無論使用 Windows、macOS、Linux 或 BSD，以下十大安全強化原則皆為跨平台通用的核心防護策略。建立纵深防禦，降低入侵風險與資料損失。
1. 使用高強度密碼
- 暴力破解：自動化系統高速猜測密碼組合
- 強密碼原則：大小寫字母 + 數字 + 特殊符號 + 空格，避免字典詞、個人資訊、純數字
- 長度關鍵：每增加 1 字元，組合數指數級增長。最低 8 字元，建議 12-16+ 字元
- 密碼管理器輔助生成與儲存複雜密碼
2. 做好邊界防護
- 外部防火牆/路由器保護內部網路，即使單機也建議部署
- 入門級：家用寬頻路由器（Linksys、D-Link、Netgear 等）具備 NAT 與基本防火牆
- 進階級：企業級可管理交換器、路由器、硬體防火牆（Cisco、Foundry 等）
- 自建方案：m0n0wall、IPFire、OPNsense 等開源防火牆平台
- 輔助：Proxy 伺服器、防毒閘道、垃圾郵件過濾閘道
- 防護強度排序：硬體防火牆 > 具 NAT 路由器 > 可管理交換器 > 集線器
3. 持續更新軟體與修補程式
- 生產環境部署前必須測試修補程式相容性
- 長期未修補系統是駭客首選目標
- 特徵碼型防毒軟體必須定期更新病毒碼庫，否則防護大幅失效
- 啟用自動更新或建立定期修補週期
4. 關閉未使用的服務
- 多數使用者不知系統運行哪些網路可存取服務，極度危險
- Telnet、FTP 等明文協定服務若非必要必須關閉
- 掌握每項服務功能與運行理由，依最小服務原則精簡
- 注意：關閉關鍵服務（如 Windows RPC）會導致系統癱瘓
5. 實施資料加密
- 層級：檔案級加密 → 檔案系統加密（EFS、BitLocker、LUKS、FileVault）→ 全磁碟加密
- 開機分區加密需硬體協助（TPM、專用加密晶片）
- 商業專有與開源方案並存，滿足不同需求
6. 透過備份保護資料
- 備份是面對災難將損失降至最低的關鍵
- 策略：簡單定期複製到離線媒體 → 複雜自動備份到遠端伺服器
- 關鍵服務：RAID 提供磁碟容錯（非備份替代品）
- 工具：rsync、Bacula、Duplicati、Veeam、Subversion/Git 版本控制同步
- 案例：Subversion 同步讓筆電硬碟損壞時資料倖免
7. 加密敏感通訊
- Email：OpenPGP（GPG）、S/MIME
- 即時通訊：OTR（Off-the-Record）、Signal 協定
- 遠端管理：SSH、TLS/SSL（HTTPS、FTPS、IMAPS、SMTPS）
- VPN：WireGuard、OpenVPN、IPsec 建立加密通道
- 說服對方使用加密雖難，但高敏感資訊傳輸不可妥協
8. 不信任外部網路
- 開放無線網路（咖啡廳、機場）極度危險
- 原則：自身系統防護不依賴外部網路安全性
- 外部網路必須：啟用全盤加密通訊（VPN/SSH）、關閉非必要服務、驗證伺服器憑證
- NFS、CIFS/SMB、AD 等網路檔案/目錄服務在非信任網路極高風險
- 使用外部網路時需調整系統安全配置（提高防火牆等級、停用分享）
9. 部署不斷電系統 (UPS)
- 不僅為防止斷電資料遺失，更關鍵的是：電壓調節、防止檔案系統損毀、硬體保護
- 一般防雷器無法防禦「髒電」（電壓波動、諧波、尖峰）
- 選購具備：電池備援、電壓調節 (AVR)、純正弦波輸出、USB/網路管理介面的線上式/線互動式 UPS
- 設定作業系統偵測 UPS 狀態，低電量時自動安全關機
10. 監控系統安全狀態
- 絕不假設防護措施萬無一失
- 部署：入侵偵測系統 (IDS/IPS)、日誌集中管理 (SIEM)、檔案完整性監控 (FIM)、安全資訊事件管理
- 本地審計：帳號登入稽核、物件存取稽核、關鍵檔案變更監控
- 網路層面：流量異常分析、惡意 IP 封鎖、蜜罐部署
- 不同作業系統有專屬監控工具（Windows Event Log + Sysmon、Linux auditd + OSSEC 等）
總結
安全是持續的過程，而非一次性設定。上述十大建議構成跨平台安全基線，配合特定作業系統的進階強化（Windows Applocker、Linux SELinux/AppArmor、macOS SIP 等），才能建立韌性防禦體系。定期演練事件應變、滲透測試、紅隊演練，驗證防禦有效性。
