IIS 伺服器安全強化 15 項實務守則

前言：安全策略先行

技術手段需配合管理制度。若高層不視伺服器安全為核心資產、預算不支援長期維護，任何技術防護終將因缺乏資源而失效。首先制定書面安全策略，明確：資產分級、存取控制原則、事件回應流程、稽核週期。

15 項 IIS 強化措施

1. 保持 Windows 更新最新

建立內部 WSUS/SCUP 伺服器統一推送更新，避免 Web 伺服器直接連網下載，縮小攻擊面。

2. 謹慎使用 IIS Lockdown Wizard

執行前必須在測試環境完整驗證 Web 應用程式相容性，確認不阻斷合法的 Web Service、COM+、遠端管理流量。

3. 移除/停用預設網站

攻擊腳本常掃描 inetpub\wwwroot。停用預設站點，將實際網站指向非系統磁碟分割區 (如 D:\WebApps)，並設定嚴格 NTFS 權限。

4. 移除非必要的 FTP / SMTP 服務

FTP 傳輸帳密明文，SMTP 允許寫入目錄。若非業務必需，請從「新增/移除 Windows 元件」徹底解除安裝。檔案傳輸改用 SFTP/SCP。

5. 定期稽核 Administrators 群組與服務清單

每日檢查：
▸ net localgroup administrators
▸ tlist.exe (Resource Kit) 列出 svchost.exe 載入的服務
發現含 daemon 關鍵字的不明服務立即調查。

6. 嚴格控制寫入權限

採用「雙伺服器架構」：Web 伺服器唯讀，內容編輯透過內部共享伺服器 (SMB/NFS) 由內部發布系統同步，Web 伺服器僅授予 IIS_IUSRS 讀取/執行權限。

7. 強制複雜密碼原則

群組原則設定：最小長度 12、複雜度啟用、歷史記憶 24 代、最長使用期限 90 天。稽核事件 ID 4625 (登入失敗) 偵測暴力破解。

8. 移除非必要共享資料夾

僅保留管理用隱藏共享 (如 C$, Admin$)。使用 net share 定期掃描，刪除 Everyone/Full Control 共享。

9. 停用 TCP/IP 上的 NetBIOS

網卡內容 → TCP/IPv4 內容 → 進階 → WINS →「停用 TCP/IP 上的 NetBIOS」。阻斷匿名列舉共享、工作群組資訊洩漏。內部檔案存取改用 DNS FQDN 或 IP 直連。

10. 實施 TCP 連接埠封鎖

僅開放業務必要埠 (80, 443, 22 等)。網卡 → 內容 → TCP/IP 篩選 →「僅允許列出的埠」。注意：遠端管理埠 (3389, 5985) 僅限管理子網存取，勿對全網開放。

11. 定期掃描可疑腳本與執行檔

每週執行：dir /s /b *.bat *.exe *.reg *.vbs *.ps1 檢查非預期檔案。.reg 檔右鍵「編輯」檢視是否竄改登錄表權限。

12. 善用 IIS 目錄安全性 / IP 限制

搭配即時日誌分析工具 (如 WhosOn、Log Parser、ELK Stack) 異常 IP 即時封鎖。內部網站可限制允許清單。

13. 完善 NTFS 權限模型

移除 Everyone 權限。最小權限原則：
▸ System32：僅 SYSTEM, Administrators, TrustedInstaller
▸ Web 根目錄：IIS_IUSRS (R/X), ContentEditors (R/W), Administrators (F)

14. 管理內建帳號

• 停用 IUSR_*, IWAM_* (IIS 6.0) 或 IIS APPPOOL\* (IIS 7+) 預設身分，改用專用應用程式集區身分。
• 停用 TSInternetUser (若不使用終端服務 Web 存取)。
• 本地安全性原則 →「拒絕從網路存取此電腦」加入 Guest, Anonymous Logon。

15. 啟用稽核與日誌分析

稽核「物件存取失敗」、「登入事件」。日誌轉送至集中式 SIEM，設定告警規則：單一 IP 5 分鐘內 4625 超過 10 次、存取 cmd.exe, powershell.exe 等敏感路徑。

部署建議

逐項驗證：每套用一項措施，即進行完整功能測試 (網站瀏覽、表單送出、Web Service 呼叫、管理員遠端登入)。一次性全開將導致難以釐清故障來源。

最後一招：netstat -an

登入伺服器執行 netstat -an | findstr :80，觀察異常連線來源 IP、連線狀態 (SYN_RECV, ESTABLISHED)，配合防火牆封鎖可疑來源。