重裝系統後必做的 5 步防毒加固：別讓乾淨系統秒變「肉雞」

許多用戶認為「重裝系統 = 徹底清除病毒」，實則剛安裝完成的系統處於最脆弱狀態：無修補、無防毒、預設共享開啟、預設帳戶空密碼。若立即聯網，極大概率在修補前被蠕蟲/掃描器感染。本文定義重裝後「黃金 5 步」加固流程，構建安全基線。

步驟一：斷網安裝，修補優先於聯網

鐵律： 安裝完成進桌面前，**拔網線/斷開 Wi-Fi**。
動作：

1. 安裝晶片組、顯卡、網卡驅動 (離線驅動包)。
2. 安裝 Service Pack / 累積更新包 (離線安裝包，如 WSUS Offline Update 產出的 ISO)。
3. 啟用 Windows 防火牆 (預設啟用，確認「公用網路」設定檔生效)。
4. 安裝防毒軟體 (離線安裝包 + 離線病毒碼更新包)。
5. 完成上述，**重啟一次**，確認服務穩定後再接網線/連 Wi-Fi。

原因： 未修補系統連網瞬間即遭 MS08-067 (Conficker)、MS17-010 (WannaCry/永恆之藍) 等蠕蟲自動掃描感染，防毒軟體尚未啟動即來不及攔截。

步驟二：關閉系統還原 (非系統盤) 或精細配置

系統還原預設監控所有 NTFS 分區，還原時會刪除非系統盤新增/修改檔案，造成資料遺失。
配置：
Win+Pause →「系統保護」→ 選擇非系統盤 (D:, E:) →「設定」→「停用系統保護」→ 確定。
系統盤 (C:) 保留，調整最大使用空間 5-10%。
替代方案： 使用第三方快照工具 (Veeam Agent Free, Macrium Reflect Free, Timeshift) 進行映像級備份，粒度更細、不影響資料盤。

步驟三：為 Administrator 設定強密碼、建立標準帳戶日常使用

預設 Administrator 空密碼/弱密碼是暴力破解首選目標。
操作：

1. Win+R → lusrmgr.msc →「使用者」→ 右鍵 Administrator →「設定密碼」→ 輸入 ≥12 字元強密碼。
2. 「新增使用者」→ 建立標準帳戶 (如 DailyUser) → 設定強密碼 → 加入 Users 群組 (預設) → 從 Administrators, Power Users 移除。
3. 登出，以標準帳戶登入日常使用。需管理權限時 Ctrl+Shift+Enter 或右鍵「以管理員身分執行」輸入 Administrator 密碼。

效益： 標準帳戶無法安裝服務、修改系統目錄、寫入 HKLM、載入驅動，將 90% 以上惡意軟體持久化手段封殺在萌芽狀態。

步驟四：關閉預設隱藏共享 (IPC$, ADMIN$, C$ 等)

Windows 預設建立管理用隱藏共享，供遠端管理使用，但也是橫向移動跳板。
批次腳本關閉 (以管理員執行)：

@echo off
net share IPC$ /delete
net share ADMIN$ /delete
net share C$ /delete
net share D$ /delete
REM 視實際磁碟機代號補充
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareServer /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareWks /t REG_DWORD /d 0 /f
net stop server & net start server

註冊表永久生效： 上述兩個 AutoShareServer (Server 版) / AutoShareWks (Workstation 版) 設 0 後，重啟服務或重啟系統不再自動建立。

步驟五：啟用自動更新、配置修補策略、部署應用程式白名單

1. Windows Update 設為「自動下載並安裝」/ 企業環境配置 WSUS/Intune 推送。
2. 啟用「Microsoft Update」同時更新 Office/Visual Studio/驅動。
3. AppLocker / Software Restriction Policies (SRP)： 僅允許簽名受信發布者 (Microsoft, Adobe, 企業內部簽名) 的可執行檔、腳本、安裝程式、DLL 運行。
   路徑：gpedit.msc → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker/SRP。

額外加固清單 (視風險等級選擇)

• 禁用 SMBv1 (Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol)。
• 啟用受控資料夾存取 (Windows Defender 勒索軟體防護)。
• 配置 PowerShell 限制模式 (Set-ExecutionPolicy RemoteSigned)、啟用模組/腳本區塊記錄 (Event ID 4104, 4103)。
• 安裝 Sysmon (System Monitor) 記錄進程建立、網路連線、檔案建立、註冊表修改，轉發至 SIEM。
• 硬碟加密：BitLocker (TPM+PIN) 或 VeraCrypt 系統分區加密。

驗收基線檢查腳本 (PowerShell 管理員)

# 1. 防火牆啟用
Get-NetFirewallProfile | Select-Object Name, Enabled
# 2. Administrator 密碼複雜度 (需人工核對)
# 3. 標準帳戶存在且非 Administrators 成員
Get-LocalUser | Where-Object {$_.Name -ne "Administrator" -and $_.Enabled} | Get-LocalGroupMember -Group "Administrators" -ErrorAction SilentlyContinue
# 4. 隱藏共享關閉
net share | Select-String "\\$" -NotMatch
# 5. 自動更新啟用
Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update" | Select-Object AUOptions
# 6. SMBv1 禁用
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol | Select-Object State

重裝系統不是終點，是安全建設的起點。這 5 步 + 額外加固，能將全新系統的攻擊面壓縮至最小，讓您在面對未知威脅時擁有足緩衝時間。請將此流程標準化為「系統交付清單」，每次部署必勾選，不因趕工省略任何一項。