IIS Web 伺服器日誌檔案安全加固完整指南：移動位置、權限鎖定、異地備份

IIS 日誌記錄了所有 HTTP 請求細節，是事後溯源攻擊、分析入侵路徑、重現漏洞利用的關鍵證據。然而預設日誌路徑 (%SystemRoot%\System32\LogFiles) 眾所周知，駭客入侵後首要動作往往是**清除或竄改日誌**以掩蓋蹤跡。本文提供 IIS 日誌安全加固完整操作流程：移動至非系統盤、移除繼承權限、鎖定 ACL、配置異地同步備份，大幅提升日誌存活率與取證價值。

為什麼要加固 IIS 日誌？

• 預設路徑在系統盤，易受系統崩潰/重裝影響
• 預設權限允許 Administrators、SYSTEM、IIS_IUSRS 讀寫，駭客提權後可任意刪除/修改
• 日誌若被清除，入侵溯源將極度困難，甚至無法確認是否發生洩露
• 合規要求 (等保、ISO27001、GDPR) 通常強制要求日誌完整性保護與異地備份

步驟一：建立專用日誌磁碟/目錄

最佳實踐：掛載獨立磁碟 (如 D: 或 E:) 專門存放日誌，隔離系統盤 IO 與空間風險。

# 假設 D: 為日誌專用磁碟
mkdir D:\IISLogs
# 或建立資料夾結構
mkdir D:\IISLogs\W3SVC1
mkdir D:\IISLogs\W3SVC2
...

步驟二：修改 IIS 站點日誌路徑

1. 開啟 IIS 管理員 (inetmgr)。
2. 選取站點 → 右鍵「管理網站」→「進階設定」→ 記錄「記錄檔目錄」路徑，或：
3. 站點 → 功能視圖雙擊「記錄」→ 右側動作欄「選取目錄」→ 瀏覽至 D:\IISLogs\W3SVC<站點ID> → 確定。
4. 對每個站點重複操作。
5. 手動移動舊日誌： 將 %SystemRoot%\System32\LogFiles\W3SVC* 內容剪貼至新目錄，保留歷史記錄。

步驟三：配置 NTFS 權限 (ACL) 鎖定日誌目錄

核心原則：**移除繼承、僅保留必要主體、最小權限**。

1. 右鍵日誌根目錄 (如 D:\IISLogs) → 「內容」→「安全性」→「進階」。
2. 點選「停用繼承」→ 選擇「將繼承的權限轉換為此物件的明確權限」 (Convert inherited permissions...)。
3. 移除所有非必要主體 (Users、IIS_IUSRS、Authenticated Users 等)。
4. 僅保留並設定以下主體權限：

關鍵： 移除 IIS_IUSRS 的「刪除」、「修改」、「完全控制」權限，防止駭客透過 IIS 背景身分竄改/刪除日誌。

步驟四：啟用日誌稽核 (選項，供 SIEM/稽核系統收集)

1. 同「進階安全性設定」視窗 → 「稽核」索引標籤 → 「新增」。
2. 主體：Everyone / 特定帳號 → 類型：所有 → 成功/失敗：勾選「刪除」、「變更權限」、「取得所有權」、「寫入屬性」、「寫入擴充屬性」。
3. 確定套用。稽核事件將記錄在「安全性事件日誌」(Event ID 4663, 4670 等)。

步驟五：配置異地即時/定時同步備份

原則：日誌產生後盡快離開本機。

• 方案 A：Syslog/Winlogbeat/Filebeat → ELK/Splunk (企業級首選，即時、可查詢、可告警)。
• 方案 B：robocopy 定時鏡像至遠端檔案伺服器/NAS：

  # 每 15 分鐘同步一次，保留目的端異動
  robocopy D:\IISLogs \\BackupServer\IISLogs$ /MIR /R:2 /W:5 /LOG+:D:\Logs\robocopy_iis.log

  配合工作排程器每 15 分鐘執行一次。

• 方案 C：雲端儲存同步 (AWS S3 / Azure Blob / 阿里云 OSS)： 使用 rclone、ossutil 等工具定時上傳。

步驟六：日誌保留策略與磁碟監控

• IIS 記錄設定 → 「依大小/時間/大小與時間」循環，建議「每日一檔、單檔上限 100MB、保留 90 天」。
• 配置磁碟空間監控 (Zabbix/Prometheus/內建效能計數器)，剩餘 < 20% 即告警。
• 定期 (月/季) 抽樣驗證備份完整性與可讀性。

進階：日誌完整性驗證 (防竄改)

• 每日對日誌檔案計算 SHA-256 雜湊，存入唯讀資料庫/區塊鏈/簽名伺服器。
• 懷疑被竄改時，重新計算雜湊比對基準值。
• 工具：certutil -hashfile D:\IISLogs\W3SVC1\u_ex230101.log SHA256

IIS 日誌加固三部曲：**移動位置、鎖定權限、異地備份**。缺一不可。將日誌視為「數位犯罪現場證據」，以證據保全標準對待，才能在事發時還原真相、追究責任、滿足合規。