策略一：密碼有效期 — 臨時帳號自動失效
針對外部合作夥伴/客戶臨時存取需求，設定帳號密碼「當日有效，隔日自動過期」。優點：免建立/刪除帳號流程，避免殭屍帳號殘留。Windows FTP / vsftpd / FileZilla Server 均支援密碼到期日設定。
策略二：強制密碼複雜度 — 提升破解成本
- 禁用純數字/純字母：8 位純數字約 24 小時可破解；英數混合 8 位需 2400+ 小時，難度增 100 倍。
- 禁止密碼 = 帳號名：字典攻擊首選測試項，等同無密碼。
- 最小長度 ≥ 8 字元 (建議 12+)，每增加 1 字元指數級提升暴力破解時間。
策略三：密碼歷史記錄 — 防止輪換舊密碼
設定「60 天內不得重複使用近 5 組密碼」。配合「每 7 天強制換密」，確保密碼持續新鮮度。適用於存放客戶訂單、財務資料等高機密 FTP 站點。
策略四：帳號鎖定策略 — 防禦暴力猜測
| 參數 | 建議值 | 說明 |
|---|
| 鎖定閾值 | 3-5 次失敗 | 平衡安全與誤觸 |
| 解鎖方式 | 管理員手工解鎖 | 高安全環境首選；低風險可設 15-30 分鐘自動解鎖 |
| 告警通知 | 即時郵件/簡訊/ Syslog 告警 | 供管理員判斷是否為惡意攻擊，啟動封鎖 IP、啟用 WAF 等應急措施 |
綜合部署建議
- 透過群組原則 (GPO) 或 FTP 伺服器原生設定統一下發，避免單點遺漏。
- 定期匯出帳號清單核對：停用離職/專案結束帳號、檢測弱密碼 (對照已洩露字典)。
- 關鍵資料站點強制啟用 FTPS (TLS 1.2+) 或 SFTP，加密傳輸層防竊聽。
