病毒、木馬、後門、黑客程式共同特徵：在註冊表寫入資訊實現自啟動、破壞、傳播。透過修改註冊表鍵值與禁用高危服務端口，可構建低成本高效能的主機級立體防線。

九大註冊表與服務加固措施

1. 禁止 IPC 空連接： HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\RestrictAnonymous 改為 1，阻擋 net use、net view、nbtstat 探查。
2. 禁用 AT 命令： 管理工具 → 服務 → 停用「Task Scheduler」，防木馬利用排程任務啟動。
3. 關閉 SSDP Discovery Service： 佔用 5000 埠、持續發送封包致 CPU 100% 與頻寬浪費，易遭 DDOS 利用。
4. 禁用 TCP/IP 上的 NetBIOS： 網路連線 → 區域連線 → TCP/IP 內容 → 進階 → WINS → 禁用 NetBIOS，阻擋 nbtstat 讀取 MAC 與 NetBIOS 資訊。
5. 關閉 DCOM 服務（135 埠）： 執行 dcomcnfg → 取消「在此電腦上啟用分散式 COM」。
6. 帳號安全： 禁用除自身外所有帳號，重命名 Administrator，建立同名低權限誘餌帳號並設超長亂碼密碼。
7. 隱藏最後登入用戶： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\DontDisplayLastUserName = 1。
8. 刪除預設共享 (C$, D$, ADMIN$ 等)： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer (REG_DWORD) = 0。
9. 禁用 LanManager 認證 (LM)： 新增 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LMCompatibilityLevel (DWORD) = 3~5 (僅允許 NTLMv2，拒絕 LM/NTLM)，重啟生效。

後記

現代病毒捆綁多種傳播手段，單靠廠商更新不夠，用戶必須提升防範意識，堵塞所有傳染路徑，才能讓病毒無機可乘。上述設定雖稍繁瑣，卻能從根源切斷多數自動化攻擊鏈。