前言
網路時代，人人皆可取得駭客工具。無聊與表現慾驅使腳本小子 (Script Kiddies) 掃描攻擊暴露在網路上的電腦。當電腦突然死機、藍屏、網頁無法瀏覽、QQ 掉線，可能已中毒或被入侵。以下八大準則建立個人電腦纵深防禦體系。
一、密碼安全準則
- 複雜度： ≥12 字元，包含大小寫字母、數字、特殊符號 (如
K7#mP9$vL2!x)。
- 唯一性： 每個網站/服務/系統使用獨立密碼，防止撞庫攻擊。
- 管理工具： 使用密碼管理器 (Bitwarden、1Password、KeePass、KeePassXC) 儲存加密資料庫，僅記住一組主密碼。
- 定期輪換： 核心帳號 (郵件、銀行、GitHub、雲端主機) 每 90-180 天更換。
- 禁用瀏覽器記憶密碼： 瀏覽器儲存明文/可逆加密，易被惡意軟體竊取。
- 啟用雙因子驗證 (2FA/MFA)： 優先使用 TOTP (Google Authenticator/Authy/Microsoft Authenticator) 或硬體金鑰 (YubiKey/Google Titan)，避免簡訊 2FA (SIM 卡劫持風險)。
二、電子郵件安全準則
- 不輕信附件： 任何未預期的附件 (.exe, .scr, .zip, .rar, .iso, .lnk, .pdf, .docm, .xlsm) 先上傳 VirusTotal 掃描，或用沙箱 (Hybrid Analysis、ANY.RUN) 分析行為。
- 警惕商務郵件詐騙 (BEC)： 驗證寄件人真實郵件地址 (非顯示名稱)、透過電話/即時通訊確認大額轉帳/敏感操作請求。
- 使用獨立郵箱分級： 核心帳號 (銀行、政府、主域名註冊) 專用郵箱；社群/購物/測試用次要郵箱；一次性郵箱 (Temp Mail) 註冊不可信網站。
- 啟用 DMARC/DKIM/SPF： 自己架設郵件伺服器或使用企業郵箱服務時必須配置，防止網域被盜用發送釣魚郵件。
- 遠端預覽/不自動載入圖片： 防止 Web Beacon 追蹤開信時間、IP、裝置資訊。
- 加密敏感郵件： PGP/GPG (OpenPGP) 或 S/MIME 憑證加密郵件內容與附件。
三、瀏覽器 (IE/Edge/Chrome/Firefox) 安全準則
- 停用自動完成/儲存表單/密碼： 設定 → 隱私權 → 關閉「自動填入表單/密碼/信用卡」。
- 定期清除瀏覽資料： 關閉瀏覽器時自動清除 Cookie、快取、歷史記錄、下載記錄 (或使用隱私模式/Incognito)。
- Cookie 控制： 安裝 uBlock Origin、Privacy Badger、Cookie AutoDelete；設定「封鎖第三方 Cookie」、「清除本地儲存」。
- 啟用 HTTPS-Only 模式： 強制 HTTPS 連線，防止 SSL Strip 攻擊。
- 擴充套件最小化： 僅安裝必要、開源、信任開發者的擴充套件，定期審核權限。
- 隔離高風險操作： 使用虛擬機 (VirtualBox/VMware/Hyper-V)、沙箱 (Windows Sandbox)、獨立瀏覽器設定檔處理可疑連結/下載。
四、聊天軟體 (QQ/WeChat/Telegram/Discord/Slack) 安全準則
- 隱藏 IP/裝置資訊： 設定 → 隱私 → 關閉「允許透過 IP 尋找我」、「顯示裝置型號/位置」。
- 防範惡意連結/檔案： 不點擊陌生人傳送的縮網址、可疑網域；檔案先掃毒再開啟。
- 防範 JavaScript/HTML 注入 (舊版 QQ/網頁版)： 禁用腳本執行、關閉自動播放多媒體、限制圖片自動下載。
- 帳號保護： 綁定手機/郵箱/安全裝置、啟用裝置鎖/異地登入提醒、設定獨立支付密碼。
五、防範特洛伊木馬/惡意軟體準則
- 零信任下載： 僅從官網、官方應用商店、可信套件管理器 (winget/choco/scoop/Homebrew/apt/dnf) 下載軟體。
- 驗證數位簽章/雜湊值： 執行檔右鍵→內容→數位簽章驗證發行者；對照官網公布的 SHA256 雜湊值 (
