網站管理者忽視伺服器安全導致惡性事件頻傳。本文提煉七大核心防護面向，涵蓋檔案系統、防毒、存取控制、備份安全、時間基存取、密碼策略、自我滲透測試，構建纵深防禦基線。
秘笈一：從基礎做起 — 檔案系統與防毒雙重保障
- **所有敏感資料分區必須格式化為 NTFS**，FAT/FAT32 無權限控制、無加密、無稽核，裝再多防毒也無用。
- 伺服器與桌面端**同步部署防毒軟體**，設定**每日自動更新病毒碼**。
- Exchange 伺服器**必裝郵件掃描引擎**，攔截含毒附件於使用者信箱前。
秘笈二：保護你的備份 — 離站加密與時間窗口
- 備份媒體 (帶櫃/磁帶/異地 NAS) **啟用密碼保護 + 加密** (軟體支援時)。
- **排程備份完成時間 = 管理員上班時間** (如 08:30)，避免半夜備份完成被竊取；若被強行彈出，加密資料對竊賊無價值。
- 定期進行**還原演練**，驗證備份可用性與 RTO/RPO。
秘笈三：時間基存取控制 — 非工作時段封鎖登入
- 一般員工帳號**限制登入時間** (如 08:00-18:30)，非工作時段嘗試登入直接拒絕。
- 特殊專案需求由主管簽核臨時開放時段，事後自動收回。
- 實作方式：AD 使用者屬性 →「帳號」→「登入時間」/ 群組原則「拒絕本地登入」配合排程腳本。
秘笈四：強制強式密碼策略 — 長度、複雜度、歷程、鎖定
- 最小長度 **8 字元以上**，含大小寫、數字、特殊符號。
- **強制密碼歷程** ≥ 10 代，防止輪換舊密碼。
- **帳號鎖定原則**：5 次失敗鎖定 30 分鐘，需管理員解鎖或自動解鎖。
- 定期 (90 天) **強制變更密碼**，離職帳號即時停用/刪除。
- 可下載駭客工具 (如 Cain, John the Ripper) 對自身密碼庫離線破解測試強度。
秘笈五：最小權限原則 — NTFS/共享/IIS 匿名帳號三層切割
- NTFS：系統盤、
Inetpub、System32 關鍵執行檔僅 Administrators/SYSTEM 完全控制。
- 共享權限：唯讀/讀取/變更最小授予，**不可**對 Everyone 給完全控制。
- IIS 匿名使用者 (
IUSR_*)：僅授予網站虛擬目錄「讀取/執行腳本」，**嚴禁**寫入、列出目錄、執行 cmd.exe。
秘笈六：停用非必要服務與危險 COM 元件
- 服務：Print Spooler、Remote Registry、TCP/IP NetBIOS Helper、Server (非檔案伺服器) → 停用並設定為「停用」。
- COM 元件：
WScript.Shell、Shell.Application、WScript.Network → 註冊反向刪除或改名 (CLSID/ProgID 修改)，阻斷 ASP 木馬執行任意程式/提權。
秘笈七：持續修補與自我滲透測試
- **Windows Update 自動更新** (或 WSUS 統一管理) — 防毒 ≠ 修補，未修補漏洞會導致病毒反覆感染。
- **每季執行一次滲透測試** (內部/外部)，掃描開放埠、弱密碼、未修補漏洞、錯誤設定，產出報告並追蹤修復關單。
- 訂閱安全公告 (Microsoft Security Bulletin, CVE, 廠商通告) 並建立 72 小時內評估部署機制。
總結：纵深防禦檢查清單
- NTFS 全盤 + 防毒雙端 + 郵件掃描
- 備份加密 + 完成時間對齊上班
- 帳號登入時間限制
- 強式密碼 + 歷程 + 鎖定 + 定期輪換
- NTFS/共享/IIS 三層最小權限
- 服務精簡 + 危險 COM 移除改名
- 自動修補 + 季度滲透測試 + 公告追蹤
安全非一次性專案，而是持續營運流程。從今天開始落實任一項，即降低一層風險。
