前言：威脅演變與防禦必要性
隨著電子商務普及，伺服器成為駭客、病毒、內部洩密的核心目標。單一防火牆已不足，需建構多層次、可驗證、可持續運營的安全體系。
策略一：檔案系統層面 — 全盤 NTFS 與權限最小化
- 所有含敏感資料分區轉換 NTFS (
convert c: /fs:ntfs)
- 移除 FAT 分區固有的「Everyone 完整控制」風險
- 防毒軟體雙層部署：伺服器端即時掃描 + 桌面端防禦，病毒碼每日自動更新
- Exchange 郵件網關掃描：攔截帶毒附件於使用者收信前
- 帳號存取時間限制：依上班時段控制登入窗口
- 強制複雜密碼策略：長度 ≥ 8、大小寫數字符號混合、定期強制變更、歷史密碼記憶
- 定期自行下載駭客工具 (如 Cain、John the Ripper) 測試密碼強度
策略二：遠端存取 — RAS 回撥與協定迷惑
- 固定地點遠端用戶：啟用「回撥」功能，伺服器掛斷後撥回預設號碼，杜絕號碼竄改
- 高風險用戶：限制僅能存取單一 RAS 伺服器共享資料夾，隔離核心網路
- 非主流協定：RAS 改用 IPX/SPX 或 NetBEUI，增加駭客掃描識別難度
策略三：工作站強化 — 乾淨桌面與登入限制
- 統一升級 Win2000/WinXP Pro，啟用鎖定工作站 (Win+L)
- 問題員工：帳號綁定特定電腦 MAC/IP，限制登入時段
- 乾淨終端模式：無本地資料/應用，所有運算於終端機伺服器，僅傳遞畫面更新 — 最高安全等級
- 智慧型終端：應用安裝於伺服器，本地執行 (使用本地 CPU/RAM)，平衡效能與安全
策略四：修補程式管理 — 熱修補與 Service Pack 同步
- 訂閱 Microsoft Security Bulletin、CERT/CC 警示
- 熱修補 (Hotfix) 優先於 Service Pack 部署，嚴格依序安裝避免版本衝突
- 自動化工具：SUS (Software Update Services) / WSUS 集中推送
- 128 位加密版本 (北美限定) 優於 40 位國際版
策略五：委派管理 — 角色基礎存取控制 (RBAC)
- Win2000/2003 原生支援委派控制
- 範例：HR 部門僅授權「停用/刪除離職員工帳號」，無建立/修改權限
- 最小權限原則延伸至管理任務，縮減內部威脅面
策略六：入侵偵測與告警 — 第二道防線
- 網路型 IDS (Snort、Suricata) 部署於核心交換機鏡像埠
- 主機型 HIDS (OSSEC、Tripwire) 監控關鍵檔案完整性
- 告警動作：即時郵件/簡訊通知管理員、自動封鎖來源 IP (聯動防火牆)、完整封包留存作為法律證據
- 日誌集中儲存 (Syslog/SIEM)，數位簽名防竄改
策略七：防火牆規則定期審計
- 原則：預設拒絕，最小開放
- 僅對外公開必要 IP (Web、Mail、DNS)，內部工作站/資料庫 IP 全部隱藏 (NAT)
- 埠口審計：關閉所有非業務必要埠 (如 81、135、445 等)
- 參考 IANA 埠口註冊表確認用途
結語
安全非一次性專案，而是持續運營流程。建議導入 ISO 27001/PDCA 循環：策劃 → 實施 → 檢查 → 改善，並整合防火牆、防毒、IDS、修補管理、日誌審計於單一管理平台，實現端到端可視、可控、可追溯。
