วิธี Harden IIS Server บน Windows Server 2022 เพิ่มความปลอดภัยระดับองค์กร
การติดตั้ง IIS และเปิดเว็บไซต์ให้ใช้งานได้ ไม่ได้หมายความว่า Web Server จะมีความปลอดภัยเพียงพอสำหรับการใช้งานจริงบนอินเทอร์เน็ต
Server ที่ติดตั้งแบบค่าเริ่มต้นมักมีฟีเจอร์, Service และการตั้งค่าหลายอย่างที่ไม่ได้จำเป็นต่อการใช้งาน ซึ่งอาจกลายเป็นช่องทางให้ผู้โจมตีใช้เป็นจุดเริ่มต้นในการเจาะระบบ
แนวคิดที่เรียกว่า IIS Hardening คือการปรับแต่ง IIS และ Windows Server 2022 ให้มีความปลอดภัยสูงขึ้น โดยปิดสิ่งที่ไม่จำเป็น ลดพื้นผิวการโจมตี (Attack Surface) และปฏิบัติตามมาตรฐาน Security Best Practices
บทความนี้จะรวบรวม Checklist การ Harden IIS Server ที่ใช้จริงในองค์กรและ Data Center
🔐 IIS Hardening คืออะไร
IIS Hardening คือ
การปรับแต่งระบบเพื่อ
ลดความเสี่ยง
ลดช่องโหว่
เพิ่มความปลอดภัย
ก่อนนำ Server ขึ้น Production
🎯 เป้าหมายของ IIS Hardening
🛡️ ลด Attack Surface
🛡️ ลด Information Disclosure
🛡️ ป้องกัน Web Attack
🛡️ ผ่าน Security Audit
🛡️ เพิ่ม Security Compliance
📋 ขั้นตอนที่ 1 อัปเดต Windows Server
เปิด
Windows Update
ติดตั้ง Security Update ล่าสุด
ตรวจสอบ
Get-HotFix
📋 ขั้นตอนที่ 2 ติดตั้งเฉพาะ IIS Components ที่จำเป็น
หลีกเลี่ยง
Install All Features
เลือกเฉพาะ Role Services
ที่ใช้งานจริง
ยิ่งติดตั้งน้อย
ยิ่งปลอดภัย
📋 ขั้นตอนที่ 3 ปิด Directory Browsing
เปิด
Directory Browsing
ต้องเป็น
Disabled
ป้องกันการเปิดดูไฟล์ในโฟลเดอร์
📋 ขั้นตอนที่ 4 ปิด TRACE Method
บล็อก
TRACE
ผ่าน
Request Filtering
ลดความเสี่ยง Cross-Site Tracing
📋 ขั้นตอนที่ 5 เปิด HTTPS เท่านั้น
ติดตั้ง SSL Certificate
บังคับ
HTTPS Redirect
ปิดการใช้งาน HTTP
หากไม่จำเป็น
📋 ขั้นตอนที่ 6 เปิด HSTS
เพิ่ม Header
Strict-Transport-Security
ช่วยป้องกัน HTTPS Downgrade
📋 ขั้นตอนที่ 7 ใช้ TLS 1.2 และ TLS 1.3
เปิด
TLS 1.2
เปิด
TLS 1.3
ปิด
SSL 3.0
TLS 1.0
TLS 1.1
📋 ขั้นตอนที่ 8 ซ่อน IIS Version
ลบ Header
Server
และ
X-Powered-By
ลด Information Disclosure
📋 ขั้นตอนที่ 9 เปิด Security Headers
อย่างน้อยควรมี
HSTS
X-Frame-Options
X-Content-Type-Options
Content-Security-Policy
📋 ขั้นตอนที่ 10 เปิด Request Filtering
บล็อก
Dangerous Extensions
Dangerous Query Strings
Dangerous Verbs
📋 ขั้นตอนที่ 11 จำกัด File Upload
กำหนด
Maximum Upload Size
ป้องกัน
DoS
Large File Attack
