IIS Web 伺服器加鎖實戰：IIS Lockdown 2.1 完整部署指南

為提升 IIS 安全性，微軟提供 IIS Lockdown 與 URLScan (已整合於 Lockdown 2.1)。Lockdown 核心功能：停用/移除非必要 IIS 服務與元件、修改預設配置強化系統與 Web 目錄安全、整合 URLScan 過濾惡意 HTTP 請求。本文詳述前兩項功能實作 (針對 2.1 版，舊版操作差異大)。

部署前必讀注意事項

• Lockdown 會改變 IIS 行為，可能衝突依賴特定 IIS 功能的應用 (Exchange 2000/5.5、SharePoint Portal Server 需格外小心，參考 KB 309677、309675)。
• 正式部署前：搜尋微軟知識庫最新資訊 → 測試機完整驗證 Web 應用功能 → 完整系統備份以便快速回滾。

安裝與解壓縮

下載 iislockd.exe (自解壓縮執行檔)。切勿直接雙擊解壓至當前目錄 (會與內部同名執行檔衝突)。正確步驟：

1. 將檔案置於暫存目錄。
2. 命令列執行：iislockd.exe /q /c /t:c:\IISLockdown (/q 靜默、/c 僅解壓、/t 指定目標資料夾)。
3. 主要檔案：iislockd.exe (主程式)、iislockd.ini (設定檔)、iislockd.chm (線上說明)、404.dll (自訂 404 回應)、URLScan 相關檔案。

精靈式「加鎖」實戰

1. 雙擊 iislockd.exe 啟動精靈，接受授權條款。
2. 選擇伺服器範本：依角色選最貼近的模板 (如 Static Web Server)。勾選「View Template Settings」可逐項微調；否則直接跳至 URLScan 安裝。
3. Internet Services：決定啟用/停用/移除 HTTP、FTP、SMTP、NNTP 四大服務。三種狀態：啟用 (核取)、建議停用 (未核取)、不可變更 (灰色)。建議徹底移除未用服務，杜絕誤啟風險。
4. Script Maps：停用特定副檔名的 ISAPI 對應 (如 .asp → asp.dll)。Lockdown 會將停用類型導向 404.dll 回應「檔案不存在」。
5. Additional Security：
   • 移除開發/測試用虛擬目錄 (資料保留)。
   • 保護系統工具：修改 %windir% 下執行檔 ACE，明確拒絕匿名 Web 用戶執行 cmd.exe、tftp.exe 等。
   • 強化內容目錄：設定 ACE 禁止匿名/應用程式用戶寫入。
   • 停用 WebDAV：若不需遠端撰寫，勾選停用 httpext.dll 載入。
6. URLScan 安裝：作為前端過濾器攔截惡意 URL，本文不詳述，請參考微軟官網文件。
7. 精靈顯示即將執行操作清單，確認無誤點「下一步」開始加鎖 (過程不可中斷，會停止 Web 服務，請安排維護時段)。

日誌與回滾機制

加鎖過程在 %windir%\system32\inetsrv 產生：oblt-log.log (詳細操作)、oblt-rep.log (摘要)、oblt-undo.log (回滾清單)、metaback\oblt-mb.md0 (Metabase 備份)。務必異地備份這些檔案，以便手動回滾或重灌系統時恢復。

回滾 (後悔藥)

只要找到 oblt-log.log 即可回滾：先移除上次加鎖的服務 (控制台「新增/移除程式」) 與 URLScan，再執行 Lockdown Undo。Undo 會還原加鎖前的 Metabase 備份，中間對 IIS 的所有變更將遺失，但 Undo 會先備份當前 Metabase，必要時可重做遺失操作。

無人值守部署

編輯 iislockd.ini 的 [Info] 區段：

Unattended=TRUE
UnattendedServerType=<ServerType>

ServerType 取值來自 ServerTypesNT4 或 ServerTypes 鍵。Lockdown 2.1 不支援命令列參數，需為不同伺服器類型建立獨立目錄與 ini 檔，再進入對應目錄執行。Undo=TRUE 可觸發無人值守回滾。

自訂伺服器範本

編輯 iislockd.ini：在 ServerTypesNT4 (NT 4.0) 或 ServerTypes 加入新模板名稱 → 複製最接近的現有模板區段至檔案末尾 → 修改模板名稱 (括號內) → 修改 Label 說明文字 → 依需求啟用/停用各選項鍵值。

結語：IIS Lockdown 能便利提升安全性，但安全是動態演進的過程，唯有持續關注、修補與審計，方能防患未然。