前言
IIS 作為攻擊者首選目標，加固刻不容緩。本文提供 15 條基於 Windows 內建功能的零成本加固技巧，適用於預算有限的教育機構、中小企業及大型組織。
核心前提：建立安全策略文檔
無高層授權的安全策略 = 無執行力。策略必須明確：資產價值、安全級別、可用性要求、違規處理流程，獲得管理層簽署，成為長期 IT 戰略一部分。
15 大加固技巧
- 第一時間打補丁
建立內部 WSUS/補丁分發點，禁止生產服務器直連 Internet 下載更新。所有關鍵/安全補丁 24-48 小時內部署。
- 慎用 IIS Lockdown Wizard
強大但可能破壞合法應用交互。部署前必須在測試環境完整驗證與關聯服務（SQL、AD、郵件網關等）兼容性。
- 禁用/刪除默認 Web 站點
蠕蟲掃描默認 inetpub 目錄。操作：IIS 中停用默認站點 → 真實站點指向非系統盤（如 D:\Web）並配置安全 NTFS 權限。
- 不需要 FTP/SMTP 即卸載
FTP 明文傳輸賬號密碼，SMTP 允許寫入目錄。若無業務需求，「控制面板」→「添加/刪除程序」→「Windows 組件」徹底移除。
- 每日巡檢 Administrators 組與服務列表
異常新增管理員 = 系統已被滲透。使用 tlist.exe (Resource Kit) 列出 svchost 下所有服務，關注含 daemon 關鍵字的異常服務（Windows 原生無此類服務）。
- 嚴控服務器寫入權限
Web 服務器僅管理員組可寫。業務寫入需求 → 部署專用文件共享服務器，Web 服務器通過 UNC/映射讀取，實現「Web 唯讀、數據分離」。
- 強制複雜密碼策略
≥ 8 位，大小寫+數字+特殊字符，禁用字典詞、生日、手機號。定期掃描弱口令（工具：L0phtCrack 等）。
- 消除非必要共享
管理員唯一寫入者 → 刪除所有共享。攻擊者常用 \\IP\共享名 遍歷 Everyone/Full Control 共享。
- 禁用 TCP/IP 上的 NetBIOS
雙刃劍：阻斷攻擊者枚舉 LAN 資源，但也阻礙合法 UNC 訪問。部署前須制定替代發布方案（如 WebDAV、SFTP、內部門戶）。
- TCP 端口精確阻塞
網卡屬性 → TCP/IP →「高級」→「選項」→「TCP 端口篩選」：僅允許業務端口（如 80, 443, 3389, 25, 53）。謹慎操作，避免將自己鎖在外（預留遠程管理端口）。
- 每周掃描 *.bat/*.exe/*.reg 可疑文件
攻擊者常植入批處理、可執行文件、註冊表文件建立持久化。右鍵 .reg 選「編輯」可查看惡意鍵值，立即刪除。
- 善用 IIS 目錄安全：IP/子網/域名拒絕列表
結合 WhosOn 等實時監控工具，發現異常訪問（如掃描 cmd.exe）即時加入拒絕列表。內網環境效果極佳。
- 全盤部署 NTFS 精細權限
默認 Everyone/Full Control 必須手動關閉。關鍵目錄 System32 權限越小越好。原則：管理員/系統/服務賬戶各取所需最小權限集。
- 管理內建賬戶：禁用 TSInternetUser、最小化 IUSR
TSInternetUser 非必需即禁用。IUSR_機器名 僅賦予匿名訪問所需最低權限。本地安全策略確保無匿名枚舉漏洞。
- 有選擇地啟用審計
審計有性能開銷。若無專人分析，建議僅審計系統事件、關鍵對象訪問失敗。配合 WhosOn 將 IIS 日志導入 Access/Excel 可視化分析，異常早發現早處置。
終極自查命令
netstat -an
觀察有多少外部 IP 正嘗試連接您的端口，每一條可疑連接都是一次調查任務。
部署順序建議
逐條部署、逐條驗證站點可用性。一次性全部開啟極大概率導致服務中斷，需重啟排查，得不償失。
