精心配置iis打造安全web服务器

《精心配置iis打造安全web服务器》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、-精心配置IIS打造安全Web服务器关键词：服务器  安全  Web  配置  Web服务阅读提示：因为IIS（InternetInformationServer）的方便性和易用性，所以成为最受欢迎的Web服务器软件之一。但是，IIS从诞生起，其安全性就一直受到人们的置疑，原因在于其经常被发现有新的安全漏洞。因为IIS（InternetInformationServer）的方便性和易用性，所以成为最受欢迎的Web服务器软件之一。但是，IIS从诞生起，其安全性就一直受到人们的置疑，原因在于其经常被发现有新的安全漏

2、洞。虽然IIS的安全性与其他的Web服务软件相比有差距，不过，只要我们精心对IIS进行安全配置，仍然能建立一个安全性的Web服务器的。构造一个安全的Windows2000操作系统要创建一个安全可靠的Web服务器，必须要实现Windows2000操作系统和IIS的双重安全，因为IIS的用户同时也是Windows2000的用户，并且IIS目录的权限依赖Windows的NTFS文件系统的权限控制，所以保护IIS安全的第一步就是确保Windows2000操作系统的安全。实际上，Web服务器安全的根本就是保障操作系统的安

3、全。使用NTFS文件系统在NT系统中应该使用NTFS系统，NTFS可以对文件和目录进行管理，而FAT文件系统只能提供共享级的安全，而且在默认情况下，每建立一个新的共享，所有的用户就都能看到，这样不利于系统的安全性。而在NTFS文件下，建立新共享后可以通过修改权限保证系统安全。关闭默认共享在Windows2000中，有一个“默认共享”，这是在安装服务器的时候，把系统安装分区自动进行共享，虽然对其访问还需要超级用户的密码，但这是潜在的安全隐患，从服务器的安全考虑，最好关闭这个“默认共享”，以保证系统安全。方法是：单

4、击“开始/运行”，在运行窗口中输入“Regedit”，打开注册表编辑器，展开“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters”项，添加键值AutoShareServer，类型为REG_DWORD，值为0。这样就可以彻底关闭“默认共享”。（Y）共享权限的修改9在系统默认情况下，每建立一个新的共享，Everyone用户就享有“完全控制”的共享权限，因此，在建立新的共享后应该立即修改Everyone的缺省权限，不

5、能让Web服务器访问者得到不必要的权限，给服务器带来被攻击的危险。为系统管理员账号改名对于一般用户，我们可以在“本地安全策略”中的“帐户锁定策略”中限制猜测口令的次数，但对系统管理员账号（adminstrator）却无法限制，这就可能给非法用户攻击管理员账号口令带来机会，所以我们需要将管理员账号更名。具体设置方法如下：鼠标右击“我的电脑”　“管理”，启动“计算机管理”程序，在“本地用户和组”中，鼠标右击“管理员账号（administrator）”,选择“重命名”，将管理员帐号修改为一个很普通的用户名即可。（10

6、-14？？？）禁用TCP/IP上的NetBIOSNetBIOS是许多安全缺陷的源泉，所以我们需要禁用它。鼠标右击桌面上“网络邻居”　“属性”　“本地连接”　“属性”，打开“本地连接属性”对话框。选择“Internet协议(TCP/IP)”　“属性”　“高级”　“WINS”，选中“禁用TCP/IP上的NetBIOS”一项即可解除TCP/IP上的NetBIOS，如图1。9　TCP/IP上对进站连接进行控制方法一利用TCP/IP筛选鼠标右击桌面上“网络邻居”　“属性”　“本地连接”　“属性”，打开“本地连接属性”对话

7、框。选择“Internet协议(TCP/IP)”　“属性”　“高级”　“选项”，在列表中单击选中“TCP/IP筛选”选项。单击“属性”按钮，选择“只允许”，再单击“添加”按钮，如图2，只填入80端口即可。9　方法二利用IP安全策略IPSecPolicyFilters（IP安全策略过滤器）弥补了传统TCP/IP设计上的“随意信任”重大安全漏洞，可以实现更仔细更精确的TCP/IP安全。它是一个基于通讯分析的策略，将通讯内容与设定好的规则进行比较以判断通讯是否与预期相吻合，然后据此允许或拒绝通讯的传输。我们同样可以设

8、置只允许80端口的数据通过，其它端口来的数据一律拦截。防范拒绝服务攻击DDoS攻击现在很流行，例如SYN使用巨量畸形TCP信息包向服务器发出请求，最终导致服务器不能正常工作。改写注册表信息虽然不能完全阻止这类攻击，但是可以降低其风险。打开注册表：将HKLMSystemCurrentControlSetServicesTcpipParameters下的SynAttackProt