📋 ขั้นตอนที่ 12 จำกัด IP Address
ใช้
IP Address and Domain Restrictions
สำหรับ
Admin Panel
Dashboard
ERP
📋 ขั้นตอนที่ 13 ปิด Anonymous Access หากไม่จำเป็น
บางระบบ
ควรใช้
Windows Authentication
แทน
📋 ขั้นตอนที่ 14 ใช้ Least Privilege
Application Pool Identity
ไม่ควรใช้
Administrator
กำหนดสิทธิ์เท่าที่จำเป็น
📋 ขั้นตอนที่ 15 แยก Application Pool
1 เว็บไซต์
ควรมี
1 Application Pool
ลดผลกระทบหากเว็บไซต์ใดถูกโจมตี
📋 ขั้นตอนที่ 16 เปิด Logging
เปิด
IIS Logging
เก็บข้อมูล
IP
URL
User-Agent
Status Code
📋 ขั้นตอนที่ 17 เปิด Failed Request Tracing
ช่วยวิเคราะห์
Error
Attack
Application Issue
📋 ขั้นตอนที่ 18 ติดตั้ง WAF
ตัวอย่าง
ModSecurity
Cloudflare WAF
Azure WAF
📋 ขั้นตอนที่ 19 ตรวจสอบ Malware
สแกนเป็นประจำ
ด้วย
Microsoft Defender
หรือ Security Software อื่น
📋 ขั้นตอนที่ 20 สำรองข้อมูลสม่ำเสมอ
Backup
Website
Database
SSL Certificate
IIS Configuration
🔍 ตรวจสอบ Security ด้วยเครื่องมือ
Nessus
OpenVAS
Acunetix
Qualys
Microsoft Security Baseline
❌ ความเข้าใจผิดที่พบบ่อย
มี Firewall ก็พอแล้ว
❌ ไม่จริง
ใช้ HTTPS แล้วปลอดภัย
❌ ไม่จริง
Antivirus ป้องกันทุกอย่าง
❌ ไม่จริง
ต้องใช้หลายมาตรการร่วมกัน
📋 IIS Hardening Checklist
✅ Update ล่าสุด
✅ HTTPS
✅ HSTS
✅ TLS 1.2/1.3
✅ Security Headers
✅ Request Filtering
✅ IP Restriction
✅ Logging
✅ Backup
✅ WAF
🛡️ Best Practices
① ใช้ Security Baseline
② ปิด Service ที่ไม่จำเป็น
③ ตรวจสอบ Log ทุกวัน
④ สแกนช่องโหว่ทุกเดือน
⑤ ใช้ MFA สำหรับระบบสำคัญ
⑥ ทดสอบ Security Audit เป็นประจำ
⑦ จัดทำ Hardening Checklist มาตรฐานองค์กร
ทีมงาน comsiam ใช้ IIS Hardening Checklist เป็นขั้นตอนบังคับก่อนนำ Windows Server 2022 ขึ้น Production ทุกครั้ง โดยครอบคลุมทั้งระดับ Operating System, IIS, Network และ Application Security เพื่อให้ Server มีความพร้อมสำหรับการให้บริการจริงบนอินเทอร์เน็ต
🎯 สรุป
IIS Hardening เป็นกระบวนการสำคัญที่ช่วยลดช่องโหว่ เพิ่มความปลอดภัย และทำให้ Windows Server 2022 พร้อมสำหรับการใช้งานในสภาพแวดล้อม Production
การอัปเดตระบบ, เปิด HTTPS, ใช้ TLS 1.2/TLS 1.3, เพิ่ม Security Headers, เปิด Request Filtering และใช้ WAF ร่วมกัน จะช่วยสร้างระบบป้องกันหลายชั้นที่สอดคล้องกับมาตรฐานความปลอดภัยขององค์กรยุคใหม่ และลดความเสี่ยงจากการโจมตีทางไซเบอร์ได้อย่างมีประสิทธิภาพ