我们通常把服务器只当作服务器看待——不需要类似传统工作站的安全控制的野蛮盒子。我经常在安全评估里看到这些。事实上，Windows服务器是需要终端控制来确保安全的。这里是几个关于Windows服务器终端安全的常见问题解答。
我不能承受我的Windows服务器由于补丁和杀毒软件而掉线或者崩溃。锁定服务器这一论点的基础是什么，比如它们就是工作站？
事实上，大多数服务器都是工作站，供网络管理员进行操作，如浏览网页、传输文件和邮件等等。在目前情况下，服务器就像是一座房子，存储业务的大部分信息资产。由于恶意软件而开发缺失的补丁，或由于Metasploit以及类似的工具进行定向渗透，这些是很伟大的工程。同工作站相比，如果不是更棒，那就是同样棒。目前存在的问题是，我遇到的任何给定的无补丁的Windows系统，几乎总是服务器而不是工作站。
服务器需要什么样的恶意软件防护？
我认为控件需要像工作站的一样牢固。对新手来说，一个可靠的反病毒程序是很好的选择。使用一些互补的控件来预防间谍软件会比较好。确保能够针对数据库和类似的应用程序进行实时的扫描微调，把性能影响最小化。也要留意先进的恶意软件的控制，如Damballa和FireEye产品。这些技术可能非常有利——尤其是如果你知道或怀疑入侵者进入“房子”。白名单技术也正在受到我的喜爱。白名单对服务器有益的（更简单的），在服务器上你可能会运行比较少的应用程序并且配置更加标准化。
服务器上需要使用磁盘加密技术吗？
如果有物理服务器的风险，那么答案是肯定的。我遭遇过许多Windows服务器被盗窃和滥用的情况。无论是BitLocker或第三方选项，全盘加密技术是坚强的最后防线。你可以在应用程序、数据库和操作系统级别拥有世界上的所有控件，但是一个物理入侵就会结束一切，这将出现在数据泄漏事件列表上并登上各大媒体头版头条。
推荐的服务器硬化的最佳实践是什么？
你的内部审计员和调整员也许已经跟你讲清楚了安全性要求。如果没有，你必须后退一步，确定你想要保护的是什么，然后确定如何实施。NIST对初学者来说是很好的资源。我喜欢Microsoft的推荐，尤其是他们的Security Compliance Manager工具。硬化Windows服务器没有万能解决方案。确定风险，利用可用的免费资源创建适合自己独特需求的最佳解决方案。例如，审计日志记录可能只针对一个业务，但是也可以给另外一个增加最小限度的价值。类似的情况如密码策略、远程访问控制、加密的网络通信会话这类。因此，明白你的需求，选择可以用在Windows操作系统和相关应用程序的安全控件，并保持检查。
当然，Windows服务器本质上更为静态，但是它们有许多（如果不是更多）的Windows相关风险比如它们的同行工作站。每种情况都是不同的。只要确保找到缺陷和锁定最重要的——在端点处。
【编辑推荐】
