Cómo usar IIS para establecer un servidor web de alta seguridad

Primero, basado en el mecanismo de seguridad de Windows NT
Como IIS se ejecuta en el entorno del sistema operativo Windows NT, su seguridad también debe basarse en la seguridad de Windows NT. .
1. Sistema de archivos NTFS de aplicaciones
NTFS puede administrar archivos y directorios, mientras que el sistema de archivos FAT (tabla de asignación de archivos) solo puede proporcionar seguridad de nivel compartido. Se recomienda utilizar el sistema NTFS al instalar Windows NT.
2. Modificación del permiso de uso compartido. De forma predeterminada, cada vez que se crea un nuevo recurso compartido, todos los usuarios pueden disfrutar del permiso de uso compartido de "control completo", por lo que inmediatamente después de crear un nuevo recurso compartido. Modificar los permisos predeterminados de todos.
3. Cambie el nombre de la cuenta de administrador del sistema. El administrador de usuarios del dominio puede limitar el número de contraseñas de adivinación, pero no se usa para la cuenta de administrador del sistema, lo que puede llevar la contraseña de la cuenta del administrador del atacante al usuario ilegal. Oportunidad, es una buena idea cambiar el nombre de la cuenta de administrador a través del administrador de usuarios del dominio. La configuración específica es la siguiente:
(1) Iniciar " Administrador de usuarios de dominio >;
(2) Seleccione la cuenta de administrador;
(3) Iniciar " Usuario "; " modificarlo.
4. Abolir NetBIOS en TCP /IP. Los administradores pueden administrar otros servidores en Internet al construir una imagen entre el nombre NetBIOS de la estación de destino y su dirección IP, y los usuarios ilegales también pueden encontrar los disponibles. Maquina Si no se requiere dicha administración remota, se debe revocar de inmediato (al vincular el atributo de red, se elimina el enlace entre NetBIOS y TCP /IP).

En segundo lugar, configure el mecanismo de seguridad de IIS

1. Los problemas de seguridad se deben tener en cuenta durante la instalación
(1) Evite la instalación en el controlador de dominio principal
Instalación Después de IIS, la cuenta anónima IUSR_Computername se generará en el equipo instalado y la cuenta se agregará al grupo de usuarios del dominio, lo que proporcionará los derechos de acceso aplicados al grupo de usuarios del dominio a cada usuario anónimo que acceda al servidor web, lo que no solo trae IIS Existe un gran peligro potencial, y también puede implicar la seguridad de todos los recursos del dominio, tanto como sea posible para evitar la instalación de IIS en el controlador de dominio, especialmente el controlador de dominio principal.
(2) Evite instalar en la partición del sistema. Poner IIS en la partición del sistema hará que el archivo del sistema e IIS también tengan acceso ilegal, lo que es fácil para los usuarios ilegales invadir la partición del sistema.
(www.002pc.com)
2. Seguridad controlada por el usuario
(1) Usuario anónimo
Usuario anónimo IUSR_Computername (contraseña privada generada) generada después de instalar IIS, su acceso anónimo lleva al servidor web Los problemas potenciales de seguridad deben ser controlados por su autoridad. Si no hay necesidad de acceso anónimo, puede cancelar el servicio anónimo de la web. Métodos específicos:
1 iniciar ISM (Administrador del servidor de Internet);
2 iniciar la página de propiedades del servicio WWW;
3 cancelar su servicio de acceso anónimo.
(2) El usuario general gestiona la cuenta de usuario general mediante el uso de la contraseña combinada con el número (incluido el uso de mayúsculas), aumentando la frecuencia de cambio de contraseña, bloqueando el intento de inicio de sesión fallido y la vida útil de la cuenta.
3. Seguridad de autenticación de inicio de sesión
El servidor IIS proporciona tres formas de autenticación de identidad para los usuarios.
Acceso anónimo: no es necesario interactuar con los usuarios, lo que permite que cualquiera pueda acceder al sitio de forma anónima, con la seguridad más baja en las tres autenticaciones.
Verificación básica: en este modo, el nombre de usuario y la contraseña introducidos por el usuario se transmiten en texto sin cifrar en la red. Sin ningún cifrado, los usuarios ilegales pueden interceptar el paquete de datos a través de la supervisión en línea y obtener el nombre de usuario y la contraseña. El rendimiento de seguridad es promedio.
Modo de solicitud /respuesta de Windows NT: el navegador se comunica con el servidor IIS a través del cifrado, lo que evita efectivamente las escuchas ilegales y es una forma muy segura de autenticación. La desventaja de este método es que solo es compatible con IE3.0 y superior.