伺服器安全非單一工具可解，需從架構、流程、人員多面著手。以下七大實戰技巧：
技巧一：從基礎做起 —— 根基不牢，地動山搖
- 檔案系統必須為 NTFS：FAT/FAT32 無 ACL 權限控制，任何安全軟體皆無效。
convert c: /fs:ntfs 無損轉換。
- 防毒軟體雙層部署：伺服器端即時掃描 + 用戶端即時掃描，病毒碼每日自動更新。部署 Exchange 郵件掃描器攔截帶毒附件。
- 時間限制網路存取：依員工上班時段限制 VPN/遠端桌面/共用資料夾存取時間，非常態時段拒絕連線。
- 強制強式密碼策略：長度 ≥ 8、大小寫+數字+特殊字元、定期到期 (30-90 天)、歷史密碼記憶 ≥ 5 代、鎖定閾值 5 次/30 分鐘。使用
passprop.exe (NT Resource Kit) 強制執行。
- 自我滲透測試：下載駭客工具 (John the Ripper、Hydra、Medusa) 測試自身密碼強度，知己知彼。
技巧二：保護你的備份 —— 備份也是攻擊目標
- 備份帶 (磁帶/硬碟) 必須**加密** (AES-256) 或設定**密碼保護**。
- 排程備份完成時間設為**上班前** (如 08:00)，夜間備份進行中無法被竊取；若被強行彈出，資料因不完整而無法還原。
- 異地備份傳輸需加密通道 (VPN/IPsec/TLS)，不可明文傳輸。
技巧三：RAS 遠端存取使用「回撥」功能
- 固定地點遠端人員 (居家/分公司) 啟用回撥：使用者撥入 → 驗證 → 伺服器掛斷 → 伺服器撥打預設號碼回連。駭客無法竄改回撥號碼。
- 限制遠端使用者僅存取特定 RAS 伺服器共用資料夾，隔離核心網路區段。
- RAS 協議改用 **NetBEUI** 或 **IPX/SPX** 而非 TCP/IP，增加駭客偵測難度 (安全性模糊化)。
技巧四：重視工作站安全 —— 工作站是伺服器的延伸入口
- 統一部署 Windows 2000/XP 以上作業系統，啟用鎖定工作站 (Win+L)。
- 限制特定帳號僅能從指定電腦登入 (使用者管理員 → 帳號屬性 →「登入工作站」)。問題員工僅能從自己電腦登入，攻擊可追溯。
技巧五：工作站與伺服器職責分離 —— 啞終端/智慧啞終端架構
- 純啞終端：工作站僅跑 Windows 最小核心 + Terminal Services Client，所有應用在伺服器執行 (Terminal Server 模式)，資料零落地，最高安全性。
- 智慧啞終端：應用安裝在伺服器，但利用本地 CPU/記憶體執行 (捷徑指向伺服器 UNC 路徑)，降低伺服器負載，資料仍集中管理。
- 兩者皆免去工作站修補、防毒、軟體部署負擔，集中管控。
技巧六：服務分離與最小化安裝
- 單一伺服器單一角色：Web 伺服器不跑 SQL、DC 不跑 Exchange、郵件伺服器不跑檔案服務。
- 虛擬化技術 (Hyper-V/VMware) 實現邏輯隔離，資源獨立、故障域隔離、快照備份還原。
技巧七：持續監控與應變演練
- 部署 HIDS (OSSEC、Wazuh) 監控關鍵檔案完整性、Rootkit、異常程序。
- 制定事件應變手冊：洩漏通報流程、證據保全鏈、系統隔離/鑑識/恢復 SOP。
- 每季辦桌上演練：模擬勒索軟體、資料洩漏、DDoS、內部威脅場景。
安全是過程而非產品。技術手段需配合管理制度、人員意識、法律合規，構建纵深防禦體系。
