Vista 安全架構大幅強化，但預設設定非最佳。遵循八大鐵律，構建纵深防禦，將風險降至最低。
鐵律一：修補程式 — 多輪迭代打補丁至最新
- Vista RTM → SP1 (KB936330) → SP2 (KB948465) → 便利彙總套件 → 每月累積更新。
- 關鍵： 補丁有相依性，需「掃描 → 安裝 → 重開機 → 再掃描」多輪迭代，直到無新補丁。
- 啟用自動更新 (下載並自動安裝)，或 WSUS/SCCM 企業級部署。
鐵律二：防毒軟體 — 必須安裝獨立完整方案
- Windows Defender (Vista 內建) 僅防間諜軟體，非完整防毒。
- 惡意軟體移除工具 (MRT) 僅事後清除特定高傳播蠕蟲，非即時防護。
- 必裝：即時掃描 + 行為偵測 + 雲端信譽 + 防火牆 + 郵件/網頁防護 的完整套裝 (Kaspersky, Bitdefender, Norton, ESET, Trend Micro 等)。
- 定期離線掃描 (救援碟/WinPE 環境) 清除 Rootkit/Bootkit。
鐵律三：本地安全策略 — 域環境前的第一道防線
- 電腦加入網域前、無人登入時、本地帳號登入時，**群組原則 (GPO) 不生效**，唯有本地安全策略 (
secpol.msc) 保護。
- 重點設定：
• 帳戶原則：密碼長度≥12、複雜度、鎖定閾值 5 次、鎖定時間 30 分鐘。
• 本地原則 → 稽核原則：稽核登入事件 (成功/失敗)、物件存取、原則變更。
• 本地原則 → 安全性選項：網路存取：匿名 SID/名稱轉換 (停用)、關機：清除虛擬記憶體分頁檔 (啟用)。
• 進階安全性 Windows 防火牆：輸入/輸出/連線安全規則 (見 93732)。
• 與網域 GPO 設定保持一致，避免加入網域後策略衝突。
鐵律四：BitLocker 磁碟加密 — 筆電遺失資料不外洩
- Vista Enterprise/Ultimate 內建，系統磁碟 + 固定資料磁碟全盤加密 (AES-128/256)。
- 需 TPM 1.2+ 晶片 (或 USB 啟動金鑰/密碼模式)。
- 加密後，硬碟離線掛載於他機完全無法讀取，保護機敏資料 (原始碼、財務、客戶資料)。
- 備份復原金鑰至 AD/列印/USB，避免自己被鎖在外。
鐵律五：智慧卡 / 多因子驗證 (MFA) — 超越密碼單一因子
- Vista 強化智慧卡支援 (基礎智慧卡密碼驗證提供者 + 智慧卡資源管理器)。
- 支援 PIV (個人身分驗證卡)、CAC (通用存取卡)、商用智慧卡。
- 開發者可透過 CredUI API / SCard API 整合生物辨識 (指紋/臉部/虹膜)、硬體 Token (YubiKey/RSA SecurID) 實現真正 MFA。
- 適用：高安全需求環境 (金融、政府、研發核心)。
鐵律六：父母控制 — 守護兒童網路安全
- 控制台 → 使用者帳戶 → 設定父母控制 → 選擇標準使用者帳號。
- 功能：
• 時間限制：每日/每週允許登入時段。
• 遊戲分級：依 ESRB/PEGI 限制遊戲執行。
• 程式允許/封鎖清單：白名單/黑名單控制可執行檔。
• Web 篩選 (需 Windows Live Family Safety 附加元件)：允許/封鎖網站分類、關鍵字、安全搜尋鎖定。
• 活動報告：網站瀏覽、程式使用、登入時間記錄。
鐵律七：進階防火牆 — 輸入/輸出/連線安全三位一體
- 詳見 93732：預設封鎖輸入、允許輸出、ICMP 控制、三大設定檔、IPSec 整合、群組原則部署。
- 關鍵：啟用輸出規則封鎖可疑程式外連 (如不明 .exe 連接 6667/IRC、4444/Metasploit)。
鐵律八：IE 7/8/9+ 安全強化 — 瀏覽器防禦前哨
- 防網路釣魚 (Phishing Filter / SmartScreen Filter)：即時比對惡意網站資料庫，攔截詐騙/惡意下載。
- ActiveX 選擇性啟用 / 保護模式：低權限程序隔離網頁內容進程，防止駭客代碼寫入系統區域。
- 隱私設定： 封鎖第三方 Cookie、追蹤保護清單 (TPL)、InPrivate 瀏覽。
- 增強保護模式 (EPM, IE10+)： 64 位元進程、AppContainer 沙箱、防止記憶體破壞攻擊。
總結：八大鐵律檢查清單
| # | 鐵律 | 驗證指標 |
|---|
| 1 | 修補程式 | Windows Update 狀態「最新」、無關鍵/重要更新待裝 |
| 2 | 防毒軟體 | 即時掃描啟動、病毒碼 < 24h、完整掃描 < 7 天 |
| 3 | 本地安全策略 | secpol.msc 關鍵項已設定、與網域 GPO 一致 |
| 4 | BitLocker | 系統磁碟/資料磁碟加密完成、復原金鑰已備份 |
| 5 | 智慧卡/MFA | 關鍵帳號/系統啟用 MFA、智慧卡讀卡機就緒 |
| 6 | 父母控制 | 兒童帳號啟用時間/內容/程式限制、活動報告正常 |
| 7 | 進階防火牆 | wf.msc 輸入/輸出/連線安全規則生效、日誌記錄正常 |
| 8 | IE 安全強化 | SmartScreen 啟用、保護模式開啟、隱私設定已調整 |
Vista 雖已結束支援 (2017/04/11)，其安全架構設計 (最小權限、Session 0 隔離、服務 SID、BitLocker、父母控制) 奠定現代 Windows 安全基石。若因舊系統相容性必須繼續使用，**嚴格執行八大鐵律、隔離網段、規劃遷移** 是唯一負責任的選擇。
