟、USB 加密隨身碟 (FIPS 140-2 Level 3)。無加密 = 裸奔，遺失即洩漏。
- 作業系統與所有軟體補丁管理自動化：WSUS/SCCM/Intune/Jamf/Ansible/ActionsRunner 推送、Ring 部署 (Canary → Pilot → Broad)、關鍵漏洞 (KEV 目錄) 48 小時內修補、第三方軟體 (Flash 已死、Chrome/Edge/Firefox/Office/Adobe/7-Zip/驅動程式) 同步納管。
- 邊界與端點部署多引擎反惡意代碼：郵件閘道/網頁 Proxy/防火牆/端點 EDR/XDR 多層掃描，威脅情報餵養 (商業/開源/自產)、沙箱動態分析、行為偵測 (MITRE ATT&CK 映射)。
- 安全資訊模糊化/去標識化：
- 重命名 Administrator/root、預設共享 (C$ → `Data_Share_01`)、服務帳號 (避免 `svc_sql`、`backup_admin`)。
- 伺服器命名不洩露角色 (避免 `DC01`、`EXCH01`、`SQL-PROD`)，改用代號 ( `TPE-AP-001` )。
- 內部服務遷移非預設埠 (SSH 22→2222, RDP 3389→33389, HTTP 80→8080, HTTPS 443→8443)，配合 Port Knocking/Single Packet Authorization (SPA)。
- 持續掃描未知 TCP/UDP 監聽埠：`nmap -sS -sU -p- -T4 ` / `masscan` / `Nessus` / `OpenVAS` / 被動資產發現 (Armis, Claroty, Forescout) → 調查未授權服務 (影子 IT、惡意後門、誤配置)。
- 網路使用行為透明化與自我管理：Proxy/防火牆/NDR 記錄使用者/部門/應用/流量/風險分數 → 即時儀表板對全員公開 (匿名化/部門級) → 同儕壓力 + 自我約束 → 生產力提升 (副作用：減少閒置流量 30%+)。
- 安全策略自動化即程式碼：Terraform/Ansible/Pulumi/CFN 管理防火牆規則、IAM 政策、群組原則、Intune 設定檔、K8s NetworkPolicy/PSP。GitOps 流程：PR → 自動測試 → 審核 → 合併 → 自動部署。手動配置 = 配置漂移 = 風險。
- 全員資安教育 + 策略程序化 + 違規懲戒機制：
- 入職訓練 + 月度微學習 + 季度釣魚演練 + 年度紅藍軍。
- 政策文件版本控管、異動審核、例外申請流程、定期審視廢止。
- 違規分級：輕微 (提醒/再教育) → 中度 (書面警告/扣績效) → 重大 (停權/調職/解雇/法律追究)。
- 高層帶頭遵守、公開簽署資安承諾書。
執行建議：小步快跑、持續迭代
- 選一項最痛/最易落地的項目 (如 #4 密碼策略、#8 補丁自動化、#11 埠口掃描) 完成閉環。
- 建立度量指標 (KPI/KRI) 追蹤效果。
- 每季複盤、調整、擴展下一項。
- 跳過暫時無法完成的 (預算/人力/業務阻力)，集中資源攻克可行項目。
- 基礎做扎實後，再評估是否需要昂貴的 SIEM/SOAR/EDR/XDR/威脅情報平台。
結語
「基本功不扎實，買再貴的設備也是擺設。」十四條策略，條條直擊痛點、零授權費。網管的價值不在於會配置多少昂貴設備，而在於能不能把這些「大家都知道卻沒人做好」的基本功，做到極致、做成文化、做成肌肉記憶。從今天開始，選一條，做到位。