前言：伺服器安全不容忽視

隨著網路經濟蓬勃發展與電子商務普及，企業伺服器成為駭客與惡意程式攻擊的首要目標。每年因資安疏失導致的商業損失難以估計。企業規模擴大時，任何微小的安全漏洞都可能引發災難性後果。本文系統整理企業維護伺服器安全的七大關鍵面向，助您建立纏深層防禦體系。

一、 奠基基礎：檔案系統與基礎防護

1. 全盤採用 NTFS 檔案系統

駭客入侵通常先掃描通用漏洞。若敏感資料仍存放於 FAT/FAT32 分區，再多的安全軟體也無法有效保護。必須將所有包含機密資料的磁碟分區轉換為 NTFS 格式，以啟用檔案層級權限、加密（EFS）與稽核功能。

2. 部署多層防毒機制

• 伺服器與端點雙重防護： 在伺服器與桌面端同時執行防毒軟體，並設定每日自動更新病毒碼。
• 郵件閘道掃描： 為 Exchange Server 安裝防毒代理程式，攔截含毒附件於使用者收信前隔離。

3. 強化存取控制

• 時間型存取限制： 依員工上班時段限定網路登入時間，減少離線風險。
• 強制複雜密碼策略： 要求密碼至少 8 碼，包含大小寫字母、數字與特殊符號；定期淘汰舊密碼，禁止重複使用。可善用 Windows 資源套件工具強制執行。

二、 遠端存取安全：回撥與協定偽裝

1. 啟用 RAS 回撥功能

遠端存取服務（RAS）若僅憑電話號碼驗證，極易遭暴力破解。對於固定地點（如居家辦公）的遠端使用者，應啟用回撥機制：使用者撥入斷線後，伺服器主動撥打預設號碼回連，阻斷駭客竄改回撥號碼的可能。

2. 隔離遠端存取伺服器

將遠端使用者常用資料置於 RAS 伺服器的專屬共享資料夾，限制其僅能存取該台伺服器而非整個內網。即使遭入侵，損害亦可控制在單一主機範圍內。

3. 採用非標準傳輸協定

預設 TCP/IP 為 RAS 協定，易成駭客掃描目標。改用 NetBEUI 或 IPX/SPX 等較少見協定，可增加攻擊者偵測難度，達到「以靜制動」效果。

三、 端點強化：打造安全工作站

• 作業系統升級： 優先部署 Windows 2000 或更新版本，利用其核心安全架構（如核心模式驅動簽章、記憶體保護）抵禦攻擊。
• 工作站鎖定： 透過群組原則限制非授權人員讀取網路設定、修改系統配置。
• 帳號綁定與時間限制： 針對高風險帳號，限制僅能從指定電腦、指定時段登入，強化追溯機制。
• 啟用「哑終端」模式： 透過 Windows Terminal Services，讓應用程式與資料完全留在伺服器端，工作站僅負責畫面傳輸與輸入轉發，徹底消除本地資料外洩風險。

四、 修補管理：即時部署安全更新

微軟定期發布 Service Pack 與獨立修補程式。128 位元加密版本（僅限美加地區）較 40 位元版本更安全。不必等待 Service Pack 整合，應定期造訪微軟 FTP 站點下載最新 Hotfix。注意： 修補程式必須依邏輯順序安裝，錯誤順序可能導致系統檔案版本衝突甚至當機。

五、 權限最小化：委派管理與帳號生命週期控制

善用 Windows 2000 委派控制功能，將特定權限（如停用/刪除離職員工帳號）授予人資單位，無需交出完整管理員權限。同時限制該角色無法建立新帳號或修改權限設定，確保權力制衡。（原文重複段落已整合）

六、 入侵偵測與即時告警：第二道防線

防火牆無法阻擋所有內部威脅與未知攻擊。部署入侵偵測系統（IDS）可補足防火牆盲區，提供：

• 即時封包內容分析與異常行為攔截
• 多樣化告警機制：通知管理員、記錄攻擊證據（供法律追訴）、自動斷開可疑連線
• 協助管理因組織擴張產生的龐大資料流

七、 防火牆規則稽核：持續收締暴露面

• 最小化對外 IP： 僅開放必要的公網 IP（如 Web、Mail 伺服器），工作站與內部伺服器 IP 必須隱藏於 NAT 之後。
• 關閉非必要連接埠： 依據 IANA 連接埠註冊表，關閉業務不需的埠（如 TCP 81），僅保留必要服務埠（如 HTTP 80、HTTPS 443）。
• 定期審查規則集： 移除過期、冗餘或過度寬鬆的規則，確保「預設拒絕」原則落實。

結語：安全是持續投資，而非一次性專案

電子商務環境下，伺服器承載核心商業邏輯、客戶隱私與智慧財產。企業必須選擇能提供端到端安全基礎架構的解決方案，並在資源存取與資產保護間取得平衡。唯有將安全融入日常營運流程，才能在危機四伏的網路世界中穩健前行。