伺服器安全不是裝個防毒軟體就萬事大吉，而是一個系統工程。本文提煉五大核心實戰技巧，涵蓋檔案系統、備份加密、遠端存取、安全策略、防火牆審計，助新手建立纵深防禦體系。
技巧一：基礎加固 —— NTFS 權限與強密碼策略
- 全盤 NTFS：所有儲存敏感資料的分區必須轉換為 NTFS (
convert X: /fs:ntfs)，FAT32 無任何權限控制，等於裸奔。
- 最小權限原則：網站目錄僅授予
IIS_IUSRS/應用程式池身分 讀取/執行；上傳目錄單獨授予 寫入，並移除執行權限 (見技巧五)。
- 強制複雜密碼：
secpol.msc → 帳號原則 → 密碼原則 → 「密碼必須符合複雜性需求」→「已啟用」；最小長度 12+；最大壽命 90 天；歷史記憶 24 次。
- 登入時間限制：非 24/7 運維帳號 (如實習生、外包) 設定
net user username /time:M-F,09:00-18:00，離職即禁用/刪除。
技巧二：備份加密與離線保管 —— 最後防線
- 備份即標靶：備份檔包含完整資料庫、程式碼、設定，被竊等同全庫外洩。
- 加密備份：備份軟體啟用 AES-256 加密；若不支援，
7z a -mx=9 -mhe=on -p'StrongPass!' backup.7z data\。
- 異地離線：至少一份備份存放於不同物理位置、不同網路隔離區 (異地機房、雲端冷存儲、離線硬碟保險箱)。
- 錯峰執行：備份排程避開業務高峰，減少竊取者「備份完成即偷走」的時間窗口。
- 定期演練：每季隨機抽取一份備份進行完整還原測試，驗證完整性與流程可行性。
技巧三：遠端存取 (RAS/VPN/RDP) 硬化
- 回撥功能：固定地點遠端維護啟用「回撥」 (RAS 伺服器斷線後撥回預設號碼)，防憑證被盜用於異地登入。
- 跳板機/堡壘機：禁止生產伺服器直連公網 RDP/SSH。統一經由堡壘機 (記錄操作、雙因子認證、命令審計) 代理存取。
- 協議隔離：RAS/VPN 可嘗試 IPX/SPX 或 NetBEUI (舊系統) 替代 TCP/IP，降低掃描發現率；現代環境強制 IPsec/IKEv2 + 証書認證。
- 單一入口原則：遠端帳號僅能訪問專用跳板機/管理網段，嚴禁直接訪問資料庫、核心應用伺服器。
技巧四：書面化、強制執行的安全策略
- 白紙黑字：制定《伺服器安全管理規範》，涵蓋帳號生命週期、補丁管理、應急響應、違規處罰。
- 權限最小化委派：Windows 2000+ 支援「控制項委派」。例：授權 HR 僅能「停用/刪除離職帳號」，無建立/修改權限，防內部提權。
- 離職即時生效：HR 系統觸發 API → 自動停用 AD/本地帳號、撤銷 VPN 憑證、回收門禁，零人工延遲。
技巧五：防火牆規則審計與端口最小化
- IP 白名單：防火牆僅對外暴露極少數業務必需 IP (Web 伺服器 80/443、郵件 25/587/993、DNS 53)。管理埠 (3389/22) 僅允許堡壘機/VPN 閘道 IP。
- 端口掃描驗證：月度執行
nmap -sS -p- (外部視角)，對比授權清單，發現未授權開放埠立即封鎖溯源。
- 關閉非必要埠：TCP 81, 135, 139, 445, 1433, 3306, 5432, 6379, 27017 等內部服務埠絕不直連公網。
- 規則文檔化：每條規則備註：業務名稱、負責人、建立日期、審核人、下次審核日期。
安全是過程而非產品。這五大技巧無需昂貴工具，紀律執行 > 工具堆疊。從今天開始：NTFS 化、備份加密、RDP 收攏、策略落紙、防火牆審計，安全等級立即躍升。
