IIS 伺服器安全防護十大關鍵步驟

IIS 是駭客攻擊的首選目標，尤其是 IIS 4.0/5.0 預設安裝極易受駭。身為管理者，必須建立纏深防禦體系。以下十大步驟可大幅提升 IIS 安全性：

1. 隔離資料磁碟： 將 IIS 應用程式與資料置於專屬 NTFS 磁碟，禁止匿名使用者 (IUSR) 存取其他磁碟。若應用需存取其他磁碟檔案，請用 FileMon 追蹤後將檔案移至 IIS 磁碟，或僅對該檔案授予 IUSR 讀取權限。
2. 精細設定 NTFS 權限： Developers=完全控制；IUSR=讀取與執行；System/Administrators=完全控制。
3. 部署軟體防火牆： 僅開放 Port 80 給終端用戶，研發人員視需求開放其他連接埠。
4. 套用官方硬化工具： 執行 IIS Lockdown 與 UrlScan 移除不必要功能、封鎖惡意請求。
5. 啟用完整日誌記錄： 開啟 IIS 日誌與防火牆日誌，雙重留存。
6. 異地備份日誌： 將日誌目錄移離預設位置，並建立自動備份機制，確保事證不被竄改或刪除。
7. 開啟 Windows 稽核： 稽核所有登入失敗事件，日誌同樣移至非預設路徑並備份。可撰寫腳本定期分析可疑行為並通報。
8. 持續學習安全資訊： 廣泛閱讀多來源安全文章，建立系統性防禦知識，勿盲目跟隨單一經驗。
9. 訂閱漏洞通報： 加入 IIS 漏洞郵件清單（如 Internet Security Systems X-Force Alerts），掌握最新弱點與修補資訊。
10. 嚴格執行修補程式： 定期執行 Windows Update，並驗證補丁確實安裝成功。

安全非一次性工作，而是持續的流程管理。將上述步驟制度化、自動化，才能真正守護 IIS 伺服器。