為提升IIS安全性，微軟提供IIS Lockdown 2.1（含URLScan）。本文針對2.1版本說明前兩大核心功能：禁用非必要服務/組件、修改預設配置強化安全、URLScan過濾HTTP請求（本文不詳細探討URLScan）。

注意事項

IIS Lockdown會改變IIS運行方式，可能與依賴特定IIS功能的應用程式衝突（特別是Exchange 2000、Exchange 5.5、SharePoint Portal Server）。安裝前必須：查閱微軟知識庫最新資訊、在測試機完整測試、完成完整系統備份。

安裝IIS Lockdown 2.1

下載iislockd.exe，勿直接雙擊解壓至同目錄（會檔名衝突）。正確步驟：

1. 下載至暫存目錄。
2. 命令提示字元執行：iislockd.exe /q /c /t:c:\IISLockdown（安靜模式、僅解壓、指定目標目錄）。

主要檔案：iislockd.exe（主程式）、iislockd.ini（配置）、iislockd.chm（說明）、404.dll（404回應）、URLScan相關檔案。

實戰操作嚮導

1. 雙擊iislockd.exe啟動嚮導，接受授權協議。
2. 選擇伺服器模板： 假設選「Static Web Server」（靜態Web伺服器），勾選「View Template Settings」查看細項。
3. Internet Services（網際網路服務）： 三種狀態——啟用（勾選）、建議停用（未勾選）、停用且不可選（灰色）。建議徹底刪除不需服務（HTTP、FTP、SMTP、NNTP）。
4. Script Maps（腳本對應）： 取消勾選可禁用特定副檔名對應（如.asp對應asp.dll），禁用後請求會導向404.dll回傳「檔案未找到」。
5. Additional Security（額外安全）：
   • 刪除開發/學習用虛擬目錄（資料保留）。
   • 勾選「Running system utilities」：修改%windir%下執行檔ACL，禁止匿名Web用戶執行cmd.exe等系統工具。
   • 勾選「Writing to content directories」：加強Web內容目錄ACL，禁止匿名用戶寫入。
   • 勾選「Disable WebDAV」：禁用httpext.dll載入，關閉WebDAV功能。
6. URLScan安裝： 可選擇安裝作為前端過濾器，本文略過。
7. 確認操作清單後點「下一步」執行加鎖，過程中會關閉Web服務，建議安排維護時段進行。

日誌與備份檔案

加鎖完成後會在%windir%\system32\inetsrv產生日誌：oblt-log.log（操作清單）、oblt-rep.log（摘要）、oblt-undo.log（復原作業）、metaback\oblt-mb.md0（IIS中繼資料備份）。建議備份這些檔案以便手動復原或重灌系統時使用。

復原（後悔藥）

只要有oblt-log.log即可復原：先用控制台「新增/移除程式」重裝已刪除服務及URLScan，再執行IIS Lockdown復原，會還原加鎖前的中繼資料備份（加鎖與復原間的修改會遺失，但復原前會再備份一次當前中繼資料）。

無人值守模式

編輯iislockd.ini的[Info]區段：Unattended=TRUE、UnattendedServerType=模板類型（取值自ServerTypesNT4或ServerTypes）。IIS Lockdown 2.1不支援命令列參數，僅能透過修改ini檔實現自動化。