IIS安全机制基础
??? IIS (Internet Information Server)作為當今流行的Web服務器之一，提供了強大的Internet和Intranet服務功能。如何加強IIS的安全機制，建立高安全性能的可靠的Web服務器，已成為網(wǎng)絡管理的重要組成部分。
??? 以Windows NT的安全機制為基礎
??? 1.應用NTFS文件系統(tǒng)
??? NTFS文件系統(tǒng)可以對文件和目錄進行管理，FAT文件系統(tǒng)則只能提供共享級的安全，而Windows NT的安全機制是建立在NTFS文件系統(tǒng)之上的，所以在安裝Windows NT時最好使用NTFS文件系統(tǒng)，否則將無法建立NT的安全機制。
??? 2.共享權限的修改
??? 在系統(tǒng)默認情況下，每建立一個新的共享，Everyone用戶就享有“完全控制”的共享權限，因此，在建立新的共享后應該立即修改Everyone的缺省權限。
??? 3.為系統(tǒng)管理員賬號更名
??? 域用戶管理器雖可限制猜測口令的次數(shù)，但對系統(tǒng)管理員賬號[adminstrator]卻無法限制，這就可能給非法用戶攻擊管理員賬號口令帶來機會，通過域用戶管理器對管理員賬號更名不失為一種好辦法。具體設置方法如下：選擇“開始”選單→“程序”→啟動“域用戶管理器”→選中“管理員賬號(adminstrator)”→選擇“用戶”選單→“重命名”，對其進行修改。
??? 4.取消TCP/IP上的NetBIOS綁定
??? NT系統(tǒng)管理員可以通過構造目標站NetBIOS名與其IP地址之間的映像，對Internet或Intranet上的其他服務器進行管理，但非法用戶也可從中找到可乘之機。如果這種遠程管理不是必須的，就應該立即取消(通過網(wǎng)絡屬性的綁定選項，取消NetBIOS與TCP/IP之間的綁定)。
??? 設置IIS的安全機制?
???
??? 1.安裝時應注意的安全問題
??? 1>避免安裝在主域控制器上
??? 安裝IIS之后，在安裝的計算機上將生成IUSR_Computername匿名賬戶。該賬戶被添加到域用戶組中，從而把應用于域用戶組的訪問權限提供給訪問Web服務器的每個匿名用戶，這不僅給IIS帶來潛在危險，而且還可能威脅整個域資源的安全。所以要盡可能避免把IIS服務器安裝在域控制器上，尤其是主域控制器上。
??? 2>避免安裝在系統(tǒng)分區(qū)上
??? 把IIS安裝在系統(tǒng)分區(qū)上，會使系統(tǒng)文件與IIS同樣面臨非法訪問，容易使非法用戶侵入系統(tǒng)分區(qū)，所以應該避免將IIS服務器安裝在系統(tǒng)分區(qū)上。
??? 2.用戶的安全性
??? 1>匿名用戶訪問權限的控制
??? 安裝IIS后產(chǎn)生的匿名用戶IUSR_Computername(密碼隨機產(chǎn)生)，其匿名訪問給Web服務器帶來潛在的安全性問題，應對其權限加以控制。如無匿名訪問需要，則可以取消Web的匿名訪問服務。具體方法：
??? 選擇“開始”選單→“程序”→“Microsoft Internet Server(公用) ”→“Internet服務管理器” →啟動Microsoft Internet Service Manager→ 雙擊“WWW”啟動WWW服務屬性頁→取消其匿名訪問服務。
??? 2>控制一般用戶訪問權限
??? 可以通過使用數(shù)字與字母(包括大小寫)結合的口令，使用長口令(一般應在6位以上)，經(jīng)常修改密碼，封鎖失敗的登錄嘗試以及設定賬戶的有效期等方法對一般用戶賬戶進行管理。
??? 3.IIS三種形式認證的安全性
