內網 IDS 能及時發現病毒、漏洞、異常攻擊，保障核心業務運行。以下針對九類高風險事件分析對策：

事件 1：Windows 2000/XP RPC 服務遠端拒絕服務

成因：DCE-RPC 堆疊實作缺陷，攻擊者連接 TCP 135 傳送畸形資料導致 RPC 服務停止。
對策：臨時用防火牆或 TCP/IP 篩選限制 TCP 135；根治打補丁。

事件 2：MSBLAST (衝擊波) 蠕蟲傳播

現象：掃描感染網路主機，耗盡資源與頻寬。
對策：斷網安裝補丁 → 專殺工具清除。

事件 3：Sasser (震盪波) 蠕蟲傳播

現象：留後門、導致重啟、效能驟降、頻寬被佔用。
對策：斷網 → 專殺查毒 → 打補丁。

事件 4：Telnet 服務使用者認證失敗

風險：短時間大量失敗暗示暴力猜測攻擊，特別是超級用戶帳號。
對策：檢查來源 IP、帳號、密碼是否符合策略；必要時暫時封鎖來源 IP。

事件 5：Telnet 弱口令認證成功

風險：攻擊者利用弱口令取得存取權，結合本地漏洞可奪取主機控制權。
對策：強制複雜口令、定期強制更換。

事件 6：MS-SQL sa 帳號預設空密碼連線

風險：遠端攻擊者以空密碼登入，利用 xp_cmdshell 以 LocalSystem 權限執行任意命令。
對策：改用「Windows NT only」驗證模式；設強密碼；改用非 TCP/IP 協定或修改預設埠 1433。

事件 7：POP3 暴力猜測口令

風險：大量登入失敗顯示猜測攻擊，成功可進一步滲透或竊郵件。
對策：密切監控來源後續活動，必要時阻斷連線。

事件 8：POP3 接收可疑病毒郵件

特徵：附件副檔名 .pif .scr .bat .cmd .com 多為偽裝病毒。
對策：隔離檢查寄件主機、郵件伺服器裝病毒過濾器預先清除。

事件 9：Windows LSA 服務遠端緩衝區溢位

成因：LSASRV.DLL 的 DCE/RPC 端點存在溢位，攻擊者可取得 SYSTEM 權限執行任意指令。
對策：防火牆過濾 UDP 135/137/138/445 及 TCP 135/139/445/593；打補丁升級。