🛡️ My Win Apps & Security Architecture

SECURITY WARNING : 本倉庫包含個人工具配置與資安防禦架構。 本專案中所有涉及密碼、金鑰、備援碼的路徑與內容皆為 示意與架構範例。 嚴禁將包含真實機密資料的 .kdbx、cryptomator 設定檔或 PDF 提交至此倉庫。

A.　Configuration Blueprint

　Tree

.
├─── assets (PNG)
├─── docs
│   ├─── 2FA.md
│   ├─── bitlocker.md
│   ├─── chocolatey.md
│   ├─── defense_in_depth.md
│   ├─── dev_experience.md
│   ├─── manual_install.md
│   ├─── offline_image.md
│   ├─── usually.md
│   └─── winget.md
│
├─── configs
│   └─── .gitkeep
│
├─── packages
│   ├─── v1
│   │    ├─── admin.config
│   │    └─── user.config
│   └─── v2
│        ├─── admin_winget.json
│        └─── user_winget.json
│
├─── scripts
│   ├─── v1
│   │    ├─── admin_setup.ps1
│   │    └─── user_setup.ps1
│   │
│   ├─── bit_locker.ps1
│   ├─── defense_in_depth.ps1
│   ├─── disable_c_bit_locker.ps1
│   ├─── fix_encoding.ps1
│   ├─── random_secret.ps1
│   ├─── freeze_win_update.ps1
│   ├─── unfreeze_win_update.ps1
│   └─── optimize_system.ps1
│
├─── .editorconfig
├─── .gitignore
├─── .version
├─── LICENSE
└─── README.md

Stage	Method	Objective
1.　重灌	-	重灌系統 ➔ 進入桌面不做任何事情 ➔ 優先重新啟動
2.　創建 Admin 帳戶	-	檢視使用者名稱 ➔ 若非預期的命名 ➔ 直接重新建立新帳戶 ( 非 MS 登入 ) ➔ 創建 Admin ( 管理員 ) ➔ 移除第一個帳戶 封鎖木馬/勒索病毒 ➔ 直接修改系統與大面積破壞
3.　Admin 應用建置	Admin Winget	透過 Git 管理，隨時可在新電腦部署全域應用
4.　硬碟加鎖	BitLocker	封鎖物理攻擊 : 實體竊盜 + WinPE 入侵
5.　縱深防禦	Defense in Depth	將 UAC 提權與安全桌面防禦頂滿 ( 防劫持 + 防監聽 )
6.　創建 User 帳戶	-	一般權限 ( 99.99 % 都在此活動 )
7.　User 應用建置	User Winget	透過 Git 管理，隨時可在新電腦部署開發應用
8.　手動安裝指定應用	Manual Install	應用程式因授權保護或軟體特殊性，需手動安裝或授權
9.　個人化環境備份	Developer Experience	方便一鍵復原個人化環境
10.　鏡像快照	Offline Image	乾淨環境下製作快照 ( 離線鏡像 ) ➔ 備援防線
🔄 災難復原	鏡像還原	鏡像恢復 ( 快照包含系統穩定的時間點 + 已建置完善全應用 )
🔒 [ 加碼 ] 密鑰管理	Bitwarden	9 成密鑰存放處 + 2FA + Cryptomator 保險箱的主密碼 ( Master Password ) + BitLocker 密鑰復原檔 ( Recovery Key )
🔒 [ 加碼 ] 多元檔案管理	Cryptomator	加密資料夾
🔒 [ 加碼 ] 雙重驗證管理	Two-Factor Authentication	3-2-1 備份原則 : 三份資料、兩種媒介、一份異地

B.　Windows Account Creation

•　[ 系統管理員 ] Administrator
   - 帳號用途： 負責底層與全域工具 ( 僅用於安裝驅動程式、系統更新、執行會修改系統核心的腳本 )
   - 保持習慣： 平時不用此帳號上網，也不把它當作日常帳號

•　[ 標準使用者 ] User
   - 帳號用途： 負責應用程式與個人化環境 ( 日常開發、娛樂、瀏覽網頁 ...等 )
   - 強化防禦： 因為不是管理員，病毒若想寫入 C:\Windows 或修改系統註冊表，
               會直接被 UAC ( 使用者帳戶控制 ) 擋下，必須輸入密碼才能進行。
               能有效防止勒索軟體在背景自動加密系統檔案

C.　Anti-poisoning Habits

•　[ 主力防禦 ]
   - 保持 Windows Defender 開啟

•　[ 核心習慣 ]
   - 不下載來路不明的破解軟體（ KMS、遊戲外掛、點選「信任」的未知巨集 ）
   - 插上外來硬碟時，養成先右鍵用 Defender 掃描的習慣
   - 不用瀏覽器不合規插件 + cookie 密碼管理
   - 統一用 Bitwarden 管理大部分密鑰 + 2FA ( 註: 冷儲存不能少 )
   - 敏感資訊用匿名瀏覽器或獨立瀏覽器 ( 禁止外掛插件介入 )
     - 日常瀏覽 Google Chrome
     - 敏感瀏覽 Microsoft Edge

•　[ 定期掃除 ]
   - 執行 KVRT 進行全機深層掃描（ 防範高危險病毒、勒索軟體 ）
   - 執行 Malwarebytes 掃描（ 惡意彈窗廣告、流氓瀏覽器綁架、木馬程式 ）
   - 執行 ESET Online Scanner 掃描