核心原則：伺服器防護 ≠ 客戶端防毒
伺服器承載核心業務，要求更高可靠性、更低效能衝擊、更精細的應用感知防護。防護策略需分層：
第一層：減少攻擊面
- 移除非必要服務、角色、功能（Server Core 安裝選項）
- 停用未使用的通訊埠、協定、裝置驅動程式
- 最小權限原則：服務帳號、應用程式池身分、資料庫登入
第二層：修補與基線管理
- WSUS / SCCM / 第三方修補管理工具自動化部署
- 建立測試環境驗證更新相容性 → 分階段推送生產環境
- MBSA (Microsoft Baseline Security Analyzer) 定期掃描基線偏離
第三層：主機防火牆與網路隔離
- Windows 防火牆進階安全性：輸出規則同樣重要（防止反向 Shell、資料外洩）
- IPsec 隔離域：將伺服器群組納入需認證的加密通訊區域
- 微隔離：NSX / Cisco ACI / Windows SDN 實現工作負載級東西向流量控制
第四層：應用層專項防護
Web 伺服器 (IIS/Apache/Nginx)
- IIS Lockdown Wizard：關閉非必要 ISAPI 擴充、CGI、WebDAV、FrontPage Extensions
- URLScan / Request Filtering：封鎖雙重編碼、路徑遍歷、超長查詢字串、可疑 User-Agent
- 應用程式池隔離：每站點獨立身分、回收條件、CPU 限制
資料庫伺服器 (SQL Server/MySQL/Oracle)
- 僅開放應用伺服器 IP 存取 1433/3306/1521
- 啟用透明資料加密 (TDE)、稽核、資料遮罩
- 參數化查詢強制、最小權限資料庫角色
郵件伺服器
- 雙層掃描：SMTP 閘道掃描（入站/出站）+ 信箱層級掃描（內部傳播）
- 複雜附件處理：沙箱解壓縮、巨集偵測、信譽檢查
- DKIM/SPF/DMARC 完整部署防範偽造郵件
防毒軟體選型關鍵指標
| 指標 | 要求 | 驗證方式 |
|---|
| 掃描 CPU 佔用 | < 15% 尖峰 | EICAR 測試檔 + 效能監視器 |
| 相容性 | 核心應用無衝突 | 預演環境跑完整回歸測試 |
| 更新頻率 | 病毒碼 < 4 小時、引擎 < 30 天 | 廠商 SLA 承諾 |
| 遠端管理 | 主控台無需實體登入 | 功能演示 |
持續運營：無止境的安全迴圈
- 每日：審核安全性事件日誌、備份驗證
- 每週：漏洞掃描、權限複核、流量基線比對
- 每月：滲透測試 (內部/外部)、災難演練、供應鏈風險評估
- 每季：架構審視、法規遵循稽核、紅隊演練
🔑 關鍵認知：伺服器端防護只是「第一道門」。內部威脅（權限濫用、社交工程、供應鏈投毒）往往比外部攻擊更隱蔽、破壞力更大。零信任架構、資料分級分類、員工安全意識培訓同樣不可或缺。
