前言：安全策略是防護的基石
Web 站點目標：以最易接受方式提供即時信息訪問。駭客/病毒/蠕蟲嚴重威脅可訪問性。Apache 常被攻擊，但 Microsoft IIS 才是眾矢之的。高等教育機構難在「活力介面」與「高安全」間平衡，且面臨預算縮減。本文為預算受限的 IIS 管理員提供實戰技巧（大預算同樣適用）。
第一步：建立並落地安全策略
- 網管必須清晰掌握策略每一條款。高層若不視伺服器安全為核心資產，防護工作無意義——需長期投入、納入 IT 戰略、獲取管理層支持。
- 無策略文檔支撐 → 進取用戶被拒 → 投訴管理層 → 管理層質問網管 → 衝突爆發。標註安全等級與可用性策略，讓網管在不同 OS 上自信部署工具。
IIS 精細加固 6 大技巧
1. Windows 更新零延遲
- 第一時間套用所有更新補丁。建議：下載更新至內網專用伺服器，以 Web 形式發布，阻斷 Web 伺服器直接訪問 Internet。
2. 謹慎使用 IIS 鎖定工具
- 工具實用但需謹慎。若 Web 伺服器與其他伺服器互動，必先測試工具配置，確保不影響互通。
3. 禁用預設 Web 站點
- 攻擊者瞄準
inetpub 資料夾植入偷襲工具。最簡單防禦：IIS 中禁用預設站點。真實站點指向後台分區資料夾，配置安全 NTFS 權限。蠕蟲通過 IP 掃描，禁用預設站點讓其請求落空。
4. 非必要不啟用 FTP/SMTP
- FTP 是入侵最簡單途徑：設計為簡單讀/寫，認證傳輸明文。SMTP 允許資料夾寫入權限。禁用兩者可避免大量攻擊面。
5. 例行巡檢管理員組與服務
- 某日發現管理員組多出一用戶 → 系統已被滲透，可能植入邏輯炸彈或佔用頻寬。駭客常留後門服務，發現時為時已晚（只能重置磁碟恢復備份）。
- 每日任務：檢查 IIS 服務列表，保持最小服務集。記住哪些服務應存在/不應存在。Windows 2000 Resource Kit
tlist.exe 可列出 svchost 下運行的服務，發現隱藏服務。提示：含「daemon」字樣的服務通常非 Windows 原生，不應存在於 IIS 伺服器。
6. 嚴控伺服器寫入權限
- 大學環境 Web 伺服器有多「作者」：教職員發布課程、職員共享工作信息 → 資料夾權限極度危險。
- 方案：部署第二台專用共享/存儲伺服器，Web 伺服器指向共享伺服器。網管將 Web 伺服器本身寫權限僅限管理員組。
進階加固清單 (生產環境必檢)
| 領域 | 檢查項 | 基線要求 |
|---|
| 應用程式池 | 身分識別/負載使用者設定檔 | 專用低權限帳號/非載入用戶設定檔 |
| 請求篩選 | 擴展名/動詞/URL 序列/最大內容長度 | 僅允許業務必要項/拒絕可疑模式/限制上傳大小 |
| SSL/TLS | 協定版本/加密套件/憑證驗證 | 停用 SSL 3.0/TLS 1.0/僅強加密套件/強制憑證鏈驗證 |
| 日誌審計 | 啟用/儲存位置/保留週期/告警規則 | 啟用/獨立磁碟/≥ 1 年/異常狀態碼/暴力破解告警 |
| 模組管理 | 移除未使用模組 | 僅保留業務必要模組 (如 StaticContent, DefaultDocument, DirectoryListing 等) |
結語
Web 伺服器防護非一次性專案，而是持續的策略落地、配置加固、巡檢審計、應急演練循環。預算約束倒逼優先級聚焦：策略先行、最小暴露面、自動化巡檢、離線備份可驗證恢復。
