IIS 上托管的 ASP.NET 应用程序的防病毒排除列表

Question

微软建议在 iis 上运行 asp.net 应用程序时从反病毒中排除一组文件夹，这似乎很危险，我想知道是否仍然建议这样做。

https://learn.microsoft.com/en-us/troubleshoot/developer/webapps/aspnet/www-administration-management/exclude-folders-antivirus-scanning

https://techcommunity.microsoft.com/t5/iis-support-blog/antivirus-exclusion-list-for-asp-net-applications-hosted-on-iis/bc-p/4153826#M856

• 某些文件夹的防病毒排除可以更具体吗？
• 哪些文件特别需要防病毒例外并且仍能保证优化应用程序？
• 如果例外不能具体，并且必须位于该级别（wwwroot 等），那么这些文件夹如何免受某些针对性攻击？
• 令人担忧的是，如果对这些文件夹进行防病毒检查是为了确保这些文件免受外部/病毒攻击，那么如果防病毒软件不检查它们，这是否会使系统容易受到攻击？

除了这些文章之外，我还尝试向 Microsoft 寻求建议，但没有找到具体的建议。

Answer 1

仅仅因为您没有对上述文件/文件夹运行防病毒程序，并不意味着它们容易受到攻击。应根据需要正确配置 Web 服务器以防止未经授权的访问。除了允许用户访问的内容（最小访问策略）之外，所有内容都应该被锁定。 IIS 和 Windows 已经知道如何很好地做到这一点。您只需要确保正确配置它即可。查看本文了解最佳实践。

但是，您的应用程序有责任强制执行一定级别的安全性。例如，如果您允许文件上传，则应注意允许的扩展名、如何在本地保存这些文件以及保存它们的位置。然后，您可以让防病毒软件扫描您的目标上传文件夹，而不必影响您提供的链接中提到的可能触发 AppDomain 卸载的其他部分，从而导致性能问题。

最后，如果您真的担心这一点，您可以随时根据使用情况在您方便的时间安排扫描整个结构，以尽量减少对性能的影响（例如，每隔一段时间进行一次完整扫描）凌晨 2 点 12 小时）。