針對 Windows 伺服器常見的惡意攻擊 (DoS、病毒) 與入侵 (資料竊取、破壞)，本文整理入門級防護三大面向：硬體防禦、OS 選擇與設定、服務與連接埠精簡。
一、建構硬體安全防禦體系
- 防火牆：第一道關卡，阻擋非法存取、流量型攻擊 (如 DoS)。
- 入侵偵測系統 (IDS)：智慧型監控，過濾具攻擊特徵的封包，提供深度防禦。
- 路由系統：配合 ACL、黑洞路由等策略協助緩解攻擊。
完善安全模型 = 防火牆 + IDS + 路由 + 後端伺服器強化。
二、選用英文版作業系統
微軟漏洞修補：英文版優先發布、Bug 相對較少。中文版修補延遲形成暴露窗口，建議生產環境採用英文版 OS + 中文語言包/輸入法。
三、防止入侵的五大關鍵措施
- 採用 NTFS 檔案系統：支援檔案/資料夾級 ACL、EFS 加密、磁碟配額。敏感資料與服務資料分置不同分區，縮小滲透後影響範圍。
- 做好系統備份：定期完整/差異備份，異地儲存，驗證可還原。有備無患，快速復原。
- 關閉不必要的服務與連接埠：
高危服務範例：Remote Registry (遠端登錄存取，洩露敏感資訊如 pcAnywhere 密碼)、IIS (若非 Web 伺服器請移除)。
連接埠原則：僅開放業務必要埠。開放埠會洩露 OS/服務版本資訊 (如 80→IIS/Win2000, 69→Linux TFTP)，協助攻擊者偵察。TCP/IP 篩選同時防毒、防駭。
- 部署軟體防火牆與防毒軟體：硬體防禦外再加一層主機級防護，纏深防禦。
- 啟用稽核日誌：記錄登入失敗、物件存取、原則變更等。分析日誌可追蹤入侵者腳印、發現後門、評估弱點。進階可部署蜜罐誘捕攻擊者。
安全是持續過程，非一次性設定。建立基線、定期稽核、即時修補、演練應變，才能真正守護伺服器資產。
