許多管理員錯誤認為：「伺服器沒人操作、不開瀏覽器、不收郵件，不需防毒。」事實證明：APT 攻擊、供應鏈投毒、漏洞利用、內部橫向移動，伺服器才是高價值目標。PCI DSS、HIPAA、SLA 條款均強制要求伺服器級防護。
| # | 檢核問題 | 關鍵行動項 |
|---|---|---|
| 1 | 我們要防禦哪些流氓軟體威脅？是否記錄在事件響應計畫？ | 威脅建模：勒索軟體、挖礦蠕蟲、WebShell、供應鏈後門、內網掃描工具 |
| 2 | 我們受哪些法規/政策/合約約束？ | PCI DSS 5.1/5.2、HIPAA §164.308(a)(5)、ISO 27001 A.12.2、客戶 SLA 防毒條款 |
| 3 | 是否需要即時掃描？ | **是**。排除資料庫/備份/日誌目錄避免效能衝擊，其餘全盤即時 |
| 4 | 哪些檔案/資料夾需加入排除清單？ | SQL/Exchange/Oracle 資料目錄、備份暫存區、應用程式日誌、暫存檔目錄 |
| 5 | 是否需要瀏覽器層級防護（反釣魚/駭客網站阻擋）？ | 伺服器**嚴禁**安裝瀏覽器/辦公軟體。若必須（管理主控台），啟用增強保護模式/應用程式防護 |
| 6 | 管理員是否在伺服器收發郵件？ | **嚴禁**。郵件客戶端、Outlook、網頁郵件均為高風險載體。改用跳板機/管理工作站 |
| 7 | 全盤掃描最佳策略？是否必要？ | **必要**。排程在維護窗口（週末低峰），分批掃描，啟用低優先級 I/O、CPU 節流 |
| 8 | 僅保護 OS 盤？資料盤是否可能感染？ | **資料盤同樣需保護**。Web 上傳目錄、共享資料夾、應用暫存區均為落地點 |
| 9 | 除生產伺服器，還有哪些實體/虛擬 Windows 伺服器需防護？ | AD/DC、CA、管理伺服器、跳板機、模板/映像庫、災備演練環境、Build Agent |
| 10 | 邊界/雲端防毒是否足夠，可免裝主機端？ | **不足夠**。邊界看不見內網橫向移動、加密流量、零時差漏洞利用。纵深防禦必備主機端 |
| 策略 | 說明 |
|---|---|
| 桌面/伺服器異廠 | 桌面用 A 廠、伺服器用 B 廠，避免單一廠商特徵庫盲區同時失效 |
| 管理工作站隔離 | 所有伺服器管理操作（RDP/SSH/主控台）僅允許來自強化管理工作站（PAW） |
| 映像預裝 | 黃金映像內建防毒 Agent、策略、排除清單，開箱即合規 |
| 集中管控 | 單一主控台推送策略、收集事件、觸發隔離/修復，禁用本地管理員停用防毒 |
| 定期驗證 | 每月 EICAR 測試、滲透測試、紅隊演練驗證偵測/回應能力 |
伺服器防毒不是「裝上就好」，而是「策略、排除、排程、管控、驗證」五環相扣。回答上述十大問題、套用微軟角色排除清單、落實異廠/隔離/預裝/集中/驗證五策略，才能在 APT 時代守住伺服器防線。
