一五一十談IIS安全機制

一五一十談IIS安全機制

IIS（Internet Information Server）作為當今流行的Web伺服器之一，提供了強大的Internet和Intranet服務功能。如何加強IIS的安全機制，建立高安全效能的可靠的Web伺服器，已成為網路管理的重要組成部分。 　　以Windows NT的安全機製為基礎 　　1.應用NTFS檔案系統 　　NTFS檔案系統可以對檔案和目錄進行管理，FAT檔案系統則只能提供共用級的安全，而Windows NT的安全機制是建立在NTFS檔案系統之上的，所以在安裝Windows NT時最好使用NTFS檔案系統，否則將無法建立NT的安全機制。 　　2.共用許可權的修改 　　在系統預設情況下，每建立一個新的共用，Everyone使用者就享有“完全控制”的共用許可權，因此，在建立新的共用後應該立即修改Everyone的預設許可權。 　　 　　　　3.為系統管理員帳號更名 　　　　域使用者管理員雖可限制猜測口令的次數，但對系統管理員帳號（adminstrator）卻無法限制，這就可能給非法使用者攻擊管理員帳號口令帶來機會，通過域使用者管理員對管理員帳號更名不失為一種好辦法。具體設定方法如下： 　　　　選擇“開始”選單→“程式”→啟動“域使用者管理員”→選中“管理員帳號（adminstrator）”→選擇“使用者”選單→“重新命名”，對其進行修改。 　　 　　　　4.取消TCP/IP上的NetBIOS綁定 　　　　NT系統管理員可以通過構造目標站NetBIOS名與其IP地址之間的映像，對Internet或Intranet上的其他伺服器進行管理，但非法使用者也可從中找到可乘之機。如果這種遠端管理不是必須的，就應該立即取消（通過網路屬性的綁定選項，取消NetBIOS與TCP/IP之間的綁定）。 　　設定IIS的安全機制 　　1.安裝時應注意的安全問題 　　1）避免安裝在主網域控制站上 　　安裝IIS之後，在安裝的電腦上將產生IUSR_Computername匿名賬戶。該賬戶被添加到域使用者組中，從而把應用於域使用者組的存取權限提供給訪問Web伺服器的每個匿名使用者，這不僅給IIS帶來潛在危險，而且還可能威脅整個域資源的安全。所以要儘可能避免把IIS伺服器安裝在網域控制站上，尤其是主網域控制站上。 　　2）避免安裝在系統磁碟分割上 　　把IIS安裝在系統磁碟分割上，會使系統檔案與IIS同樣面臨非法訪問，容易使非法使用者侵入系統磁碟分割，所以應該避免將IIS伺服器安裝在系統磁碟分割上。 　　2.使用者的安全性 　　1）匿名使用者存取許可權的控制 　　安裝IIS後產生的匿名使用者IUSR_Computername（密碼隨機產生），其匿名訪問給Web伺服器帶來潛在的安全性問題，應對其許可權加以控制。如無匿名訪問需要，則可以取消Web的匿名訪問服務。具體方法： 　　　　選擇“開始”選單→“程式”→“Microsoft Internet Server(公用) ”→“Internet服務管理員” →啟動Microsoft Internet Service Manager→ 雙擊“WWW”啟動WWW服務屬性頁面→取消其匿名訪問服務。 　　2）控制一般使用者存取權限 　　可以通過使用數字與字母（包括大小寫）結合的口令，使用長口令（一般應在6位以上），經常修改密碼，封鎖失敗的登入嘗試以及設定賬戶的有效期間等方法對一般使用者賬戶進行管理。 　　3.IIS三種形式認證的安全性 　　1）匿名使用者存取：允許任何人匿名訪問，在這三種中安全性最低。 　　2）基本（Basic）認證：使用者名稱和口令以明文方式在網路上傳輸，安全效能一般。 　　3）Windows NT請求/回應程式式：瀏覽器通過加密方式與IIS伺服器進行交流，有效地防止了竊聽者，是安全性比較高的認證形式（需IE 3.0以上版本支援）。 　　4.存取權限控制 　　1）設定檔案夾和檔案的存取權限：安放在NTFS檔案系統上的檔案夾和檔案，一方面要對其許可權加以控制，對不同的組和使用者佈建不同的許可權；另外，還可以利用NTFS的審核功能對某些特定組的成員讀、寫檔案等方面進行審核，通過監視“檔案訪問”、“使用者物件的使用”等動作，來有效地發現非法使用者進行非法活動的前兆，及時加以預防和制止。