三分鐘打造安全 IIS：安裝與配置硬化清單

安裝階段安全基線

1. 勿安裝於系統分區：將 IIS 網站內容放置於非系統磁碟，降低系統被攻破風險。
2. 修改預設安裝路徑：避開 C:\Inetpub 預設路徑，增加攻擊者猜測難度。
3. 套用最新修補程式：安裝完成後立即安裝 Windows 與 IIS 所有安全性更新。

配置階段安全硬化

1. 移除不必要的虛擬目錄

安裝預設建立的 IISHelp、IISAdmin、IISSamples、MSADC 等目錄無實際用途，應全部刪除。

2. 移除高風險 IIS 元件

依需求移除：Internet 服務管理員 (HTML 版)、SMTP 服務、NNTP 服務、範例網頁與腳本。

3. 依檔案類型分類設定權限

在 IIS 管理員中為不同類型目錄設定精細權限：

• 靜態檔案目錄：允許「讀取」，拒絕「寫入」。
• ASP/腳本目錄：允許「執行」，拒絕「讀取/寫入」。
• 可執行程式 (EXE/DLL) 目錄：允許「執行」，拒絕「讀取/寫入」。

4. 刪除不必要的應用程式對應

僅保留 .asp 對應，其餘 (如 .htr, .idc, .shtm 等) 全部移除。若未來需啟用，務必安裝修補程式並勾選「驗證檔案是否存在」。

操作路徑：網站「內容」→「主目錄」→「設定」→「應用程式對應」→ 刪除無用項目 → 編輯保留項目 → 勾選「檢查檔案是否存在」。

5. 保護日誌安全

• 修改日誌儲存路徑：預設 %WinDir%\System32\LogFiles 過於明顯。網站「內容」→「網站」標籤 → 「啟用記錄」旁「屬性」→ 變更目錄。
• 設定日誌存取權限：僅允許 Administrators 群組讀取/寫入，防止竄改或洩露。

結語

完成上述清單，即可在極短時間內大幅提升 IIS 基線安全性。安全非一次性動作，需持續修補、稽核與監控。