Web 伺服器是企業對外服務的前哨站，也是駭客攻擊的首要目標。面對預算有限、人力不足的現實，如何在資源受限下建立有效防禦？本文從「制定安全策略」切入，進而提供針對 IIS 的實戰加固清單，適用於大學資訊中心、中小企業乃至大型組織的 IIS 管理人員。
第一階段：建立資訊安全策略——防禦的基石
為何需要書面策略？
- 獲得高層授權與資源支持，避免「資安人員單打獨鬥、高層不認帳」的對立。
- 明確定義資產價值、風險接受度、存取控制原則、事件回應流程，讓操作有據可依。
- 提供稽核基準，滿足法規遵循（如個資法、ISO 27001）要求。
策略核心內容
- 資產分級：將伺服器、資料庫、原始碼、個資依機密性分級（公開/內部/機密/最高機密）。
- 存取控制矩陣：誰、在什麼條件下、可存取哪些資源（最小權限原則）。
- 修補管理：定義修補週期（關鍵 72 小時、重要 30 天）、測試流程、回滾機制。
- 日誌與監控：集中收集 IIS、作業系統、防火牆、WAF 日誌，設定告警規則（異常登入、404 爆增、SQLi 特徵）。
- 事件回應：建立「偵測→遏制→根因分析→復原→複盤」標準作業程序（SOP）。
第二階段：IIS 實戰加固清單
1. 模組最小化安裝
僅安裝業務必要模組，移除 WebDAV、FTP、Directory Browsing、Server Side Includes 等高風險功能。
2. 應用程式集區隔離與身分識別
- 每個網站獨立應用程式集區，使用 ApplicationPoolIdentity（虛擬帳號，無密碼、自動回收）。
- 停用 32 位元相容模式（除非必要），減少攻擊面。
3. 請求篩選與 URL 重寫防禦
- 啟用「要求篩選」：封鎖雙重編碼、高位元字元、過長 URL、可疑副檔名（
.exe、.bat、.php 於非 PHP 網站）。
- 部署 URL Rewrite 規則：攔截 SQL Injection、XSS、路徑遍歷（
../）常見攻擊模式。
4. SSL/TLS 強化
- 強制 HTTPS（HSTS 標頭、URL Rewrite 導向）。
- 停用 TLS 1.0/1.1、SSLv3，僅啟用 TLS 1.2/1.3。
- 優先支援前向保密套件（ECDHE），停用 RC3、DES、3DES、MD5。
- 憑證採用 SHA-256 以上，私鑰長度 ≥ 2048 bits（RSA）或 P-256 (ECC)。
5. 錯誤頁面自訂與資訊隱藏
- 自訂 404、500、403 錯誤頁面，移除伺服器版本、堆疊追蹤、資料庫連線字串等敏感資訊。
system.webServer/httpErrors errorMode="Custom" existingResponse="Replace"
6. 記錄與稽核
- 啟用 IIS 進階記錄（欄位包含：Client IP、User-Agent、Referer、Cookie、Time-Taken、Bytes Sent/Received）。
- 日誌每日轉存至集中式日誌伺服器（Syslog/ELK/Splunk），保留 ≥ 6 個月。
持續改進：納入資安生命週期
安全非一次專案，而是持續循環：策略→實施→監控→稽核→改進。建議每季進行一次弱點掃描、每年一次滲透測試，並將發現納入策略修訂。唯有將資安內化為組織文化，Web 伺服器才能在風險浪潮中屹立不搖。
