Windows NTFS 權限防禦體系實戰：從用戶組架構到 IIS 站點隔離的完整硬化指南

核心觀念：權限是安全的基石，而非阻礙

Windows 採用「主體-客體」存取控制模型：每個程序以特定使用者身分執行，存取檔案/登錄/物件時由 ACL (存取控制清單) 裡的 ACE (存取控制項目) 決定允許或拒絕。NTFS 權限的精細粒度，是抵禦 WebShell、提權漏洞、横向移動的最後一道防線——即使攻擊者取得 IIS 工作者進程身分，若該身分在檔案系統層面唯讀、無寫入權限，植入後門、竊取資料即無從著手。

一、 內建安全性主體與群組權限階層

二、 關鍵帳號硬化動作

1. 重命名 Administrator：本地安全性原則 → 本地原則 → 安全性選項 →「帳號: 重新命名系統管理員帳號」→ 設為無特徵名稱 (如 svc_admin_01)。
2. 建立誘餌帳號：新建名為 Administrator 的帳號，歸屬 Guests 群組，設定 20+ 字元複雜密碼，啟用稽核登入失敗事件，作為蜜罐偵測暴力破解。
3. 停用 Guest 帳號：預設已停用，確認未被啟用。
4. 服務帳號最小權限：IIS 應用程式集區、SQL Server、備份代理程式等均使用專屬網域/本機帳號，僅授予必要資料夾 讀取/寫入，嚴禁加入 Administrators。

三、 NTFS 權限實戰矩陣 (七大基本權限)

四、 Web 伺服器目錄權限佈局範例 (NTFS 分區隔離)

C: (系統卷)          -> 僅 SYSTEM + Administrators (F) ; Users (RX)
D: (軟體卷)          -> SYSTEM (F) ; Administrators (F) ; ServiceAccounts (RX) ; Users (RX)
E:\WWW (網站程式)    -> SYSTEM (F) ; Administrators (F) ; IIS_IUSRS (RX) ; WebDevGroup (M)
F:\WWWDATABASE (資料) -> SYSTEM (F) ; Administrators (F) ; SQL_SVC (M) ; IIS_IUSRS (R) ; 禁止 Users

關鍵原則：

• 繼承中斷：每個業務目錄關閉「繼承自父物件的權限」，改為「轉換為此物件的明確權限」再精簡。
• 無執行權限的上傳目錄：上傳資料夾 絕不授予 IIS_IUSRS 執行權限 (RX)，僅給寫入 (W)，並配合 IIS 「處理常式對應」移除腳本映射，徹底杜絕 WebShell 執行。
• 非預設安裝路徑：所有服務軟體 (Serv-U, SQL, AV, Firewall) 安裝至非預設路徑，增加攻擊者偵察成本。

五、 防禦深度：配合群組原則與稽核

1. 稽核原則：啟用「稽核物件存取」→ 關鍵目錄 (如 E:\WWW) 設定 SACL，記錄「寫入」、「刪除」、「變更權限」失敗/成功事件。
2. 限制本地登入：群組原則 → 本地原則 → 使用者權利指派 →「拒絕從網路存取這台電腦」加入 Guests, Anonymous Logon。
3. 防火牆最小開放：僅開放 TCP 80/443 (Web)、TCP 21 (FTP, 若必要)、TCP 3389/自訂埠 (RDP, 僅限管理 IP)。

結語： NTFS 權限不是「設定好就不用管」的靜態配置，而是隨著應用上線、人員異動、漏洞公開而持續精進的動態防線。掌握「最小權限、繼承中斷、執行與寫入分離、稽核留痕」四大鐵律，才能在駭客已突破網路邊界時，將損害控制在單一目錄、單一服務帳號範圍內。