木馬、駭客程式透過網路/漏洞潛入，竊取資訊、建立後門、遠程控制。木馬常為先鋒，駭客端再透過木馬控制主機。本文提供**事前預防、事中偵測、事後恢復**三階段完整防護清單。

一、事前預防：九大必做項目

#	防護項目	具體作法	關鍵提醒
1	備妥啟動盤/救援碟	乾淨系統安裝後立即製作：Windows PE (Ventoy+WinPE ISO)、Linux Live USB (SystemRescue, Kali)、殺毒廠商救援碟 (Kaspersky Rescue Disk)	**寫保護** (實體鎖/唯讀開關) 防止救援碟被感染
2	備份重要資料 (3-2-1 原則)	3 份副本、2 種媒體 (本地+雲端/離線)、1 份異地離線	定期驗證可還原、加密備份檔
3	可移動媒體掃毒	插入 USB/外接硬碟**先掃毒再開啟**；關閉「自動播放」 (gpedit.msc → 電腦設定→管理範本→Windows元件→自動播放原則→關閉自動播放)	防 Autorun.inf 蠕蟲、BadUSB 攻擊
4	新軟體安裝前掃毒	下載後 → VirusTotal 多引擎掃描 / 本地殺毒右鍵掃描 → 驗證數位簽章/SHA256	供應鏈攻擊 (CCleaner, SolarWinds) 需驗證簽章
5	不隨意下載/執行網路程式	僅官網/官方商店/可信鏡像站；**拒絕「破解版/關鍵字生成器/外掛/修改器」**	免費通常意味著你是產品 (資料/算力/頻寬)
6	郵件附件「先存檔、再掃毒、後開啟」	Outlook/網頁郵件 → 下載附件 → 右鍵掃毒 → 確認無毒再開啟	釣魚郵件常偽裝發票/報表/法律文書
7	及時修補系統/軟體漏洞	開啟 Windows Update 自動更新；瀏覽器/Office/PDF 閱讀器/媒體播放器/驅動程式啟用自動更新	已知漏洞 (N-day) 是駭客最愛利用的路徑
8	安裝殺毒軟體 + 個人防火牆 + 病毒碼自動更新	Windows Defender (內建足夠) / 第三方 (Kaspersky, ESET, Bitdefender, 火綜)；防火牆預設「出站允許、入站拒絕」+ 應用規則	單一防毒引擎 + 防火牆 + 習慣 = 最強組合
9	停用 Guest 帳號、強化帳號密碼	控制台 → 管理工具 → 電腦管理 → 本地用戶和群組 → 用戶 → Guest → 內容 → 勾選「帳號已停用」；所有帳號設 ≥12 碼複雜密碼，啟用帳號鎖定原則	Guest 為駭客/木馬常見入口；弱密碼 = 敞開大門

二、事中偵測：異常行為監控

• 任務管理器/Process Explorer：CPU/記憶體/網路/磁碟 異常高佔用進程。
• Autoruns：開機啟動項、排程任務、服務、驅動、WMI、Shell 擴充 異新增項目。
• TCPView/CurrPorts：不明外連、異常監聽埠口。
• 系統/安全性事件日誌：Event ID 4624/4625 (登入)、4672 (特權登入)、4688 (進程建立)、4698/4699 (排程任務建立/刪除)、5156/5158 (防火牆允許/阻擋連線)。
• 檔案完整性監控 (FIM)：關鍵系統檔/設定檔 雜湊值異動告警。

三、事後恢復：標準化事件響應

1. 隔離：斷網、關機 (保留記憶體取證) / 切換至隔離 VLAN。
2. 鑑識：記憶體映像 (WinPMEM)、磁碟鏡像 (FTK Imager/dd)、日誌保全、惡意樣本提交分析。
3. 根除：重灌系統 (最徹底) / 手工清除 (高風險) → 修補根因漏洞。
4. 恢復：離線備份還原資料 → 驗證業務功能 → 監控回籠期 (2 週)。
5. 複盤：根因分析 (RCA)、改善措施追蹤、知識庫沉澱、全員宣導。

核心心法：**假設已失陷、持續驗證、最小權限、自動化防禦、離線備份**。安全非產品，而是流程與文化。