Windows 伺服器安全維護八大關鍵要點：程式碼檢查、滲透測試、日誌分析、修補管理、服務精簡、資訊隱藏、權限最小化、資料庫強化

Windows 伺服器安全維護需從程式碼、系統、網路、權限多層面建立防禦體系。以下八大核心維護項目：

1. 網站程式碼安全審計：檢查是否被植入網頁木馬、ASP/PHP/JSP 後門、單向加密雜湊洩漏、敏感資訊硬編碼。
2. 常見漏洞掃描與修補：SQL 注入、檔案上傳漏洞 (雙重副檔名、MIME 偽裝、解析漏洞)、XSS 跨站腳本、CSRF 偽造請求、路徑遍歷、反序列化漏洞。使用掃描器 (OWASP ZAP、Nessus、AWVS) 定期掃描。
3. 系統日誌深度分析：安全性事件日誌 (Event ID 4624/4625 登入成功/失敗、4672 特殊權限登入、4688 程序建立)、系統/應用程式日誌異常、防火牆/IDS 日誌關聯分析。建立 SIEM 或日誌集中管理。
4. 作業系統與軟體修補管理：
   ① 啟用 WSUS 或自動更新安裝關鍵/安全性更新。
   ② 第三方軟體 (資料庫、中介軟體、防毒、備份軟體) 同步更新至穩定版本。
   ③ 修補前在測試環境驗證相容性，制定回滾方案。
5. 系統服務與元件最小化：
   ① 移除不必要 Windows 元件 (IIS 未用模組、列印服務、遠端協助等)。
   ② 停用高風險服務 (Remote Registry、Telnet、Messenger、SSDP、IIS Admin 等)。
   ③ 關閉非業務必要連接埠 (135, 139, 445, 1433, 3389 等)，僅在防火牆對特定 IP 開放。
6. 服務資訊隱藏與偽裝：
   ① 修改 HTTP Server 標頭 (移除版本資訊)。
   ② 變更 SSH/FTP/SMTP 等服務預設歡迎訊息。
   ③ 使用 Port Knocking、SPA (Single Packet Authorization) 隱藏管理埠。
7. 權限最小化原則實施：
   ① 每站點獨立 IIS 匿名使用者 (IUSR_*) / 應用程式集區身分識別。
   ② 僅授予網站目錄「讀取/執行」、上傳目錄「寫入」，禁止「列出目錄」、「執行腳本」。
   ③ 禁用危險命令執行 (cmd.exe、powershell.exe、wscript/cscript 等) 針對網站身分識別。
   ④ 即使上傳 Web Shell 也無法執行系統指令、無法存取敏感目錄。
8. 資料庫與應用服務強化：
   ① SQL Server：移除預設 sa 帳號/設強密碼、停用 xp_cmdshell 等危險擴充預存程序、啟用透明資料加密 (TDE)、最小化服務帳號權限。
   ② FTP (Serv-U/FileZilla)：強制 FTPS/SFTP、限制 IP、啟用帳號鎖定策略。
   ③ 設定 WAF (Web Application Firewall) 規則攔截已知攻擊特徵。

維護頻率建議

• 日誌分析：每日自動化、每週人工抽查。
• 漏洞掃描：每週完整掃描、重大變更後增量掃描。
• 修補評估：每月例行 (微軟 Patch Tuesday 後)、零日漏洞緊急評估。
• 權限審計：每季完整審計、人員異動時即時調整。

免責聲明：維護項目僅針對 Windows 平台伺服器。軟體授權由客戶自行解決。僅修改涉及程式碼安全部分，不修改其他業務邏輯程式碼。