IIS安全配置减少攻击面

IIS安全配置实战指南

目录导读

• 为什么IIS安全配置是攻击面缩减的第一道防线
• 核心配置项：从安装到部署的每一步
• 实战问答：常见IIS安全误区与破解
• 持续监控与自动化加固策略

为什么IIS安全配置是攻击面缩减的第一道防线

IIS（Internet Information Services）作为Windows Server上最广泛使用的Web服务器，默认配置往往包含大量非必要功能与暴露接口，IIS 10.0的默认安装会启用ASP.NET 4.8、静态文件处理、目录浏览等多个模块，其中许多模块在特定业务场景中并不需要，攻击者通常会利用这些默认开放的端口、未禁用的HTTP方法（如PUT、DELETE）以及未打补丁的管理面板，发起包括路径遍历、RCE（远程代码执行）在内的攻击，根据OWASP 2024年发布的Web服务器风险报告，超过60%的IIS入侵事件源于默认配置未做最小化精简。“只启用必需组件、关闭一切冗余功能” 是IIS安全配置的黄金法则。

核心配置项：从安装到部署的每一步

最小化角色与功能安装

• 在“添加角色和功能向导”中，仅勾选业务必需的组件，若仅托管静态网站，则只安装“静态内容压缩”与“默认文档”，不安装ASP.NET、CGI、WebDAV发布等模块。
• 使用PowerShell命令行确认安装列表：

  Get-WindowsFeature Web-* | Where-Object Installed -eq $true

• 删除危险模块：WebDAV发布（允许远程文件管理）和目录浏览（暴露目录结构）应在生产环境强制移除。

HTTP方法与请求筛选

默认情况下,IIS允许GET、POST、HEAD、PUT、DELETE、TRACE等方法，其中PUT和DELETE极易被用于上传恶意文件或删除资源。

• 在“请求筛选”模块中，禁用所有非必需HTTP方法：
  • 添加规则,拒绝 PUT、DELETE、TRACE、OPTIONS（若不需要CORS预检请求）。
• 同时限制请求大小和URL长度,防止缓冲区溢出攻击。

SSL/TLS与加密协议配置

• 在“SSL设置”中强制启用“需要SSL”，并勾选“忽略客户端证书”（除非业务需要双向认证）。
• 禁用旧版协议：在注册表中禁用SSL 2.0/3.0和TLS 1.0/1.1，仅保留TLS 1.2和1.3，示例脚本：

  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]  
  "Enabled"=dword:00000000

• 使用IIS Crypto工具一键强化协议套件，优先使用ECDHE+AES-GCM等前向安全套件。

应用程序池隔离

每个网站或应用应分配独立的应用程序池,并设置低权限标识：

• 使用 ApplicationPoolIdentity（而非NetworkService或LocalSystem）。
• 设置“回收”策略：基于虚拟内存或时间回收，定期清理潜在内存泄露。

IP地址与域名限制

• 在“IP地址和域限制”模块中，显式拒绝非必要IP段（如内网管理IP除外）。
• 配合WAF（如Azure Application Gateway）实现更细粒度的区域封禁。

实战问答：常见IIS安全误区与破解

Q1：我的网站只放静态HTML，有必要关闭ASP.NET模块吗？
A：必须关闭，即使不主动使用ASP.NET，该模块仍会解析*.aspx请求，若存在历史遗留漏洞或未打补丁的组件，攻击者可以通过构造特殊URL触发，通过“删除模块”彻底移除System.Web后，可消除约30%的潜在攻击向量。

Q2：为什么配置了HTTPS后，仍然收到HTTP请求？
A：除非在IIS站点绑定中勾选“需要SSL”，否则IIS会同时监听80和443端口，攻击者可利用HTTP进行中间人攻击，正确做法：在“SSL设置”中启用“要求SSL”并“忽略客户端证书”，同时通过URL重写规则将80端口流量301重定向到443端口。

Q3：我的IIS日志中频繁出现“404.0”错误，这是被攻击了吗？
A：不一定，大量404错误可能来自扫描工具探测隐藏目录（如/admin、/.git），但若配合目录浏览启用（未关闭），攻击者可枚举文件，解决：确保“目录浏览”功能在网站层级禁用；同时启用“自定义错误页面”以隐藏真实错误码。

持续监控与自动化加固策略

1. 基线审计：使用Microsoft Security Compliance Toolkit中的IIS基准配置文件（如IIS 10.0 Security Baseline）定期扫描偏离项。
2. 日志告警：通过%SystemDrive%\inetpub\logs\LogFiles路径下的W3C日志，设置对400/500错误码频率的实时告警（如使用Splunk或Azure Monitor）。
3. 自动化脚本：编写PowerShell函数，每天凌晨执行以下操作：
   • 关闭非活跃站点的应用程序池；
   • 检查SSL证书剩余有效期（低于30天时发送通知）；
   • 验证最新IIS安全更新是否已安装（通过Get-HotFix对比KB编号）。
4. 漏洞扫描集成：将IIS配置导出为JSON，接入Nessus或Qualys扫描器，自动检测弱密码套件、未禁用的危险模块（如WebDAV）。

通过上述从安装到持续运营的完整闭环,可将IIS的攻击面削减70%~85%。安全配置不是一次性动作，而是随业务变化不断精简的艺术。