現狀痛點

• NT/2000 架設網站比例高，但安全配置參差不齊
• 微軟僅發布零散補丁，缺乏系統性硬化方案
• 管理員三態：裸奔、盲目打補丁、裝防火牆以為萬事大吉

解決方案範圍聲明

針對對外發布的 Web 伺服器，不適用於純內網應用伺服器。

核心硬化框架（瑞星整理）

第一層：作業系統基礎防護

• NTFS 全分區、最新 SP + 熱修補程式
• 關閉非必要服務、停用預設共享、強密碼、帳號鎖定
• 審核原則：失敗登入、物件存取、原則變更

第二層：網路層隔離

• 防火牆/路由器僅開放 80/443 端口
• 封鎖 135/137/138/139/445 等管理端口對外暴露
• 啟用 IPSec 政策限制管理通道來源 IP

第三層：IIS 應用層硬化

• 移除預設網站、虛擬目錄、範例腳本
• 停用目錄瀏覽、父路徑、不必要的副檔名對應
• URLScan/ISAPI 篩選器阻擋惡意請求
• 應用程式集區隔離、身分識別最小權限

第四層：程式碼與資料安全

• 參數化查詢防 SQL Injection
• 輸入驗證、輸出編碼防 XSS
• 資料庫最小權限帳號、加密儲存敏感欄位
• 錯誤訊息不洩露堆疊追蹤

第五層：監控與應變

• 即時日誌分析（IIS 日誌、安全事件日誌、防火牆日誌）
• 檔案完整性監控（Tripwire 風格）
• 入侵偵測系統 (IDS/IPS) 部署
• 災難演練：備份/還原、截斷網路、鑑識保存

結語

安全非產品、非一次性動作，而是持續的流程。瑞星方案提供系統性框架，管理員需根據業務風險評估，逐項落實、定期複核。