打造高安全性 IIS Web 伺服器：Windows 2000 系統與 IIS 雙重防護實戰指南

IIS（Internet Information Server）因易用廣受歡迎，但安全性備受質疑。建置安全 Web 伺服器需同時強化 Windows 2000 作業系統與 IIS 本身，雙管齊下才能築起堅固防線。

第一階段：構建安全的 Windows 2000 基礎環境

1. 採用 NTFS 檔案系統： 善用檔案/目錄層級權限控管。
2. 關閉預設共享： 登錄編輯器中 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 新增 AutoShareServer (REG_DWORD=0)。
3. 修改共享權限： 新增共享後立即移除 Everyone 預設權限，避免不必要存取。
4. 重新命名系統管理員帳號： 「電腦管理 → 區域使用者和群組」將 Administrator 改為普通名稱，降低被猜測風險。
5. 停用 TCP/IP 上的 NetBIOS： 網路連線屬性 → TCP/IP 進階 → WINS → 勾選「停用 TCP/IP 上的 NetBIOS」。
6. 啟用 TCP/IP 篩選： 僅允許 TCP 連接埠 80 進站，封鎖其他非必要連接埠。
7. 調整登錄強化抗 DoS： 修改 HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect = 2，加速連線逾時回應。

第二階段：確保 IIS 自身安全性

安全安裝原則

• 勿將 IIS 安裝在系統磁碟區。
• 變更 IIS 預設安裝路徑。
• 安裝完成即套用 Windows 與 IIS 最新修補程式。

IIS 安全配置清單

1. 刪除不必要的虛擬目錄： 如 IISHelp、IISAdmin、IISSamples、MSADC 等預設目錄。
2. 移除高風險 IIS 元件： 視需求刪除 Internet 服務管理員 (HTML)、SMTP Service、NNTP Service、範例頁面與腳本。
3. 依檔案類型設定目錄權限： 靜態檔案目錄「讀取/拒絕寫入」；ASP 腳本目錄「執行/拒絕讀寫」；可執行程式目錄「執行/拒絕讀寫」。
4. 清理應用程式對應： 僅保留 .asp 對應，其他極少用到的對應刪除；若需保留，務必勾選「檢查檔案是否存在」。
5. 保護日誌安全：
   • 修改 IIS 日誌預設儲存路徑（%WinDir%\System32\LogFiles），避免駭客輕易找到。
   • 設定日誌存取權限，僅允許管理員讀取。

完成上述配置，您的 Web 伺服器安全等級將大幅提升！