產品定位

SecureIIS (現屬 BeyondTrust/ThreatSTOP 體系) 是專為 IIS 設計的主機型 Web 應用程式防火牆 (WAF)。核心優勢：不依賴特徵碼資料庫，透過行為分析、語義解析、異常檢測，在零時差漏洞公開前即可阻擋攻擊。

核心防護模組配置指南

1. Buffers (資料緩衝區長度限制)

原理： 限制客戶端請求主體 (Body)、Header、URL、Query String、Cookie 等欄位最大長度。緩衝區溢位攻擊通常需超長輸入 (Win32 Shellcode 常 > 1000 bytes)。

建議配置：

• URL 總長度：≤ 2048 bytes
• Query String：≤ 1024 bytes
• Header 單值：≤ 512 bytes
• Cookie 單值：≤ 1024 bytes
• POST Body：依應用需求設定 (如 1MB 以下)，檔案上傳另行處理。

效益： 同時防禦已知/未知緩衝區溢位、整數溢位、格式化字串攻擊。

2. Methods (HTTP 方法限制)

原理： 僅允許業務必要的 HTTP Method，拒絕其餘。WebDAV/擴展方法常被濫用 (PROPFIND, PROPPATCH, MKCOL, LOCK, UNLOCK, PUT, DELETE, PATCH, OPTIONS, TRACE)。

建議配置：

• 啟用： GET, HEAD, POST
• 條件啟用： 若有 RESTful API 需 PUT/DELETE/PATCH，僅在對應虛擬目錄/應用程式池啟用。
• 永久停用： TRACE (防 XST)、CONNECT、DEBUG、非標準方法。

3. Shellcode 偵測 (High-bit Shellcode Protection)

原理： Shellcode 多包含高位元組 (0x80-0xFF) 連續序列 (NOP sled, 解碼器, 實際載荷)。正常 HTTP 請求 (URL 編碼、Base64、JSON、XML) 高位元組比例極低。

配置： 啟用「高位元組偵測」，設定閾值 (如連續 ≥ 20 bytes 高位元組或整體請求高位元組比例 > 15%) 即阻擋並記錄。

注意： 可能誤判合法二進位上傳 (圖片、PDF)、加密流量。需針對上傳端點例外或改用 Base64/多部份表單上傳。

4. Keywords (關鍵字/特徵過濾)

原理： 檢查請求 (URL、Header、Body、Cookie) 是否包含高風險關鍵字：cmd.exe, command.com, /bin/sh, powershell, wscript.shell, xp_cmdshell, sp_oacreate, eval(, exec(, system(, union select, script>, onerror= 等。

進階用法：

• 正規表示式支援：(?i)(union.*select|select.*union)、(?i)(。
• 分區域套用：登入頁僅檢查 SQLi 關鍵字；上傳頁重點檢查 Shellcode/雙重副檔名。
• 動作：記錄、阻擋、自訂錯誤頁 (避免洩漏技術細節)、觸發告警整合 SIEM。

5. 進階保護選項

模組	功能	配置要點
Folders (資料夾保護)	限制特定虛擬目錄存取權限、禁止腳本執行、隱藏目錄列表	上傳目錄：移除執行權限、禁用腳本對應、啟用防範雙重副檔名
Web Application (應用程式保護)	針對特定應用 (ASP.NET, PHP, Java) 定義參數化規則、會話保護、CSRF Token 驗證	啟用「要求有效 Referer」「驗證 ViewState MAC」「限制 Session 存活時間」
File Monitor (檔案監視/防竄改)	即時偵測 Web 根目錄下關鍵檔案新增/修改/刪除 (WebShell 投放、惡意程式碼注入)	設定白名單排除合法部署路徑、整合檔案完整性監控 (FIM) 警報

部署與運維最佳實務

1. 測試模式先行： 初期設定為「僅記錄」，觀察誤判 (False Positive) 並調整白名單/閾值。
2. 分階段啟用阻擋： 先啟用高信心規則 (Buffers, Methods, 明顯 Shellcode)，再逐步收緊 Keywords、Folders。
3. 日誌整合： 將 SecureIIS 日誌 (W3C 擴展格式) 轉發至 SIEM (Splunk, Elastic, QRadar)，關聯關聯分析。
4. 定期規則更新： 訂閱廠商規則更新、社群威脅情報 (OWASP CRS, AlienVault OTX)，轉換為 SecureIIS 自訂規則。
5. 效能監控： 監控 CPU/記憶體/延遲增加幅度，若超過 5-10% 應優化規則或擴充資源。

結語

SecureIIS 以「正向安全模型」 (定義允許行為、預設拒絕異常) 為核心，配合緩衝區長度限制、HTTP 方法白名單、Shellcode 統計特徵偵測、關鍵字語義過濾、目錄/應用/檔案多層防護，為 IIS 提供強韌的即時防禦盾。正確配置、持續調優、日誌關聯，才能發揮最大效益。