您现在的位置： Windows教程網 >> Windows教程 > >> 電腦軟體教學 >> 伺服器技術 >> 關於伺服器

IIS Web 伺服器防護十五條鐵律：從補丁管理到 NTFS 細粒度權限的纵深防禦實戰

編輯：關於伺服器

Web 伺服器作為企業面向互聯網的門面，始終是駭客、蠕蟲、自動化掃描器的首選目標。IIS 作為 Windows 平台原生 Web 服務，雖歷經 6.0/7.0/7.5/8.0/8.5/10.0 版本演進，但核心防禦原則始終一致：最小權限、最小攻擊面、纵深防禦、持續監控。本文提煉 15 條經實戰驗證的 IIS 防護鐵律，適用於預算有限的教育機構、中小企業至大型企業環境。

鐵律一：建立資安政策與資產分級 —— 防禦的基石

無政策支撐的技術防護是脆弱的。明確定義：Web 伺服器屬於何種資產等級 (機密性/完整性/可用性要求)、允許存取的主體與行為、違規處理流程、審計保留週期。獲得管理層簽署授權，確保資源投入與責任歸屬清晰。

鐵律二：保持 Windows/IIS 修補程式最新 —— 封堵已知漏洞

部署 WSUS/SCCM/Intune 統一修補基線，定義修補窗口 (如 Patch Tuesday +72小時)。
建立「修補測試 → 預發佈驗證 → 生產推送」流程，避免修補導致服務中斷。
考慮離線下載更新至內網修補伺服器，Web 伺服器不直接連接 Internet 取得更新。

鐵律三：執行 IIS Lockdown Wizard / SCW (安全性組態精靈) —— 一鍵最小化

移除預設網站、虛擬目錄、範例應用程式 (IISSamples、Scripts、MSADC、IISAdmin、Help)。
停用非必要服務 (FTP、SMTP、NNTP、FrontPage Server Extensions、WebDAV)。
啟用 URLScan / Request Filtering 封鎖惡意字串、超長 URL、雙重編碼、高位元字元。
警示： 若 Web 伺服器需與其他伺服器互動 (如後端 API、資料庫、AD)，務必在隔離環境完整測試 Lockdown 後的功能相容性再上線。

鐵律四：移除/停用預設網站與預設內容目錄

駭客自動化工具大量掃描 inetpub\wwwroot、inetpub\ftproot 預設路徑。實作：

IIS 管理員 → 停用「預設網站」。
建立真實網站指向非系統磁碟、非預設路徑 的專用資料夾 (如 D:\WebApps\CorpPortal)。
該資料夾僅授予必要 NTFS 權限 (見鐵律十三)。

鐵律五：不需要 FTP/SMTP 時徹底移除

FTP 傳輸明文帳密，極易遭竊聽；若必須使用，改用 FTPS (SSL/TLS) 或 SFTP (SSH)。
SMTP 開放寫入權限 (郵件遞送佇列)，歷史漏洞多 (如 IIS 5.0/6.0 SMTP 堆疊溢位)。
「控制台 → 新增/移除程式 → Windows 元件」徹底解除安裝。

鐵律六：每日稽核 Administrators 群組與服務清單

檢查 Administrators 群組成員異動 (新增不明帳號 = 入侵徵兆)。
使用 tlist.exe (Resource Kit) 或 tasklist /svc / Get-Service 列出 svchost.exe 載入的服務，識別異常服務 (名稱含 daemon、bot、隨機字串者高度可疑)。
建立基準線快照，每日自動比對差異並告警。

鐵律七：嚴格控制伺服器寫入權限 —— 讀寫分離架構

Web 伺服器本身唯讀：僅授予 Administrators、TrustedInstaller、SYSTEM 寫入權限。
上傳、暫存、使用者生成內容導向獨立儲存伺服器/NAS/物件儲存，Web 伺服器透過 UNC 路徑或 SDK 存取，不具備本地寫入權限。
應用程式池身分 (ApplicationPoolIdentity) 僅具備讀取執行權限。

鐵律八：強制複雜密碼策略 —— 消除弱密碼攻擊面

群組原則：密碼長度 ≥12、複雜度啟用、歷史記憶 24 次、最長壽命 90 天、鎖定門檻 5 次/15 分鐘。
服務帳號、應用程式池身分、資料庫連線帳號統一使用群組受控服務帳號 (gMSA) 或 密碼保險箱 (CyberArk、HashiCorp Vault、Azure Key Vault) 管理，定期自動輪換。