具體方法： 　　　　選擇“開始”選單→“程式”→啟動“域使用者管理員” →選擇“規則”選項卡下的“審核”選項→設定“審核規則”。 　　　　2）設定WWW目錄的存取權限：已經設定成Web目錄的檔案夾，可以通過*作Web網站屬性頁面實現對WWW目錄存取權限的控制，而該目錄下的所有檔案和子檔案夾都將繼承這些安全機制。WWW服務除了提供NTFS檔案系統提供的許可權外，還提供讀取許可權——允許使用者讀取或下載WWW目錄中的檔案；執行許可權——允許使用者運行WWW目錄下的程式和指令碼。具體設定方法如下： 　　選擇“開始”選單→“程式”→“Microsoft Internet Server(公用) ”→“Internet服務管理員” →啟動Microsoft Internet Service Manager→ 雙擊“WWW”啟動WWW服務屬性頁面→選擇“目錄”選項卡→選定需要編輯的WWW目錄→選擇“編輯屬性”中的“目錄屬性”進行設定。 　　5.IP地址的控制 　　IIS可以設定允許或拒絕從特定IP發來的服務要求，有選擇地允許特定節點的使用者訪問。可以通過設定來阻止指定IP地址外的網路使用者訪問你的Web伺服器。具體設定方法如下： 　　　　選擇“開始”選單→“程式”→“Microsoft Internet Server(公用) ”→“Internet服務管理員” →啟動Microsoft Internet Service Manager→雙擊“WWW”啟動WWW服務屬性頁面→啟動Web屬性頁面中“進階”選項卡；進行IP地址的控制設定。 　　6.連接埠安全性的實現 　　對於IIS服務，無論是WWW網站、Fpt網站，還是NNpt、SMpt服務等都有各自偵聽和接收瀏覽器請求的TCP連接埠號碼（Post），一般常用的連接埠號碼為：WWW是80，Fpt是21，SMpt是25，你可以通過修改連接埠號碼來提高IIS伺服器的安全性。如果你修改了連接埠設定，只有知道連接埠號碼的使用者才可以訪問，不過使用者在訪問時需要指定新連接埠號碼。 　　7.IP轉寄的安全性 　　IIS服務可提供IP資料包的轉寄功能，此時，充當路由器角色的IIS伺服器將會把從Internet介面收到的IP資料包轉寄到內部網中，禁用這一功能將提高IIS服務的安全性。設定方法如下： 　　選擇“開始”選單→“程式”→“Microsoft Internet Server(公用) ”→“Internet服務管理員” →啟動Microsoft Internet Service Manager→ 雙擊“WWW”啟動WWW服務屬性頁面→選擇“協議”選項卡→在TCP/IP屬性中去掉“路由選擇”。 　　8.SSL安全機制 　　SSL（加密通訊端協議層）位於HTpt層和TCP層之間，建立使用者與伺服器之間的加密通訊，確保資訊傳遞的安全性。SSL是工作在公用密鑰和私人密鑰基礎上的。任何使用者都可以獲得公用密鑰來加密資料，但解密資料必須要通過相應的私人密鑰。使用SSL安全機制時，首先用戶端與伺服器建立串連，伺服器把它的數位憑證與公用密鑰一併發送給用戶端，用戶端隨機產生工作階段金鑰，用從伺服器得到的公用金鑰組工作階段金鑰進行加密，並把工作階段金鑰在網路上傳遞給伺服器，而工作階段金鑰只有在伺服器端用私人密鑰才能解密，這樣，用戶端和伺服器端就建立了一個唯一的安全通道。具體設定方法如下： 　　　　選擇“開始”選單→“程式”→“Microsoft Internet Server(公用) ”→“Internet服務管理員” →啟動Microsoft Internet Service Manager→ 雙擊“WWW”啟動WWW服務屬性頁面→選擇“目錄安全性”選項卡→單擊“密鑰管理器”按鈕→通過密鑰管理器產生密鑰檔案和請求檔案→從身份認證許可權中申請一個認證→通過密鑰管理器在伺服器上安裝認證→啟用Web網站的SSL安全性。 　　　　建立了SSL安全機制後，只有SSL允許的客戶才能與SSL允許的Web網站進行通訊，並且在使用URL資源定位器時，注意輸入的是“htpts://”，而不是“htpt://”。 　　SSL安全機制的實現，將增加系統開銷，增加伺服器CPU的額外負擔，從而會在一定程度上降低系統效能。筆者建議在規劃網路時，僅考慮為高敏感度的Web目錄使用SSL安全機制。另外，SSL用戶端需要使用IE 3.0及以上版本才能使用。