??? 1>匿名用戶訪問：允許任何人匿名訪問，在這三種中安全性最低。
??? 2>基本（Basic）認證：用戶名和口令以明文方式在網(wǎng)絡上傳輸，安全性能一般。
??? 3>Windows NT請求/響應方式：瀏覽器通過加密方式與IIS服務器進行交流，有效地防止了竊聽者，是安全性比較高的認證形式(需IE 3.0以上版本支持)。
??? 4.訪問權限控制
??? 1>設置文件夾和文件的訪問權限：安放在NTFS文件系統(tǒng)上的文件夾和文件，一方面要對其權限加以控制，對不同的組和用戶設置不同的權限；另外，還可以利用NTFS的審核功能對某些特定組的成員讀、寫文件等方面進行審核，通過監(jiān)視“文件訪問”、“用戶對象的使用”等動作，來有效地發(fā)現(xiàn)非法用戶進行非法活動的前兆，及時加以預防和制止。具體方法：選擇“開始”選單→“程序”→啟動“域用戶管理器” →選擇“規(guī)則”選項卡下的“審核”選項→設置“審核規(guī)則”。
??? 2>設置WWW目錄的訪問權限：已經(jīng)設置成Web目錄的文件夾，可以通過操作Web站點屬性頁實現(xiàn)對WWW目錄訪問權限的控制，而該目錄下的所有文件和子文件夾都將繼承這些安全機制。WWW服務除了提供NTFS文件系統(tǒng)提供的權限外，還提供讀取權限——允許用戶讀取或下載WWW目錄中的文件；執(zhí)行權限——允許用戶運行WWW目錄下的程序和腳本。具體設置方法如下：選擇“開始”選單→“程序”→“Microsoft Internet Server(公用) ”→“Internet服務管理器” →啟動Microsoft Internet Service Manager→ 雙擊“WWW”啟動WWW服務屬性頁→選擇“目錄”選項卡→選定需要編輯的WWW目錄→選擇“編輯屬性”中的“目錄屬性”進行設置。
??? 5.IP地址的控制
??? IIS可以設置允許或拒絕從特定IP發(fā)來的服務請求，有選擇地允許特定節(jié)點的用戶訪問?？梢酝ㄟ^設置來阻止指定IP地址外的網(wǎng)絡用戶訪問你的Web服務器。具體設置方法如下：選擇“開始”選單→“程序”→“Microsoft Internet Server(公用) ”→“Internet服務管理器” →啟動Microsoft Internet Service Manager→雙擊“WWW”啟動WWW服務屬性頁→啟動Web屬性頁中“高級”選項卡；進行IP地址的控制設置。
??? 6.端口安全性的實現(xiàn)
??? 對于IIS服務，無論是WWW站點、Fpt站點，還是NNpt、SMpt服務等都有各自偵聽和接收瀏覽器請求的TCP端口號(Post)，一般常用的端口號為：WWW是80，Fpt是21，SMPT是25，你可以通過修改端口號來提高IIS服務器的安全性。如果你修改了端口設置，只有知道端口號的用戶才可以訪問，不過用戶在訪問時需要指定新端口號。
??? 7.IP轉發(fā)的安全性?
????IIS服務可提供IP數(shù)據(jù)包的轉發(fā)功能，此時，充當路由器角色的IIS服務器將會把從Internet接口收到的IP數(shù)據(jù)包轉發(fā)到內部網(wǎng)中，禁用這一功能將提高IIS服務的安全性。設置方法如下：選擇“開始”選單→“程序”→“Microsoft Internet Server(公用) ”→“Internet服務管理器” →啟動Microsoft Internet Service Manager→ 雙擊“WWW”啟動WWW服務屬性頁→選擇“協(xié)議”選項卡→在TCP/IP屬性中去掉“路由選擇”。
轉載于:https://www.cnblogs.com/Apolloge/archive/2006/08/23/IISConfig.html
總結
