當筆電在咖啡廳連上公用 Wi-Fi、隨意點擊不明連結後，惡意程式可能在幾秒鐘內落地執行。面對突發感染，保持冷靜並依循以下 7 大應急原則，能最大幅度降低損失並加速復原。

1. 隨身攜帶具備網路功能的智慧型手機

• 預先安裝行動版瀏覽器，熟練書籤同步、離線閱讀功能。
• 保存常用線上掃毒網站（VirusTotal、Hybrid Analysis）、CVE 查詢、廠商安全公告 RSS。
• 準備大容量 microSD 卡，存放可攜版掃毒工具（ClamWin Portable、KVRT）、系統救援 ISO（Windows PE、Linux Live USB）。

2. 攜帶大容量 USB 隨身碟（≥16 GB，USB 3.0+）

• 常用工具：Process Explorer、Autoruns、TCPView、Malwarebytes Anti-Rootkit、GMER、Wireshark Portable。
• 進階做法：使用 Slax / Ventoy + WinPE / Kali Linux 建立可開機的完整安全作業環境，離線掃描、修復 MBR、備份關鍵資料皆可在不啟動受感染 OS 前提下完成。

3. 定期演練災難恢復流程

• 每季模擬：完整備份 → 模擬勒索軟體加密 → 從離線備份還原 → 驗證資料完整性與業務系統可用性。
• 記錄 RTO（目標復原時間）、RPO（目標復原點）實測值，持續優化備份策略（VSS 快照、異地複寫、不可變備份）。

4. 保持書籤庫即時更新

• 訂閱權威威脅情報部落格：Microsoft Security Blog、Talos、Krebs on Security、BleepingComputer。
• 手機/雲端同步書籤，確保任何裝置都能秒開最新 IOC（入侵指標）、YARA 規則、緩解措施。

5. 事後複盤產出書面報告（AAR）

• 時間軸：初次偵測 → 隔離 → 根因分析（MITRE ATT&CK 戰術標記）→ 清除 → 驗證 → 復原 → 事後會議。
• 產出「事件回應報告」存放於共享知識庫，供團隊複習、稽核、保險理賠、法務舉證使用。

6. 鑑別攻擊屬性：針對性攻擊 vs. 機會性掃描

• 檢查是否有持久化機制（排程任務、服務、WMI 事件訂閱、登錄 Run 鍵、啟動資料夾）。
• 比對威脅情報：C2 網域、IP、檔案雜湊是否出現在已知 APT 群組清單。
• 若為大規模自動化蠕蟲/挖礦程式，標準清除流程通常足夠；若發現手工側向移動、認證竊取，需啟動完整事件回應流程並考慮通報主管機關。

7. 風險評估優先：不讓處置加劇損害

• 遵循「不傷害」原則：先離線（拔網路線/關無線）、再決定是否立即關機（易失性記憶體證據會消失）或保持開機進行記憶體取證（Volatility、WinPMEM）。
• 評估資料敏感度：含客戶 PII、金融帳號、知識產權者，優先聯繫法務/資安團隊協同處理，避免自行操作破壞證據鏈。

💡 實戰心得：「預防勝於治療」。啟用 Windows Defender Application Control (WDAC)、AppLocker、受控制資料夾存取、Credential Guard、HVCI 等原生防護，配合最小權限原則（標準用戶日常操作、UAC 最高等級），可讓惡意程式「落地即死、無法持久、難以側向」。