IIS Web 服務器安全防護：10 關鍵步驟全解析

前言：為何 IIS 安全至關重要？

Internet Information Services (IIS) 作為 Windows 平台上最常見的 Web 伺服器，長期以來都是駭客攻擊的首選目標。早期版本（IIS 4.0、5.0）的預設設定存在諸多漏洞，若未經妥善強化，極易遭受入侵、資料外洩甚至服務癱瘓。本文將系統梳理出 10 項核心防護措施，助您構建堅不可摧的 IIS 環境。

核心防護 10 步驟

1. 隔離應用程式與資料：獨立 NTFS 磁碟區

為 IIS 應用程式與資料專門配置一個 NTFS 格式的磁碟區。嚴禁匿名使用者（IUSR 或其他匿名帳號）存取該磁碟區以外的任何資源。若應用程式因權限不足而報錯，請使用 Sysinternals FileMon 追蹤無法存取的檔案，將相關程式移至 IIS 專屬磁碟區；若無法移動，僅授予該特定檔案的讀取權限，切勿開放整個目錄。

2. 精細設定 NTFS 權限

在 IIS 磁碟區上套用最小權限原則：

• 開發人員： 完全控制
• IUSR（匿名使用者）： 僅「讀取」與「執行」
• System 與 Administrators 群組： 完全控制

移除 Everyone、Users 等非必要主體的寫入/修改權限，關鍵系統目錄（如 Winnt\Repair）甚至應撤銷讀取權限。

3. 部署軟體防火牆，封鎖非必要連接埠

確保終端使用者僅能存取 TCP 80 埠（HTTP），其他所有連接埠（如 21/FTP、23/Telnet、135/RPC、445/SMB 等）均應在主機防火牆層面封鎖，縮減攻擊面。

4. 善用官方強化工具：IIS Lockdown 與 UrlScan

微軟提供的 IIS Lockdown Wizard 可自動關閉非必要服務、腳本對應與範例檔案；UrlScan 則能攔截惡意 HTTP 請求（如過長 URL、可疑字元、SQL 注入特徵），兩者結合能大幅提升基線安全性。

5. 啟用完整的 IIS 與防火牆事件日誌

開啟 IIS 的 W3SVC 日誌（預設路徑 %SystemRoot%\system32\LogFiles\W3SVC*），並同步啟用防火牆的記錄功能。日誌是事後鑑識、異常偵測的唯一線索，不可或缺。

6. 遷移並備份日誌檔案，建立異地複本

將 IIS 日誌與防火牆日誌從預設路徑移至非系統磁碟，並配置自動備份機制（如排程複製至備份伺服器或雲端儲存）。同時在本機保留一份循環複本，確保日誌在主備失效時仍可追溯。

7. 開啟 Windows 稽核，聚焦登入失敗事件

在群組原則中啟用「稽核登入事件」（成功/失敗），重點監控事件 ID 4625（登入失敗）。若資源允許，編寫腳本即時分析 Security.evt，發現暴力破解、異地登入等可疑模式時自動郵件通知管理員。同樣將 Security.evt 移離 C:\Winnt\System32\Config 並實施備份/複本策略。

8. 持續學習，勿盲目輕信單一資訊源

定期閱讀權威安全部落格（如 Microsoft Security Blog、SANS ISC、CERT/CC）、廠商安全公告與社群實戰經驗。安全防護是動態博弈，唯有多元資訊交叉驗證，才能避免單一視角的盲區。

9. 訂閱漏洞預警郵件，把握修補黃金時間

建議訂閱 Internet Security Systems (ISS) X-Force Alerts、Microsoft Security Notification Service、CVE 快訊 等管道，確保在漏洞公開後第一時間評估影響並部署補丁。

10. 定期套用 Windows Update，驗證補丁安裝狀態

建立每月補丁週期：下載 → 測試環境驗證 → 生產環境推送 → 掃描確認（可用 MBSA、WSUS 報告或 PowerShell Get-HotFix 核對）。若關鍵補丁安裝失敗，必須立即排查並重新部署，不可僥倖拖延。

結語

「安全非產品，而是過程。」以上 10 步驟僅構築基線防護，實戰中仍需結合 WAF、入侵偵測系統 (IDS/PS)、定期滲透測試與紅藍軍演練，才能在持續演變的威脅態勢中立於不敗之地。