威脅模型雙面向
- 惡意攻擊：DoS/DDoS、病毒蠕蟲 — 耗盡資源、癱瘓服務、波及整網。
- 惡意入侵：竊取敏感資料、植入後門、破壞系統 — 機密洩露、持久化控制、資產損失。
防禦目標：將兩類風險降至最低。
一、構建硬體級安全防禦體系
核心組件
- 防火牆：第一道關卡，阻擋非法存取、過濾流量型攻擊 (SYN Flood, UDP Flood)。
- 入侵偵測系統 (IDS/IPS)：智能監控流量特徵，即時封鎖攻擊特徵碼、異常行為。
- 路由/交換設備 ACL：網路層面過濾偽造 IP、限制管理埠存取來源。
部署架構建議： Internet → 防火牆 → DMZ (Web/郵件伺服器) → 內部防火牆 → 核心資料庫/應用伺服器。
二、選用英文版作業系統 (被忽視的關鍵)
- 微軟漏洞修補：英文版 優先釋出補丁，中文版通常延遲數天至數週。
- 中文版額外本地化代碼引入更多潛在 Bug。
- 關鍵基礎設施 (DC, CA, Web, DB) 強烈建議部署英文版 + MUI 語言包，管理介面可切中文，核心保持英文。
三、防範駭客入侵：五大實戰策略
1. 採用 NTFS 檔案系統 + 磁碟分區隔離
系統盤、網站盤、資料盤、日誌盤分離。
NTFS ACL 精細控制：即使駭客拿到網站目錄權限，仍無法跨分區存取資料庫備份、系統登錄檔等敏感資料。
2. 完備備份機制 (3-2-1 原則)
- 3 份副本 (含原始)
- 2 種不同媒體 (磁帶、磁碟、雲端)
- 1 份異地離線備份
定期演練還原，確保 RTO/RPO 達標。
3. 關閉非必要服務 + 最小化開放埠
| 高風險預設服務/埠 | 風險 | 建議 |
|---|
| Remote Registry (遠端登錄檔) | 洩露系統敏感資訊 (如軟體授權碼、密碼雜湊) | 停用服務 |
| IIS (80/443) 非業務必要時 | 暴露 OS 版本、Web 伺服器版本 | 非 Web 伺服器請移除 IIS |
| TFTP (69/UDP) | 洩露 Linux/Unix 系統指紋 | Windows 無此服務，但防火牆封鎖 |
| NetBIOS (137/138/139), SMB (445) | 列舉帳號、共享、空連線攻擊 | 停用 NetBIOS、封鎖 445 |
原則： 關閉服務 → 封鎖埠 → 定期掃描驗證 (Nmap/Nessus)。
4. 軟體防火牆 + 防毒軟體 (纏深防禦)
硬體防火牆擋不住內部橫向移動、應用層攻擊。主機端啟用 Windows 防火牆 (進階安全性) + 輕量級防毒 (如 Windows Defender / ClamAV / 商用輕量版)，補足防禦深度。
5. 啟用完整稽核日誌 + 蜜罐機制
- 稽核：登入/登出、物件存取、原則變更、特權使用、程序追蹤 — 成功/失敗皆記錄。
- 日誌集中收集 (Syslog/SIEM)，防止本地被竄改。
- 高手可部署蜜罐 (Honeypot) 誘捕駭客，掌握攻擊手法並觸發告警。
四、持續營運檢查清單 (每日/每週/每月)
- [日] 檢查關鍵服務狀態、磁碟空間、異常登入事件 (Event ID 4625)
- [週] 掃描開放埠變化、審核帳號清單、驗證備份可還原
- [月] 部署安全更新、滲透測試/弱點掃描、複盤安全事件
結語
伺服器安全非裝幾套軟體即可高枕無憂，而是 架構設計 + 基線配置 + 持續監控 + 應急演練 的系統工程。從硬體防火牆到主機日誌，每一層都不可或缺。從今天開始，建立你的安全基線清單，並嚴格執行。
