Windows Server 2003 IIS 6.0 網站日誌記錄完整設定指南

IIS 日誌記錄瀏覽者 IP、請求資源、時間、狀態碼等關鍵資訊，是資安稽核、流量分析、效能調校的基礎資料來源。本文詳述啟用、儲存策略、進階欄位與日誌審閱全流程。

一、啟用網站層級日誌記錄

1. 開啟「Internet 資訊服務 (IIS) 管理員」→ 展開「網站」→ 右鍵目標網站 →「內容」。
2. 「網站」索引標籤 → 勾選「啟用記錄」。
3. 「作用中記錄格式」選擇：
   W3C 延伸記錄檔格式（最彈性、可自訂欄位，推薦）
   或 IIS、NCSA、ODBC 格式。
4. 按「內容」→「進階」索引標籤 → 勾選需記錄欄位（建議全選：日期、時間、用戶端 IP、用戶名、方法、URI 查詢、狀態、位元組、User-Agent、Referer 等）。
5. 若選 ODBC，需另行設定 DSN、資料表、帳密。

二、針對特定資料夾/虛擬目錄啟用/停用記錄

1. IIS 管理員 → 展開網站 → 右鍵目標資料夾/虛擬目錄 →「內容」。
2. 「目錄」/「虛擬目錄」索引標籤 → 勾選/取消「記錄拜訪」。

三、日誌檔儲存與輪替策略

「網站內容」→「網站」索引標籤 →「內容」→「一般」索引標籤：

日誌檔目錄： 必須使用本機完整路徑（如 D:\IISLogs），不可用映射磁碟機或 UNC 路徑。建議放非系統盤、定期備份異地。

四、使用記事本/Log Parser 快速審閱

1. 記事本開啟 .log 檔，搜尋關鍵字：404、500、cmd.exe、../、SELECT、UNION 等。
2. 可疑指標：
    • 大量單一 IP 失敗登入（暴力破解）
    • 嘗試執行 .bat/.cmd/.exe
    • 非授權上傳至可執行目錄
    • 腳本目錄異常存取
3. 進階分析：安裝 Log Parser 2.2，用 SQL 語法查詢日誌（如 LogParser "SELECT c-ip, COUNT(*) FROM *.log GROUP BY c-ip ORDER BY COUNT(*) DESC" -i:W3C）。

五、生產環境安全建議

• 刪除或限制存取預設 ASP 範例頁（wwwroot 下）。
• NTFS 權限：系統盤、Inetpub、System32 關鍵執行檔（cacls.exe、cmd.exe、net.exe）僅授予 Administrators 與 SYSTEM 完全控制。
• 定期匯出日誌至 SIEM/集中日誌平台，設定告警規則。