本模組說明強化IIS伺服器所需指導與步驟，保護企業內部網路中所有IIS伺服器、Web站點與應用程式免受用戶端及同網段其他伺服器攻擊。

核心原則

• IIS不預裝於Windows Server 2003，安裝後預設為高度安全「鎖定」模式：僅提供靜態內容，ASP、ASP.NET、SSI、WebDAV、FrontPage Server Extensions等動態功能需管理員手動啟用（透過IIS管理員的Web服務擴展節點）。
• IIS管理員提供圖形化介面，支援檔案/目錄管理、應用程式集區配置、安全/效能/可靠性設定。
• 除配置強化設定，仍須執行安全監控、偵測與響應，確保持續安全。

關鍵安全設定

稽核原則、使用者權限指派、安全選項、事件日誌

均透過成員伺服器基準（MSBP）配置，確保企業IIS伺服器統一安全設定。詳細請參考「建立Windows Server 2003成員伺服器基準」模組。

拒絕透過網路存取此電腦

三種環境（舊用戶端、企業用戶端、高安全性）均設定為拒絕：匿名登入、內建管理員、Support_388945a0、Guest、所有非作業系統服務帳戶。此設定覆蓋「允許透過網路存取」，涵蓋SMB、NetBIOS、CIFS、HTTP、COM等協定。注意：Guests群組從增量式IIS群組原則移除，以允許IUSR匿名存取IIS。

系統服務（必須設為自動啟動）

服務名	功能說明	三環境設定
HTTP SSL	執行SSL加密通訊，保護信用卡號等敏感資料	自動
IIS Admin Service	管理IIS元件（FTP、應用程式集區、Web站點、Web服務擴展、NNTP、SMTP虛擬伺服器）	自動
World Wide Web Publishing Service (W3SVC)	提供網路連線與網站管理	自動

MSBP會禁用FTP、SMTP、NNTP等服務，如需啟用請修改增量式IIS群組原則。

其他手動安全步驟

1. 僅安裝必要IIS元件： 透過控制台「新增/移除程式」→「Windows元件精靈」安裝，僅啟用Web站點/應用程式必須的元件，減少攻擊面。
2. 僅啟用必要Web服務擴展： 新安裝後僅傳輸靜態內容，動態功能（ASP.NET、SSI、WebDAV、FrontPage Server Extensions）需在IIS管理員中逐一啟用，僅啟用環境必須的擴展。
3. 內容置於專用磁碟區： 預設Web站點檔案存放於<systemroot>\inetpub\wwwroot，建議移至專用磁碟區隔離系統與內容。