Windows 仍是主流作業系統，亦是攻擊主要目標。落實以下 13 項措施，可大幅提升系統安全基線。

1. 雙重防護：安裝防火牆 + 防毒軟體（含反惡意碼、反勒索、行為分析），並啟用自動更新。
2. Administrator 帳號安全化：重命名、設定高複雜度密碼、停用帳號、建立同名偽裝帳號誘捕攻擊者，日常使用標準使用者權限。
3. 全盤關閉 AutoRun： gpedit.msc → 使用者設定 → 管理範本 → 系統 → 關閉自動播放 → 已啟用 → 所有磁碟機；並停用 Shell Hardware Detection 服務。
4. 不雙擊開啟可移動磁碟：改用總管樹狀目錄瀏覽，先掃毒再存取。U 盤病毒清除：刪除 autorun.inf 及其指向的執行檔。
5. 定期檢查啟動項： msconfig / Autoruns (Sysinternals) / regedit 檢查 Run/RunOnce 等機碼，異常項目上網查證再處理。
6. 重要資料定期離線備份：3-2-1 原則（3 份副本、2 種媒體、1 份異地），月度完整備份 + 日增量備份，定期演練還原。
7. 善用系統映像備份： Windows 備份 / Macrium Reflect / Veeam Agent 建立系統映像，遇重大故障/勒索軟體可整機還原（注意：還原會回滾至備份時間點）。
8. 敏感檔案加密：使用 BitLocker (磁碟)、VeraCrypt (容器)、EFS (單一檔案) 或 7-Zip AES-256 加密壓縮。單純隱藏屬性無安全性。
9. 善用瀏覽器安全功能：啟用 SmartScreen / 安全瀏覽、封鎖彈出視窗、限制網站權限、使用 uBlock Origin 等廣告攔截減少惡意廣告風險。
10. 改用現代瀏覽器：Edge/Chrome/Firefox 更新頻率高、沙箱機制完善、擴充生態豐富，較 IE 更安全。
11. 強式密碼策略：長度 ≥12、大小寫數字符號混合、不使用個資/字典字、每組帳號唯一密碼、配合密碼管理器 (Bitwarden, 1Password, KeePass)。
12. 啟用核心隔離與記憶體完整性：Win10/11 核心隔離 → 記憶體完整性、VBS、HVCI，阻擋核心層級惡意碼。
13. 應用程式控制：家庭版可用「受控制的資料夾存取」；企業版部署 AppLocker/WDAC 白名單，僅允許簽章信任程式執行。

進階補強

• 關閉非必要服務 (Remote Registry, Print Spooler, SMBv1, LLMNR, NetBIOS over TCP/IP)。
• 強化 RDP：僅允許 VPN/跳板機存取、強制 NLA、更改預設埠、帳號鎖定策略。
• 部署 Sysmon + Windows Event Forwarding 集中日誌分析。
• 定期進行弱點掃描與滲透測試。

安全非產品購買清單，而是持續的流程管理。將這 13 項措施納入基線檢核表，每月自查、每季稽核，配合自動化合規工具 (OpenSCAP, PowerShell DSC)，才能維持持久防護態勢。