守護 IIS 日誌安全：移動位置、收緊權限、異地備份三步走

為何要動日誌？

預設路徑 %SystemRoot%\System32\LogFiles 眾所周知，駭客入侵後首要動作即刪除/篡改日誌銷毀證據。將日誌移至非系統盤、非網站根目錄，並收緊 ACL，可大幅提高取證成功率。

操作步驟 (IIS 6 / Windows Server 2003)

1. 建立專用日誌資料夾

例：D:\IISLogs\WebSite01 (NTFS 格式分區)。

2. 修改站點日誌路徑

1. IIS 管理器 → 右鍵站點 → 「內容」 → 「網站」分頁 → 「啟用記錄」 → 「屬性」。
2. 「記錄檔目錄」點「瀏覽」選擇上述資料夾 → 三次「確定」。
3. 多站點請逐一設定，並手動搬移舊日誌至新位置。

3. 設定資料夾 NTFS 權限 (核心)

1. 右鍵資料夾 → 「內容」 → 「安全性」 → 「進階」。
2. 取消勾選「允許繼承自父物件的權限...」 → 彈窗選「移除」。
3. 「新增」 → 「進階」 → 「立即尋找」 → 選 Administrators 群組 → 確定。
4. 給予 完全控制，移除 Users、Everyone、IIS_WPG 等非必要主體。

進階防護建議

• 每日異地備份：排程 (Robocopy/PowerShell) 將日誌推送至日誌伺服器 / SIEM / 雲端儲存。
• 日誌完整性驗證：啟用 Windows 稽核原則 (物件存取成功/失敗)，關鍵日誌寫入後產生 SHA256 雜湊存證。
• 集中化管理：部署 Logstash/Fluentd + Elasticsearch + Kibana (ELK) 或 Graylog，統一收集、檢索、告警。

結語

日誌是事後溯源的唯一鐵證。「移位置、鎖權限、異地備、集中管」四字訣，請納入伺服器上架基準清單。