資安攻防本質上圍繞三大鐵律：IT 系統無法絕對可靠識別用戶身分；授權用戶可能被利用；一旦駭客取得主機存取權，主機即面臨淪陷風險。因此，「主機加固」作為最後一道防線，其重要性不言而喻。面對日益專業化的犯罪駭客組織 (如住友銀行 2 億英鎊駭客案)，單靠邊界防火牆已不足禦敵。內網 USB 介面、閒置連接埠、免費駭客工具結合物理存取，構成內部威脅新攻擊面。本文提出五大主機加固核心策略，構建纵深防禦體系。
策略一：斷開非必要網路連接——最徹底的隔離
若主機無業務必要連接特定網段 (如管理網、備份網、廠商維護 VPN)，在物理或邏輯層面斷開連接。駭客「摸不到」的主機，自然無法入侵。實施網路分段 (VLAN、防火牆區域、零信任微隔離)，縮減攻擊面至最小必要集合。
策略二：關閉連接埠與啟用內建安全特性——減少攻擊面
- 預設拒絕原則： Windows 預設 Everyone 完全控制極度危險。修改 NTFS 權限，實施「最小權限」：無擁有權者無自動存取權。
- 服務精簡： 透過 MMC (services.msc) 停用並設為「手動」或「停用」所有非業務必要服務。進程越少，潛在漏洞利用鏈越短。
- 連接埠封鎖： 僅開放業務必要連接埠 (如 Web 80/443、SSH 22、RDP 3389 且限定管理 IP)，其餘在主機防火牆與邊界雙層封鎖。
策略三：限制存取權限與職責分離——雙重驗證門檻
- 管理權限切割： 作業系統管理員 ≠ 資料庫管理員 ≠ 應用程式管理員。入侵資料庫需同時破解兩組獨立憑證，難度指數級上升。
- 角色基礎存取控制 (RBAC)： 將列印管理、備份操作、使用者帳號管理等細粒度權限委派給專責群組，不授予主機完整控制權。
- 時間與環境限制： 禁止非值班人員離廠後登入主機；限定管理動作僅能從受管裝置 (加域筆電、堡壘機) 發起。
策略四：強化驗證與存取控制——多因子與情境感知
- 多因子驗證 (MFA)： 管理員登入主機強制要求：使用者名/密碼 + 硬體金鑰 (YubiKey/智慧卡) 或生物辨識 (指紋/臉部辨識)。
- 跳板機/堡壘機強制代理： 所有管理連線 (RDP、SSH、PowerShell Remoting) 必須經由堡壘機，並錄製完整作業影片與指令日誌。
- 實體存取綁定： 整合門禁系統，管理員需「刷卡進機房」+「MFA 登入堡壘機」+「核准工單」三重驗證才能操作主機。
策略五：變更作業系統與核心重構——根源消除漏洞類別
若需更高安全等級，恐須採用專門技術。不要單單把 Windows 當作伺服器作業系統。
- Unix/Linux 優勢： 20 年安全配置經驗積累；核心可精簡重編，僅保留必要模組 (移除未用驅動、檔案系統、協議棧)；原始碼可審計、可強化 (Grsecurity、SELinux、AppArmor、OpenBSD pledge/unveil)。
- Windows 挑戰： 巨大核心無法精簡；歷史相容性負擔大量 legacy 代碼；漏洞回報率高因攻擊面廣、攻擊者 ROI 高。
- 專用設備化： 關鍵資料庫、金融核心、工控系統建議採用經強化的 Unix/Linux 專用設備 (Appliance) 或經認證的安全加固發行版 (RHEL STIG、SUSE Hardened、Oracle Linux with Ksplice)。
外包風險與治理
主機加固常需外包專業廠商，但引入供應鏈風險：外包人員權限過大、交付成果難驗證、合約結束後殘留後門。治理對策：
- 採用「最小權限、限時、審計」原則授權外包帳號。
- 要求交付完整加固基準報告 (對照 CIS Benchmarks、STIG)、掃描報告、變更記錄。
- 驗收後立即輪換所有外包使用過的憑證、金鑰、密碼。
- 納入供應鏈安全評估 (SOC 2 Type II、ISO 27001) 為採購門檻。
結語
主機加固非一次性專案，而是持續演進的生命週期管理：基準配置 → 持續合規稽核 → 威脅情報驅動的修補優先級 → 定期滲透測試驗證。五大策略層層疊加，將單點失效機率壓至最低，為核心資產贏得寶貴的偵測與響應時間窗口。
