Windows 伺服器安全維護七大核心策略：從磁碟格式到入侵偵測

企業伺服器面臨駭客攻擊、病毒、內部洩密等多重威脅，安全維護不容忽視。本文系統梳理七大核心策略，從基礎架構到進階防禦，構建纵深防御體系。

一、磁碟分區轉換為 NTFS

FAT/FAT32 無權限控制，任何存取即擁有完整權限。必須將含敏感資料分區轉為 NTFS，啟用檔案/資料夾層級 ACL、EFS 加密、磁碟配額。同步部署防毒軟體於伺服器與桌面端，每日自動更新病毒碼，並安裝 Exchange 郵件掃毒攔截惡意附件。

二、啟用 Windows NT 回撥功能保護遠端存取 (RAS)

RAS 是駭客入口。若遠端使用者固定地點撥入，啟用「回撥」：使用者登入後斷線，伺服器主動撥打預設號碼回連，駭客無法竄改回撥號碼。或限制遠端使用者僅能存取單一 RAS 伺服器共享資源，隔離損害範圍。另可使用非標準協定 (IPX/SPX、NetBEUI) 迷惑駭客（預期皆為 TCP/IP）。

三、建構安全工作站

• 統一使用 Win2000/WinNT 以上作業系統，啟用工作站鎖定、強制複雜密碼 (大小寫+數字+特殊字元、8 碼以上)、定期強制換密碼。
• 管制使用者登入工作站與時間（僅指定電腦、指定時段）。
• 推廣「哑終端」架構：應用與資料集中於伺服器 (Terminal Services)，工作站僅顯示畫面、傳遞輸入，極大降低端點風險。「聰明哑終端」讓程式在本地跑但資料在伺服器，平衡效能與安全。

四、下載安裝最新安全修補程式

追蹤微軟修補程式發布，不等 Service Pack，優先部署熱修補程式。注意安裝順序（邏輯序），錯誤順序導致檔案版本衝突、系統停擺。128 位加密版本 (北美限定) 比 40 位版本更安全。

五、建立嚴格使用者權限 (Win2000 Server 委派)

授權 HR 部門停用/刪除離職員工帳號，不給管理員權限。委派控制精確到「建立使用者」、「重設密碼」、「修改權限」等細項，實現最小權限原則。

六、安裝入侵偵測與警報系統 (IDS/IPS)

補足防火牆無法深度檢封包內容的缺口。IDS/IPS 即時監控、攔截、分析封包與內容，發現入侵立即：警告管理員、記錄攻擊行為 (留存法律證據)、切斷連線。構建多層次防禦纵深。

七、定期檢查防火牆設定

• 僅對外開放必要 IP (Web/郵件伺服器)，工作站/內部伺服器 IP 全隱藏 (NAT)。
• 關閉未使用連接埠 (如 81、135、445 等)，僅保留必要 (80 HTTP、443 HTTPS、25 SMTP 等)。參考 IANA 連接埠分配表。

結論：電子商務環境下，伺服器安全關乎企業核心資產與客戶隱私。需選擇整合防火牆、防毒、入侵偵測、定期更新的完整解決方案，並在組織層面落實安全政策、演練應變流程。技術手段與管理制度雙軌並行，方能在瞬息萬變的威脅環境中立於不敗之地。