鐵律九：消除非必要共享資料夾

Web 伺服器無業務理由對外共享資料夾。net share / Get-SmbShare 定期掃描並移除。
管理員遠端管理改用 WinRM/PowerShell Remoting/SSH/RDP (配合跳板機)，不依賴檔案共享。

鐵律十：停用 TCP/IP 協定上的 NetBIOS

網卡內容 → TCP/IPv4 → 進階 → WINS → 「停用 TCP/IP 上的 NetBIOS」。
效果：阻斷 nbtstat、net view、空會話 (Null Session) 掃描、SMB 相關攻擊面。
代價：UNC 路徑 (\\server\share) 無法解析，需改用 FQDN 或 IP 直接存取。內部應用需相容性測試。

鐵律十一：實施 TCP 連接埠篩選 / 主機防火牆白名單

僅開放業務必要連接埠：TCP 80/443 (Web)、TCP 3389 (RDP, 僅限管理 IP)、TCP 5985/5986 (WinRM/HTTPS)。
網卡內容 → TCP/IP → 進階 → 選項 → TCP/IP 篩選 → 「僅允許下列連接埠」。或使用 Windows Defender Firewall with Advanced Security 規則 (更靈活、支援日誌、群組原則部署)。
謹慎： 遠端管理連接埠 (3389, 5985) 必須限制來源 IP/子網，否則等於將後門敞開。

鐵律十二：每週掃描 .bat、.exe、*.reg 可疑檔案

駭客常植入批次檔、可執行檔、登錄檔建立持久化、提權、反彈 Shell。
PowerShell 掃描腳本：Get-ChildItem C:\ -Recurse -Include *.bat,*.exe,*.reg,*.vbs,*.ps1,*.scr | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-7) }。
發現不明檔案：右鍵「編輯」檢視內容，刪除惡意登錄鍵值、排程任務、服務註冊。

鐵律十三：實施 NTFS 細粒度權限 —— 最小權限原則落地

預設 NTFS 卷啟用 Everyone:Full Control 或 Users:Modify 極度危險。
關鍵資料夾權限基準：

鐵律十四：管理內建帳號與應用程式池身分

IUSR_* (IIS 6.0 匿名帳號) / IUSR (IIS 7.0+)：權限最小化，僅讀取靜態內容。
TSInternetUser (終端服務內建)：若未使用終端服務 Web 存取，立即停用。
應用程式池身分 (ApplicationPoolIdentity / 自訂網域帳號)：每個網站/應用程式獨立身分，權限隔離。
本地安全性原則：拒絕從網路存取此電腦 → 加入 IUSR、Guest、匿名登入帳號。

鐵律十五：啟用審計與集中式日誌分析 —— 可見性即防禦

IIS 預設記錄 W3C 擴充格式 (時間、c-ip、cs-method、cs-uri-stem、sc-status、sc-bytes、time-taken)。
部署集中式日誌收集 (Logstash/Fluentd/Filebeat → Elasticsearch/OpenSearch → Kibana/Grafana) 或商業 SIEM。
關鍵告警規則：單 IP 5分鐘 404 > 50、單 IP 1小時 POST 登入失敗 > 10、出現 cmd.exe/powershell/wscript 在 URI 中、狀態碼 500/503 激增。
工具推薦：WhosOn (即時連線監控)、Log Parser Studio (離線 SQL 風格查詢)、GoAccess (HTML 報表)。

部署順序與驗證建議

逐條部署、逐條驗證、逐條回滾預案。 同時部署 15 條極易導致服務中斷且難以定位根因。建議順序：1→3→4→5→10→11→13→14→7→8→9→12→6→2→15。每條變更後執行功能煙霧測試 (首頁存取、登入、上傳、API 呼叫、資料庫查詢)。

最終驗證：netstat -an 觀察監聽連接埠與連線狀態，確認無非預期連接埠開放、無大量 SYN_RECV/ESTABLISHED 異常連線。

結語

IIS 防護非一次性專案，而是持續演進的生命週期：基準配置 → 持續合規稽核 → 威脅情報驅動的規則更新 → 定期滲透測試驗證 → 事件響應複盤改進。十五條鐵律構成纵深防禦骨架，配合自動化工具鏈與組織流程，才能在資源有限前提下，將風險控制在可接受範圍內。

關於伺服器

Windows 2000 Server IIS 啟用父路徑圖文教程（含安全風險說明）

Dreamweaver 站點 FTP 參數完整設定指南

桌機/伺服器常見晶片組架構與核心供電 IC 對照表