九大防駭鐵律：把駭客擋在網路之外

前言

駭客入侵手法層出不窮，但核心原理不變。落實以下九項基線防護，可擋下 90% 以上自動化掃描與脚本小子攻擊。

一、系統基線硬化

1. 關閉「檔案與印表機共享」並鎖死登錄

網路鄰居 → 內容 → 檔案與印表機共享 → 取消勾選兩項。
進階：登錄 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Network 新增 DWORD NoFileSharingControl=1，禁止使用者重新開啟。

2. 停用 Guest 帳號、重命名 Administrator

控制台 → 使用者帳戶 → 進階 → 本機使用者與群組 → Guest → 內容 → 勾選「帳戶已停用」。
重命名 Administrator 為無特徵名稱（如 Admin_ProjX），再建立一個無權限的假 Administrator 帳號誘騙攻擊者。

3. 禁止空連接（Null Session）

登錄 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA 設定 RestrictAnonymous=1，阻擋未認證連線列舉帳號/共享。

二、必裝防護軟體

• 主動式防毒軟體（360、火綠、Kaspersky、Bitdefender 等）+ 個人防火牆（Windows Defender 防火牆 / ZoneAlarm / Comodo）。
• 保持病毒碼與防火牆規則每日自動更新。

三、關閉非必要連接埠

使用 netstat -an 或 TCPView 檢視開放埠。關閉不用的服務（如 Telnet、FTP、RPC、NetBIOS over TCP/IP 等），或在防火牆設定「僅允許特定 IP 存取特定埠」。

四、拒絕社交工程：不回陌生郵件、不點不明連結

駭客常偽裝銀行、官方單位騙取帳密。原則：官方不會用郵件索要密碼。收到可疑郵件直接刪除，必要時回報資安單位。

五、隱藏真實 IP

• 使用可信代理伺服器 / VPN / Tor，讓攻擊者只能看到代理 IP。
• 原理：代理伺服器充當「中轉站」，客戶端請求 → 代理 → 目標伺服器，真實 IP 不曝光。
• 免費代理風險高（可能記錄流量、注入廣告/惡意碼），建議付費信譽 VPN。

六、防範木馬植入

1. 下載檔案先存專用資料夾 → 全盤掃毒 → 再執行。
2. 定期檢查啟動項：msconfig、工作管理員「啟動」、登錄 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 及 RunOnce 等 Run 開頭機碼，刪除可疑項目。

七、徹底封鎖 Guest 帳號攻擊面

若必須啟用 Guest：
▸ 設定高強度密碼。
▸ NTFS 權限精細控制：僅授予「列出資料夾內容」「讀取」必要資料夾，移除其他所有使用者權限。
▸ 拒絕 Guest 存取系統磁碟、登錄編輯器、命令提示字元等敏感工具。

八、IE/Edge 瀏覽器安全鎖死

1. 網際網路選項 → 安全性 → 自訂等級 → 停用所有 ActiveX 控制項與外掛程式（或僅啟用已簽名）。
2. 進階：登錄 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones 找 Flags 改為 1，解鎖隱藏的「我的電腦」區域，將其安全等級調高。

九、修補程式：永遠的第一道防線

開啟 Windows Update 自動更新，或使用 WSUS/SCCM 企業級部署。已知漏洞修補不及時，是駭客最大的入口。

結語

資安非一次性專案，而是持續性流程：基線硬化 → 持續監控 → 快速修補 → 事件應變。從今天開始落實九大鐵律，讓您的電腦成為駭客「高成本、低回報」的攻擊目標。