IIS 6.0 日誌記錄提供比 Windows 事件日誌更詳細的 Web 存取資訊：訪客 IP、請求 URL、回應狀態碼、用戶代理、頻寬用量等。完整配置三階段：啟用日誌、配置儲存策略、日誌分析應用。
一、啟用網站日誌記錄
- 開啟「Internet 資訊服務管理員」 (
inetmgr)。
- 展開伺服器節點 → 「網站」→ 右鍵目標網站 → 「內容」。
- 「網站」索引標籤 → 勾選 「啟用日誌記錄」。
⚠️ 必須同時勾選「主目錄」索引標籤 → 「記錄存取」才能生效。
- 「作用中日誌格式」選擇：
📋 W3C 擴充日誌檔案格式 (推薦，可自訂欄位、標準化、工具支援最好)
📋 IIS 日誌檔案格式
📋 NCSA 通用日誌檔案格式
📋 ODBC 日誌記錄 (寫入資料庫)
- 點選「屬性」→「進階」→ 勾選需記錄欄位：
✅ 日期、時間、用戶端 IP、用戶名、方法、URI 查詢、狀態碼、位元組傳送/接收、耗時、用戶代理、Cookie、Referer 等。
- ODBC 格式需額外設定 DSN、資料表、帳號密碼。
二、特定資料夾/檔案啟用或停用日誌
- IIS 管理員 → 找到目標虛擬目錄/資料夾/檔案 → 右鍵「內容」。
- 「目錄」/「檔案」索引標籤 → 勾選/取消勾選 「記錄存取」。
三、日誌檔案儲存策略配置
- 網站「內容」→「網站」索引標籤 → 「屬性」→「一般」索引標籤。
- 「新增日誌檔案排程」選擇：
🔘 每小時：高流量網站
🔘 每天：標準選擇 (預設)
🔘 每週：低流量
🔘 每月：極低流量
🔘 無限制大小：單一檔案持續寫入 (需手動停止網站才能讀取)
🔘 檔案大小達到：指定大小 (MB) 自動切割
- 「使用本地時間進行檔案命名與建立」：勾選後按本地午夜切割 (W3C 格式預設 GMT)，日誌內時間仍為 GMT。
- 「日誌檔案目錄」：指定儲存路徑 (完整本地路徑，不可用 UNC/映射磁碟機/句點/反斜線)。
四、使用記事本審核 IIS 日誌 (安全性分析)
- 開啟記事本 → 「檔案」→「開啟」→ 選取日誌檔。
- 重點檢查可疑事件：
🔴 多次失敗的可執行檔/腳本執行嘗試 (重點監控 /scripts/、/cgi-bin/)
🔴 單一 IP 大量失敗登入嘗試 (暴力破解/拒絕服務前兆)
🔴 .bat/.cmd 檔案存取/修改失敗嘗試
🔴 未授權上傳可執行檔至可執行目錄嘗試
五、生產環境安全性建議
- 🗑️ 移除網站根目錄下的 ASP 註冊頁 (含建立憑證資訊)，或限制存取權限。
- 📊 部署日誌集中收集 (Windows Event Forwarding / Logstash / Fluentd / NXLog) → SIEM 分析。
- 🔄 設定日誌保留期 (如 90 天) 與自動歸檔/壓縮。
- 🚨 配置關鍵指標告警：404 暴增、5xx 錯誤率、單 IP 請求量異常、掃描器特徵 (sqlmap、nikto、dirb 等 User-Agent)。
- 🔒 確保日誌檔案 ACL 僅允許 Administrators/系統/備份操作員讀取，防止竄改/刪除。
日誌格式欄位對照 (W3C 擴充格式)
| 欄位 | 說明 |
|---|
| date | 日期 (YYYY-MM-DD) |
| time | 時間 (HH:MM:SS, GMT) |
| c-ip | 用戶端 IP |
| cs-username | 驗證用戶名 (匿名為 -) |
| cs-method | HTTP 方法 (GET/POST/PUT/DELETE 等) |
| cs-uri-stem | 請求 URI 路徑 |
| cs-uri-query | 查詢字串 |
| sc-status | HTTP 狀態碼 |
| sc-bytes | 伺服器傳送位元組數 |
| cs-bytes | 用戶端傳送位元組數 |
| time-taken | 處理耗時 (毫秒) |
| cs(User-Agent) | 用戶代理字串 |
| cs(Cookie) | Cookie 內容 |
| cs(Referer) | 來源頁面 URL |
完善 IIS 日誌配置與分析流程，是 Web 伺服器安全運維與效能優化的基石。
