Web服务器安全管理

《Web服务器安全管理》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、TNT2006-0512IIS6.0Web服务器安全管理最佳实践姓名职务公司名称首先具备的知识掌握Windows2000/WindowsServer2003的日常操作了解IIS（InternetInformationServer）或者IIS日常操作如果能够了解常见攻击方法或相关内容更佳级别200概览IIS服务器不仅仅能够提供常见的WEB应用而且和很多服务器集合使用在企业中已经非常广泛，如何加固IIS服务器安全您了解多少？是否安装了系统补丁并配置了防火墙就万无一失了？您是否了解IIS6.0基础架构了解如何保护IISWeb服务器安全、防范攻击以及优化IIS

2、Web服务器的技巧、实践与工具内容安排IIS6.0基础架构WebServices面对的主要威胁和攻击常用安全利器场景学习总结参考资源简单快速有效的安全DLLHOST.exeISAPIExtensions(ASP,etc.)ISAPIFiltersmetabaseIIS6.0架构TCP/IPINETINFOASP.NETISAPIAspnet_wp.exeCLRAppDomainCLRAppDomainCLRAppDomainmetabaseINETINFOHTTP.SYSWASConfigMgrProcessMgrW3WP.EXEApplicationP

3、ool1ASP.NETISAPICLRAppDomainCLRAppDomainW3WP.EXEISAPIExtensions(ASP,etc.)ISAPIFiltersApplicationPool2W3WP.EXEASP.NETISAPICLRAppDomainCLRAppDomainW3WP.EXEASP.NETISAPICLRAppDomainCLRAppDomainW3WP.EXEASP.NETISAPICLRAppDomainCLRAppDomainWebGardenW3WP.EXEISAPIExtensions(ASP,etc.)ISAPI

4、FiltersIIS6.0必备知识内容安排IIS6.0基础架构WebServices面对的主要威胁和攻击常用安全利器场景学习总结参考资源简单快速有效的安全我们将讨论…现在应立即采取的安全手段未来要作的事情安全术语资产（Asset）脆弱性（Vulnerability）威胁（Threat）威胁因素（Association）风险（Risk）利用/暴露(Exploits/Exposure)对策(Countermeasure)WebServices面对的主要威胁和攻击WebServices面对的主要威胁和攻击未授权的访问漏洞可导致通过WebServices进行未授

5、权的访问的漏洞包括：未使用身份验证密码在SOAP头信息中以明文形式传递在未加密的通信通道中使用基本身份验证WebServices面对的主要威胁和攻击参数操纵参数操纵是指对WebServices客户与WebServices之间发送的数据进行未经授权的修改。例如，攻击者可以截获WebServices消息（例如，在通过中间节点到达目标的路由中），然后在将其发送到目标终结点前对其进行修改WebServices面对的主要威胁和攻击网络窃听通过网络窃听，当WebServices消息在网络中传输时，攻击者可以查看这些消息。例如，攻击者可以使用网络监视软件检索SOAP消

6、息中包含的敏感数据。其中有可能包括敏感的应用程序级别的数据或凭据信息WebServices面对的主要威胁和攻击配置数据的泄漏WebServices配置数据的泄漏的方法主要有两种。第一种，WebServices可能支持动态生成WebServices描述语言(WSDL)，或者可能在Web服务器上的可下载文件中提供WSDL信息第二种，如果异常处理不充分，WebServices可能会泄漏对攻击者有用的敏感的内部实施详细信息WebServices面对的主要威胁和攻击消息重播WebServices消息可能会在传递过程中经过多个中间服务器。通过消息重播攻击，攻击者可以

7、捕获并复制消息，并模拟客户端将其重播到WebServices。消息可能被修改，也可能保持不变保护Windows安全安全检查列表所有磁盘分区都是NTFS的管理员账号必须有一个复杂的密码禁止不需要的服务删除和禁止不必要的账号移除不必要的文件共享在文件、共享和注册表上设置访问权限列表设置严格的安全策略安装最新的servicepack和补丁安装防病毒软件保护IIS安全手把手教你设置IIS安全保护预先的安全安装是必须的组件安装的选择、利用IIS内置的安全特性设置合适的访问权限列表访问控制和安全策略远程管理的安全配置在IISlog上设置合适的访问权限列表、同时设置合

8、适的验证机制启动日志记录（W3CExtendedLog）规划恢复计划演示手把手教