威脅面向：攻擊與入侵雙重防禦

網路伺服器面臨兩大惡意行為：
1. 可用性攻擊： DDoS、病毒蠕蟲消耗資源導致癱瘓。
2. 機密性/完整性入侵： 駭客滲透竊取敏感資料、植入後門、破壞系統。
防護目標：將兩類風險降至最低。

一、建構硬體級安全防禦體系

採用多層次安全模型，必要組件：

• 防火牆 (FW)：第一道關卡，阻擋非法存取、濾除 DDoS 流量。
• 入侵偵測/防禦系統 (IDS/IPS)：深度封包檢測，識別並封鎖已知/未知攻擊特徵。
• 路由/交換設備 ACL：網路層面限制來源/目的地、協定、連接埠。
• 負載平衡器 (WAF 功能)：應用層防護 SQL Injection、XSS 等 Web 攻擊。

二、選用英文版作業系統

Windows 核心源自微軟英文版，中文版修補程式釋出通常滯後數天至數週，且歷史漏洞數量較多。生產伺服器強烈建議部署英文版 + 多國語言介面套件 (MUI)，確保第一時間套用安全更新。

三、採用 NTFS 檔案系統實施精細權限控管

• 將敏感資料 (資料庫、憑證、金鑰) 與服務程式碼分置不同磁碟分割區。
• 針對各分割區/目錄設定 ACL：
  • 系統磁碟根目錄：僅 Administrators + SYSTEM 完全控制，停用繼承。
  • Web 根目錄：匿名帳號 (IUSR) 唯讀/執行，上傳目錄單獨給寫入。
  • Windows\System32 關鍵執行檔 (cmd.exe, cscript.exe, wscript.exe, regedit.exe) 明確拒絕匿名/低權限帳號。
• 啟用 EFS (加密檔案系統) 保護極機密檔案 (如備份加密金鑰)。
• 配置磁碟配額防止單一使用者佔滿磁碟導致拒絕服務。

四、建立完整備份與災難恢復機制

• 遵循 3-2-1 原則：3 份副本、2 種媒體、1 份異地。
• 系統狀態 (System State) 每日備份，裸機還原 (Bare Metal Recovery) 每週測試。
• 資料庫線上熱備份 + 交易記錄備份，RPO < 15 分鐘。
• 備份加密、離線儲存、定期還原演練。

五、服務與連接埠最小化原則

• 停用所有非業務必要服務 (參考 Windows 伺服器深度安全加固清單 服務表)。
• 防火牆僅開放業務必要連接埠 (如 TCP 80/443, 1433, 3389 限管理 IP)。
• 重點關閉： Remote Registry (遠端登錄存取)、預設共享 (C$, ADMIN$)、NetBIOS over TCP/IP、LLMNR/NBNS (降低內網中毒風險)。
• 定期掃描開放連接埠 (netstat -anob, Nmap) 對照授權清單。

六、持續監控與事件響應

• 部署日誌集中收集 (Syslog/Windows Event Forwarding) + SIEM 關聯分析。
• 關鍵事件即時告警：4625 (登入失敗)、4672 (特權登入)、1102 (日誌清除)、防火牆封鎖大量連線。
• 制定事件響應劇本：隔離、取證、根因分析、修復、複盤。

結語

網路伺服器安全非單一產品可解，需「硬體架構 + 作業系統強化 + 最小權限 + 持續監控 + 演練驗證」五位一體。從選用英文版 OS、NTFS 精細權限、服務精簡、備份演練著手，逐步建構可驗證、可度量的防禦體系。