設計哲學轉變

微軟從「功能優先」轉向「預設安全」。IIS 6.0 預設不安裝、安裝後不啟用、啟用後處於鎖定狀態，管理員必須明確啟用所需功能，大幅減少攻擊面。

核心安全特性

• 背景工作進程監控：偵測緩衝區溢位攻擊，終止受攻擊進程，雖無法阻擋所有嘗試，但能擋住大多數主流攻擊向量。
• 匿名驗證改為 NETWORK_CLEARTEXT：移除互動式登入需求，允許網域控制器兼任 Web 伺服器並提升安全性。
• TCP/IP 堆疊層連接埠篩選：提供 TCP/UDP/IP 層級過濾，雖不及專業防火牆，但能抵禦內部攻擊並提供帶外防護。

遷移與相容性

舊版 IIS 可使用 IIS Lockdown 工具模擬 IIS 6 鎖定狀態，但操作不當可能移除必要元件。URLScan (ISAPI 篩選器) 可阻擋可疑請求（.exe 執行、超長 URL、非 ASCII 字元）並記錄攻擊來源，功能已整合至 IIS 6。

應用程式重寫建議

早期鼓勵的做法（如直接將 Office 文件存至 Web 伺服器）現在被視為高風險。管理員需重新審視應用架構，配合 IIS 6 安全模型調整程式碼與設定。

結論

IIS 6 透過預設鎖定、進程監控、驗證強化與內建篩選，顯著提升 Web 伺服器安全基線。但管理得當的伺服器永遠比單純依賴軟體功能更安全。