資料保護與高可用性架構

備份還原鐵律：NTFS 必須還原至 NTFS

從 NTFS 卷備份的資料（含 EFS 加密檔、磁碟配額、ACL）**必須還原至 NTFS 卷**，否則加密資料永久遺失、檔案不可讀。FAT/FAT32 不支援任何進階屬性。

關鍵服務熱備份機制

網域控制站、DHCP/DNS/WINS、橋頭伺服器、核心應用伺服器**必須建立熱備援**：

• Windows 2000 Advanced Server 叢集服務：雙節點主動/待命或主動/主動
• 第三方複寫軟體（Double-Take、Neverfail）實現跨機房同步
• 虛擬化平台 HA/FT 功能自動故障轉移

RAID 容錯選型指南

層級	技術	優點	缺點	適用場景
RAID 0	條帶	效能最佳	無容錯，單碟損壞全掛	暫存、非關鍵資料
RAID 1	鏡像	讀寫佳、記憶體佔用少、支援開機磁碟、可做磁碟雙工	容量利用率 50%	系統盤、關鍵資料庫
RAID 5	分散式奇偶校驗	容量利用率 (N-1)/N、單碟故障線上重建	寫入效能較差、不支援開機/系統盤	資料倉儲、檔案伺服器

硬體 RAID 優於軟體：速度快、支援熱插拔、獨立快取，但成本高且可能廠商綁定。

服務與程序基線稽核

建立「乾淨基線」：OS+應用安裝完成後，用工具（如 Windows 優化大師、Sysinternals Autoruns）匯出服務/啟動項/執行中程序清單。其後每週比對，任何新增項目即列為可疑調查對象。

網路監控與帳號鎖定聯動

• 記錄所有網路資源存取，異常以圖形/聲音/郵件告警
• 失敗登入達閾值（建議 5 次/15 分鐘）自動鎖定帳號 30 分鐘
• 主控台實體鎖定：BIOS 密碼 + 伺服器機箱鎖 + 鍵盤/滑鼠收納

防火牆深度防禦模型

現代防火牆需覆蓋三層：

1. 網路層： 封包過濾路由器依 IP/埠/協定過濾
2. 傳輸層： TCP/UDP 標頭狀態檢查（Stateful Inspection）
3. 應用層： 應用閘道器深度解析 HTTP/SMTP/DNS 等協定異常

部署建議：邊界防火牆 + 內網區段防火牆 + 主機型防火牆（Windows Firewall/IPSec）三層纵深。

加密策略落地

對稱加密（單鑰）

適用大量資料加密（AES-256、3DES），金鑰分發需安全通道，金鑰長度與複雜度決定破解成本。

非對稱加密（雙鑰）

RSA/ECC：公鑰加密/驗簽，私鑰解密/簽名。速度較慢，常用於金鑰交換、數位簽章、PKI 憑證體系。

三大安全目標

• 身分驗證：數位簽章確認寄件人真實性
• 機密性：僅預期收件人可解密閱讀
• 完整性：雜湊值（SHA-256）驗證傳輸未竄改

日誌檔案完整防護清單

預設路徑與大小同前文。關鍵服務日誌另行管理：

• WWW 日誌：%SystemRoot%\system32\LogFiles\W3SVC1\ 每日一檔
• FTP 日誌：%SystemRoot%\system32\LogFiles\MSFTPSVC1\ 每日一檔
• Scheduler 日誌：%SystemRoot%\SchedLgU.txt

建議：集中轉送至 Syslog/SIEM，啟用日誌簽章與唯寫存儲（WORM），定期完整性驗證。