前言：伺服器不是「天然安全區」
許多管理員誤以為「伺服器沒人操作、不會中毒」而忽略端點防護。實則 APT 攻擊、供應鏈投毒、內部威脅無處不在。曾有一企業因部分伺服器未裝防毒，導致數千系統遭高階持續性威脅 (APT) 滲透。合規要求 (PCI DSS、HIPAA、SLA) 亦強制要求全伺服器防護。以下 10 大自檢問題，助你建立無死角防線。
自檢清單
- 威脅建模：我們預期面對哪些惡意軟體威脅 (勒索軟體、挖礦程式、Rootkit、APT)？是否記載於事件應變計畫？
- 合規義務：受哪些法規、政策、契約 (PCI DSS、HIPAA、GDPR、客戶 SLA) 約束？防毒是否為強制項？
- 即時掃描必要性：生產伺服器是否啟用即時掃描？若擔心效能影響，可排除特定資料庫/日誌目錄而非全盤關閉。
- 掃描排除清單：是否已將資料庫檔案、交易記錄、備份目錄等高 IO 路徑加入排除，避免效能瓶頸？
- 瀏覽器層級防護：伺服器若需瀏覽網頁 (下載補丁、管理主控台)，是否部署瀏覽器隔離、網址過濾、反釣魚擴充功能？
- 管理員郵件/瀏覽風險：管理員是否在伺服器直接收發郵件、瀏覽網頁？應改用跳板機/管理工作站，嚴禁伺服器直接上網。
- 全盤掃描策略：採增量/快速掃描為主，全盤掃描排程在維護窗口，並評估是否真需掃描資料磁碟 (視資料類型而定)。
- 保護範圍：是否僅保護 OS 磁碟？資料磁碟 (含使用者上傳、應用程式資料) 同樣可能藏匿惡意腳本、Web Shell，需同步防護。
- 非生產環境覆蓋：開發/測試/預備/災難復原伺服器、虛擬機範本、黃金映像是否同樣部署防毒？
- 邊界/雲端防毒足夠？網關/雲端沙箱只能攔截已知威脅，無法防禦內部橫向移動、記憶體駐留惡意碼、零時差漏洞利用。主機端防護不可缺席。
落實建議
- 統一使用企業級端點防護平台 (EPP/EDR)，支援中央管理、行為分析、記憶體掃描。
- 建立標準化伺服器強化基線映像，內建防毒代理程式、排除清單、自動更新策略。
- 定期進行滲透測試與紅隊演練，驗證伺服器防護實戰效力。
- 將防毒狀態 (版本、引擎日期、最後掃描時間) 納入 CMDB/資產管理系統，異常即時告警。
結語
惡意軟體不分伺服器與工作站，攻擊者更不會因你的「信心」而手下留情。全方位、分層次、自動化的伺服器防毒策略，是資安韌性的基石。從今天開始，對每一台 Windows 伺服器問這 10 個問題，補齊缺口，才能安心交付業務。