新电脑或重装系统后必须立即配置六项基础安全防护：启用Windows安全中心实时防护；关闭高危端口（如135/139/445）；禁用Guest账户并为Administrator设置强密码；关闭默认共享（C$、IPC$等）；启用Windows自动更新并及时重启完成安装。
新电脑到手或重装系统后，若不立即配置基础安全防护，几小时内就可能被恶意程序盯上——浏览器主页被篡改、弹窗广告关不掉、CPU突然100%、文件莫名加密，这些都不是偶然，而是缺乏基础设防的必然结果。
启用Windows安全中心实时防护
这是Windows系统自带的免费防线，不开通等于裸奔上网。
按下 Win + I 打开设置 → 隐私和安全 → Windows 安全中心 → 病毒和威胁防护 → 确保“实时保护”开关为开启状态。
如果显示“已关闭”或灰色不可用，说明可能被第三方杀软强行禁用——【必须先卸载其他实时杀毒软件，否则Windows安全中心无法正常工作】。
这一步操作起来很简单，但跳过它，后续所有防护都形同虚设。
关闭高危网络端口
默认开放的TCP 135、139、445等端口，是勒索病毒和蠕虫传播的主通道，家庭宽带也常被扫描利用。
方法一：使用组策略屏蔽（适用于Win10/11专业版、企业版）
按下 Win + R → 输入 gpedit.msc → 回车 → 依次展开：计算机配置 → 管理模板 → 网络 → 网络连接 → Windows防火墙 → 域配置文件（或标准配置文件）→ Windows防火墙：允许入站连接 → 双击启用 → 点击“显示” → 添加端口号列表：135,139,445,593,1025 → 确定。
方法二：命令行快速封堵（所有Windows版本通用）
以管理员身份运行CMD → 逐行执行：
netsh advfirewall firewall add rule name="Block SMB" dir=in action=block protocol=TCP localport=445
netsh advfirewall firewall add rule name="Block NetBIOS" dir=in action=block protocol=UDP localport=137,138
netsh advfirewall firewall add rule name="Block RPC" dir=in action=block protocol=TCP localport=135
执行完每条命令后，屏幕会显示“确定”，无需重启即生效。
禁用Guest账户并加固Administrator
来宾账户是病毒横向移动的跳板，尤其在共享文件夹开启时，极易被远程利用。
第一步：打开控制面板 → 用户账户 → 管理其他账户 → 点击Guest账户 → 选择“禁用此账户”。
第二步：回到账户列表 → 点击Administrator账户 → 选择“为该账户创建密码”。
第三步：密码必须满足复杂性要求——【至少8位，含大小写字母+数字+符号，例如：X7#kLm@9q】。
完成这两步后，任何试图通过网络匿名登录或暴力破解的行为都会被系统直接拒绝。
关闭默认共享与远程注册表
Windows安装后自动创建的C$、ADMIN$、IPC$等隐藏共享，是黑客入侵的第一落脚点。
按下 Win + R → 输入 regedit → 定位到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
在右侧空白处右键 → 新建 → DWORD (32位)值 → 命名为 AutoShareWks → 双击修改数值数据为 0 → 确定。
再新建另一个DWORD值 → 命名为 AutoShareServer → 数值数据同样设为 0。
重启电脑后，所有默认共享将彻底消失，但你手动设置的共享文件夹不受影响。
启用系统更新自动安装
微软每月第二个星期二发布的补丁，往往修复当月最危险的0day漏洞，延迟安装等于主动留门。
设置 → 更新和安全 → Windows更新 → 高级选项 → 将“更新安装方式”设为“自动（推荐）”。
再点击“选择何时安装更新” → 勾选“自动下载并安装更新” → 下方“暂停更新”保持关闭状态。
若系统提示“需要重启以完成更新”，请务必在当天内完成重启——【未重启的补丁等于没装】。
