NTFS 磁碟空間瞬間耗盡，不尋常。正常情況下空間消耗是漸進的；若一夜之間滿載，極可能發生惡意活動 (駭客藏匿盜取資料/工具、架設 FTP/IRC 伺服器) 或磁碟資料損壞。駭客常用替代資料流 (Alternate Data Streams, ADS) 隱藏檔案，這是 NTFS 特有特性：檔案可攜帶不顯示於目錄、不改變宿主檔案大小的隱藏資料流。

ADS 隱藏機制與檢測難點

• ADS 檔案**不出現在目錄列表** (dir、總管、IE 皆不可見)。
• **不改變宿主檔案顯示大小** — 宿主 1.5MB 附掛 50MB ADS，仍顯示 1.5MB。
• 標準工具 (總管、dir、IE、find) **無法發現 ADS**。
• 時間戳記可能揭露異常修改檔案，但高手可偽造時間戳。

專用工具發現與清除 ADS：LADS (List Alternate Data Streams)

• 免費工具，專門掃描並清除 NTFS 替代資料流。
• 下載：HeySoft LADS (或搜尋 "LADS alternate data streams")。
• 用法：lads.exe 目標資料夾 /S 遞歸掃描；lads.exe 目標資料夾 /D 刪除發現的 ADS。

其他入侵跡象檢查

• netstat -an 檢查不明連線/監聽連接埠。
• tasklist /svc / Process Explorer 檢查異常進程/服務。
• 事件檢視器 (eventvwr.msc) 審核安全性/系統日誌異常登入/錯誤。
• 檢查排程任務 (at、schtasks、工作排程器) 異常項目。

磁碟硬體故障可能性

若排除惡意活動，考慮磁碟/電源故障導致檔案系統損壞、空間錯誤報告。執行 chkdsk /f /r 修復/檢測壞軌；必要時備份資料更換硬碟。

預防與監控建議

• 定期執行 lads 或 streams.exe (Sysinternals) 掃描關鍵磁碟區。
• 部署檔案完整性監控 (FIM) 工具 (如 Tripwire、OSSEC、AIDE) 監控關鍵目錄異常變更。
• 啟用稽核原則：物件存取成功/失敗、程序追蹤、帳號管理，配合 SIEM/日誌分析平台。
• 最小權限原則：服務帳號、使用者帳號僅賦予必要權限，減少駭客寫入 ADS 的機會。
• 磁碟配額管理：限制使用者/群組磁碟用量，異常暴增觸發告警。

下篇將深入探討 Windows Server 2003、NTFS 運作機制相關的其他安全議題。面對「一夜滿盤」，**先查 ADS、再查入侵、最後查硬體**，層層排查，不可掉以輕心。