IIS 6.0 預設以「高度鎖定」模式安裝：僅提供靜態內容，ASP、ASP.NET、SSI、WebDAV、FrontPage Server Extensions 等動態功能均需管理員在「Web 服務擴展」節點明確啟用。本文依據 Microsoft 官方安全指南，系統闡述審核原理、使用者權限指派、安全性選項等三大強化面向。
一、 審核原理配置
透過成員伺服器基準原理 (MSBP) 統一配置，確保所有 IIS 伺服器記錄完整安全審核資訊。關鍵審核類別：
- 稽核帳號登入事件（成功/失敗）
- 稽核帳號管理（成功/失敗）
- 稽核目錄服務存取（成功/失敗）
- 稽核登入事件（成功/失敗）
- 稽核物件存取（失敗）
- 稽核原理變更（成功/失敗）
- 稽核特殊權限使用（失敗）
- 稽核系統事件（成功/失敗）
日誌大小建議：安全性日誌 ≥ 128 MB，應用程式/系統日誌 ≥ 32 MB，覆寫模式設為「依需求覆寫事件 (舊事件優先)」。
二、 使用者權限指派 — 核心：「拒絕從網路存取這台電腦」
此設定決定哪些身分**無法**透過網路 (SMB、NetBIOS、CIFS、HTTP、COM+) 存取伺服器，優先權高於「允許從網路存取」。MSBP 與增量式 IIS 群組原理 (Incremental IIS GPO) 差異在於 Guests 群組處理：
| 環境 | MSBP 預設包含 | 增量式 IIS GPO 建議 |
|---|
| 成員伺服器基準 / 舊版用戶端 / 企業用戶端 / 高安全性 | 匿名登入、內建 Administrator、Support_388945a0、Guests、所有非作業系統服務帳號 | **移除 Guests 群組** (因 IUSR_* 屬於 Guests，移除後可視需要配置匿名存取) |
最終三環境統一配置： 匿名登入、內建 Administrator、Support_388945a0、Guest、所有非作業系統服務帳號。
操作： GPO → 電腦配置 → Windows 設定 → 安全性設定 → 區域原理 → 使用者權限指派 → 「拒絕從網路存取這台電腦」 → 新增上述帳號/群組 (需手動輸入 SID 或從 AD 選取)。
三、 安全性選項
同樣透過 MSBP 統一，關鍵項目：
- 網路存取：匿名 SID/名稱轉換 → 停用
- 網路存取：允許匿名 SID/名稱轉換 → 停用
- 網路存取：可匿名存取的命名管道 → 清空
- 網路存取：可匿名存取的共用 → 清空
- 互動式登入：不需要 Ctrl+Alt+Del → 停用 (增強物理安全)
- 關機：允許系統不登入即關機 → 停用
- 系統物件：強制預設安全性描述元 → 啟用
事件日誌相關：保留安全性日誌 365 天、最大 128 MB、不自動覆寫（手動清除）。
四、 持續安全運營：審核、偵測、回應
- 日誌集中化： 部署事件收集轉送 (WEF/Event Collector) 或第三方 SIEM，即時關聯 IIS 日誌、安全性日誌、防火牆日誌。
- 檔案完整性監控 (FIM)： 監控
%SystemRoot%\System32\inetsrv\、%SystemDrive%\Inetpub\、Web 根目錄關鍵檔案變更。
- 應用程式池隔離審查： 定期檢視各池身分識別帳號、回收設定、.NET 信任等級。
- 掃描與滲透測試： 每季執行 MBSA、Nessus 或商業掃描器，年度第三方滲透測試。
- 補丁管理： WSUS 部署，關鍵更新 48 小時內測試上線，修補 IIS/ASP.NET/核心作業系統漏洞。
強化非一次性專案，而是「配置基線 → 持續監控 → 事件回應 → 基線迭代」的閉環。將本指南納入伺服器上架標準作業程序 (SOP)，確保每台 IIS 伺服器出生即安全。
