傳統防毒軟體屬於事後偵測，無法阻擋零時差攻擊。本文提出一套基於 Windows 權限機制的主動防護策略：建立陷阱管理員帳號、以低權限帳號偽裝瀏覽、定期刪除使用者帳號達成「金蟬脫殼」式系統重置，配合補丁更新，近乎永久維持系統無毒狀態。
核心原則：最小權限原則 + 帳號隔離
- 系統管理員帳號僅用於系統維護、安裝軟體、打補丁，絕不上網、不開郵件、不執行非信任程式。
- 日常操作使用標準使用者帳號 (Users 群組)，即使中毒也無法感染系統核心區域。
- 瀏覽高風險網頁時，使用「以其他使用者身分執行」啟動 IE，指定另一個標準帳號 (如 nyh2)，進一步隔離風險。
三步驟部署「零病毒」環境
第一步：建立雙管理員 + 兩個標準帳號
- 全新安裝或確認無毒系統中，修改內建 Administrator 密碼為 10 碼以上強密碼 (英數大小寫混合)。
- 新增第二個管理員帳號 (如 admin2)，同樣設強密碼，作為備援。
- 新增標準帳號 nyh1 (日常主力) 與 nyh2 (高風險瀏覽專用)，均隸屬 Users 群組。
第二步：偽裝瀏覽 — 以 nyh2 身分啟動 IE
- 桌面建立 IE 捷徑，右鍵「內容」→「進階」→ 勾選「以其他使用者身分執行」。
- 點擊此捷徑上網時，系統提示輸入帳號密碼，輸入 nyh2 認證。
- 此 IE 視窗及其衍生進程皆在 nyh2 權限下執行，遭遇網頁掛馬、ActiveX 攻擊僅影響 nyh2 設定檔，不波及系統與 nyh1。
第三步：金蟬脫殼 — 定期刪除重建標準帳號
- 若懷疑 nyh1/nyh2 中毒，以 Administrator 登入 (不執行任何額外程式)。
- 開啟「電腦管理」→「本機使用者和群組」→「使用者」，刪除 nyh1 與 nyh2。
- 隨著帳號刪除，其使用者設定檔 (含登錄機碼、暫存檔、啟動項、可能的惡意程式) 全部清除。
- 重新建立同名帳號 nyh1、nyh2，Windows 會分配全新 SID 與乾淨設定檔，系統瞬間恢復如新安裝狀態。
- 登出 Administrator，以 nyh1 繼續工作。
兩大鐵律 (必須嚴守)
- 任何時間禁止以管理員身分上網或執行非系統內建工具，維護完畢立即登出。
- 管理員維護時僅透過「開始」選單啟動系統工具 (如控制台、服務、裝置管理員)，嚴禁使用總管瀏覽磁碟、執行第三方程式。
結語
此法結合 Windows NT 核心的權限架構，將病毒活動空間壓縮至可丟棄的使用者設定檔中，配合微軟月度補丁，可實現「永久無毒」的理想狀態。雖操作稍繁，但對資安要求高的環境極具價值。
