前言：FTP 安全的多層防禦體系
FTP 協議天生明文傳輸帳密，加上伺服器軟體歷史漏洞頻出，構建安全 FTP 伺服器需從作業系統、網路邊界、應用層軟體三層面佈防。本文以 Windows 2000/XP/2003 為例，詳細說明強化步驟。
第一層：作業系統選擇與基礎強化
- 拒用 Win98/Me/NT：安全機制缺失，極易遭攻陷。
- 首選 Windows 2000 以上：支援 NTFS、ACL、EFS、群組原則等企業級安全特性。
- 及時修補：啟用自動更新或建立月度修補週期，修補 OS 與 IIS 漏洞。
- 最小化安裝：僅安裝必要元件，減少攻擊面。
第二層：防火牆與連接埠管控
方案 A：TCP/IP 篩選（Win2000/XP 內建）
路徑：區域連線內容 → TCP/IP 內容 → 進階 → 選項 → TCP/IP 篩選 → 啟用 → 「僅允許」添加埠 21（FTP）與其他必要埠。
缺點：僅支援白名單，大量埠需逐一手動添加，無法自訂黑名單。
方案 B：Internet 連線防火牆（ICF，WinXP/2003 內建）
控制台 → 網路連線 → 撥號/區域連線內容 → 進階 → 勾選「保護我的電腦」 → 設定 → 勾選「FTP 伺服器」→ 編輯填入公網 IP。
優點：支援自訂規則、埠對應（如對外 22 對內 21）、介面友善、即時生效。
方案 C：第三方企業級防火牆
推薦：Symantec Norton AntiVirus Corporate + Personal Firewall 2003，提供深度封包檢測、入侵防禦、病毒掃描整合。
第三層：FTP 伺服器軟體進階配置
IIS FTP 站點強化
- 安裝目錄移至非系統盤：避免 IIS 溢位漏洞波及系統分區。
- 關閉非必要服務：IIS 為綜合服務套件，僅啟用 FTP、WWW 等必要角色。
- 僅允許匿名連線：避免系統帳密明文傳輸洩露。屬性 → 安全性帳號 → 勾選「允許匿名連線」。
- 主目錄權限最小化：採本機 NTFS 分區，移除「寫入」權限，僅保留「讀取」、「記錄」。
- 修改預設埠 21：降低自動掃描攻擊機率。
- 啟用日誌記錄：W3C 擴展格式，保留至少 30 天，定期審計異常登入。
Serv-U 進階安全配置（優於 IIS 原生 FTP）
本機伺服器設定
- 勾選「攔截 FTP Bounce 攻擊與 FXP」：防止惡意用戶利用 PORT 指令跳板攻擊內網其他主機。
- 進階分頁：勾選「加密密碼」（MD5 Hash 存儲）與「啟用安全」。
帳號層級密碼策略
針對具管理權限帳號，密碼類型選擇 OTP S/KEY MD4/MD5（單次密碼），拒絕明文傳輸。需搭配支援 S/KEY 的客戶端（如 CuteFTP Pro）。
目錄權限與日誌
- 主目錄採本機 NTFS，最小權限原則，非必要不給寫入。
- 設定 → 日誌 → 啟用「記錄到檔案」，自訂路徑、參數（時間、IP、指令、傳輸量），便於事後鑑識。
總結：安全是持續過程而非一次設定
從 OS 選型、修補管理、防火牆規則、FTP 軟體配置、帳號權限、日誌審計，每一環扣緊，才能構建經得起實戰考驗的 FTP 服務。建議每季執行一次滲透測試與配置複核，持續演進防禦態勢。
