網路伺服器面臨惡意攻擊（DoS、病毒）與惡意入侵（資料竊取、破壞）雙重威脅。本文從硬體防護、作業系統選擇、檔案系統、服務與連接埠管理、備份、日誌稽核、軟體防火牆/防毒七大面向，提供八大核心策略打造深層防禦體系。
一、 構建硬體安全防禦體系
- 部署防火牆：阻擋非法存取、濾除流量型攻擊（如 DoS）。
- 部署入侵偵測系統 (IDS)：監控進出流量，智慧識別攻擊特徵。
- 部署路由系統：實施存取控制清單 (ACL)、網路區隔。
二、 選用英文版作業系統
英文版 Windows 安全性更新發布較中文版早，縮短暴露於已知漏洞的時間窗口。中文版補丁延遲釋出，易被駭客利用。
三、 採用 NTFS 檔案系統
- 支援檔案/資料夾層級存取控制清單 (ACL)，實現精細權限管理。
- 支援檔案加密 (EFS)、磁碟配額、壓縮、日誌式還原。
- 敏感資料與服務資料分置不同分區，縮小入侵影響範圍。
四、 做好系統備份與異地儲存
定期完整/差異備份系統狀態與資料，備份媒體異地保存。備份加密與排程於上班時間完成，防止備份媒體被竊取後還原洩密。
五、 關閉不必要服務與連接埠
- 停用高風險預設服務：
Remote Registry（遠端登錄存取）、Telnet、Simple TCP/IP Services 等。
- 封鎖非業務必要連接埠：如 TCP 135/139/445 (RPC/NetBIOS)、UDP 137/138、TCP 69 (TFTP) 等。
- 實施 TCP/IP 連接埠篩選，僅開放業務必需埠（如 80, 443, 3389 等）。
六、 部署軟體防火牆與防毒軟體
硬體防禦之外，主機端軟體防火牆（如 Windows 防火牆進階設定）與即時掃描防毒軟體提供纵深防禦，攔截繞過邊界的惡意代碼。
七、 啟用稽核原則與事件日誌
- 設定「稽核原則」：登入事件、物件存取、權限使用、原則變更等均勾選「成功/失敗」。
- 定期分析安全性日誌，追蹤異常登入、權限提升、檔案異常存取。
- 進階：部署蜜罐誘捕駭客，取得攻擊手法與工具情報。
八、 最小權限原則與帳號管理
- 服務帳號、應用程式帳號僅授予必要最低權限。
- 強制複雜密碼策略、定期輪換、帳號鎖定機制。
- 移除/停用預設共用帳號（Guest）、重新命名 Administrator。
安全無絕對，唯有深層防禦、持續監控、快速應變，方能將風險降至最低。
