資安事件 90% 源於「已知弱點未修補」與「人為疏失」。微軟資安團隊長期追蹤的十大高危行為，涵蓋實體環境、網路邊界、端點防護、帳號治理、資料韌性五大面向。本文逐項拆解成因、後果與具體修正動作，附自檢表讓你立即落實。
| # | 高危行為 | 風險後果 | 立即修正動作 |
|---|---|---|---|
| 1 | 無過電壓保護直接接市電 | 雷擊/浪涌燒毀主機板、硬碟、資料永久遺失 | 部署 UPS（不斷電系統）+ 浪涌保護插座（Joule ≥ 2000、反應 <1ns），每 2 年更換保護器 |
| 2 | 裸奔上網無防火牆 | 端口掃描、蠕蟲自動入侵、勒索軟體橫向移動 | 啟用 Windows Defender 防火牆/第三方雙向防火牆；路由器開啟 SPI/DoS 防護；筆電外出必開軟體防火牆 |
| 3 | 防毒/反間諜軟體未啟用或過期 | 已知惡意碼零門檻入侵、竊取帳號、加密勒索 | 主流防毒（Defender/卡巴/小紅傘/伊設等）開啟即時掃描+雲端查殺+啟動掃描，病毒碼每日自動更新，每週全盤掃描 |
| 4 | 頻繁安裝/卸載測試版、盜版、來路不明軟體 | 登錄檔膨脹、DLL 地獄、惡意軟體捆綁、系統不穩 | 建立「必要軟體白名單」，虛擬機/沙箱測試新軟體，僅安裝數位簽章驗證過的正式版，定期清理暫存檔/登錄檔孤立鍵 |
| 5 | 硬碟長期滿載、高度碎片化 | 效能暴跌、壽命縮短、檔案損毀無法復原 | 保留 ≥20% 可用空間；SSD 開啟 TRIM、避免碎片整理；HDD 排程每月碎片整理；啟用 Storage Sense/磁碟清理自動釋放空間 |
| 6 | 收到郵件附件即開、不驗證來源 | 巨集病毒、勒索軟體、APT 釣魚載荷執行 | 「三不原則」：不開未預期附件、不啟用巨集、不信任 .exe/.scr/.js/.lnk/.iso/.img；開啟 Outlook/郵件用戶「預覽窗格」而非雙擊；附件先存檔→防毒掃描→沙箱開啟 |
| 7 | 郵件/網頁連結隨意點擊 | Drive-by Download、瀏覽器 0-day、釣魚網站竊取憑證 | 滑鼠懸停檢視真實 URL、啟用瀏覽器 SmartScreen/增強保護模式、使用 DNS over HTTPS（DoH）、安裝 uBlock Origin 封鎖惡意腳本 |
| 8 | 不當開啟檔案/印表機共享 | 內網橫向滲透、EternalBlue/MS17-010 再利用、資料外洩 | 不需共享即關閉「檔案與印表機共享」；必須共享時：僅共享特定資料夾、NTFS 權限最小化、強制 SMB 簽署/加密、停用 SMBv1、帳號強密碼+帳戶鎖定原則 |
| 9 | 弱密碼/重複使用/明文記錄 | 噴灌攻擊、撞庫、權限提升、全盤資產淪陷 | 密碼 ≥12 字元、大小寫/數字/符號混合、不含字典詞、每系統唯一；部署密碼管理器生成/儲存；啟用 MFA/2FA（硬體金鑰/Authenticator/App 推播），停用 NTLM/LM 相容性 |
| 10 | 無備份/備份未驗證/備份與線上同地 | 勒索加密、硬碟故障、火災/水患/竊盜導致資料歸零 | 3-2-1 原則：3 份副本、2 種媒體（本地+雲端/離線）、1 份異地離線；每月測試還原；系統映像+關鍵資料分離備份；啟用版本控制/快照 |
資安不是買套軟體就完事，而是「人、流程、技術」三位一體的持續經營。從今天開始，對照十大禁忌逐項打勾，每修正一項，風險就降低一分。堅持基線 SOP，你的數位資產就多一層堅實護盾。