certutil -hashfile file.exe SHA256)。
- 沙箱首測： 新軟體先在 Windows Sandbox / VirtualBox / Firejail 執行觀察行為 (網路連線、檔案寫入、註冊表修改、程序產生)。
- 實時防護三層： 1) Windows Defender / 第三方 AV (啟用雲端保護、行為監控、受控資料夾存取) 2) 反勒索軟體 (如 Acronis Active Protection、NeuShield) 3) 瀏覽器隔離/網頁防火牆 (uBlock Origin、Malwarebytes Browser Guard)。
- 定期離線深度掃描： 每月使用 Windows Defender 離線掃描 / Kaspersky Rescue Disk / ESET SysRescue Live USB。
六、定期更新系統與軟體 (修補漏洞)
- 作業系統： Windows Update 設為「自動下載並安裝」、功能更新延遲 30 天 (避免首發 Bug)、品質更新延遲 7 天。
- 瀏覽器/Office/驅動程式/韌體： 啟用自動更新或定期手動檢查 (Intel DSA、AMD Adrenalin、NVIDIA GeForce Experience、廠商官網)。
- 訂閱漏洞資訊： CVE/NVD、CISA Known Exploited Vulnerabilities (KEV)、廠商安全公告 (Microsoft Patch Tuesday、Adobe、Oracle、VMware)、iThome 資安、BleepingComputer。
- 淘汰 EOL 軟體/系統： Windows 7/8.1、Office 2010/2013、舊版 PHP/Java/Python/資料庫已停止安全更新，必須升級或隔離網段。
七、安裝並正確配置防火牆
- 主機防火牆 (必要)： Windows Defender 防火牆 (預設啟用) + 進階安全性規則 (僅開放必要輸入埠、限制輸出連線)。
- 網路層級防火牆 (建議)： 路由器/光纖數據機 開啟 SPI 防火牆、關閉 WAN 端 Ping/管理埠、啟用 DoS 防禦、封鎖已知惡意 IP 清單 (威脅情報餵養)。
- 應用層防火牆 / WAF (伺服器端)： ModSecurity、Nginx WAF、Cloudflare WAF 保護 Web 應用。
- 出站管控 (進階)： GlassWire、Little Snitch (macOS)、OpenSnitch (Linux) 監控未知程式外連，阻擋竊取資料/命令控制 (C2) 通訊。
八、禁止不必要的檔案/印表機共享
- 預設關閉： 「控制台」→「網路與共用中心」→「進階共用設定」→ 所有網路設定檔：「關閉檔案與印表機共用」。
- 按需開啟： 僅在信任區域網路、特定資料夾、設定讀取權限、強密碼保護共用、限制同時連線數。
- 移除預設共用： 註冊表
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 新增 AutoShareServer=0, AutoShareWks=0 (DWORD) 禁用 C$, ADMIN$, IPC$ 管理共用 (需重開機)。
- 定期稽核：
net share 指令列出所有共用，移除不明/過期共用。
總結：纵深防禦清單
- 密碼管理器 + MFA 保護所有帳號
- 郵件附件沙箱驗證 + PGP 加密敏感郵件
- 瀏覽器強化 + 隔離高風險操作
- 聊天軟體隱私設定 + 警惕社交工程
- 軟體零信任下載 + 沙箱首測 + 三層實時防護 + 離線深度掃描
- 系統/軟體/韌體自動更新 + 訂閱漏洞情報 + 淘汰 EOL
- 主機/網路/應用/出站 四層防火牆
- 共用最小化 + 強權限控制 + 定期稽核
記住：安全是一個過程，不是一個產品。沒有絕對安全，只有持續降低風險、縮小攻擊面、提高攻擊成本。