当前页面位置: » 丰搜网 » 文档中心 » 详细内容
源码e家 - 网络学院 -文章首页 - 服务器技术 - iis安全保卫战（一） -
信息服务器iis是backoffice系列产品中功能最强大、最流行的应用程序，它与整个backoffice组件一样，iis也是围绕windows nt体系而生成的。它作为windows nt server提供的一组服务而运行，允许它利用windows nt的各项软件功能。
不过，确保你数据完整性仍是一个必须认真对待的关键性安全问题。iis凭借丰富而又强大的验证、访问控制和审核功能可以保证数据的完整性，因为它以windows nt server作系统为基础。此外，它还支持安全插接层ssl，它通过对iis和支持ssl的所有浏览器之间的对话进行加密来保证安全通信更加保密。
黑客们知道大多数web和ftp网站都允许匿名访问。这些网站常常错误配置，这样就存在安全漏洞。下面介绍须采取哪些措施才能保证保证iis使你的网络和数据完全避免黑客入侵。
一、利用现有的windows nt安全性能来保护iis iss通过windows nt安全模型提供安全性，也就说，安全帐户管理器数据库中定义的用户帐户和组将确定一旦用户接入iis机器，他们能进行什么操作。你不仅要核查现有的帐户权限和许可权，并且要限制匿名访问使用的帐户权限和许可权，这非常重要。
安全插接层安全插接层（ssl）是一个.netscape通信公司开发的协议，并提交环球网联盟（w3c）作为保证inte.net通信安全的标准。当支持ssl的一台客户机（inte.net explorer2.0和3.x.netscape 3.x）与支持ssl的服务器连接时，在tcp/ip连接时就出现“信号交换的交接关系”来进行验证，以确定在通信中将实施哪一级安全保护。
在建立连接后，ssl接着对流经使用中的应用协议的数据进行加密和解密。所有请示和响应信息都应该加密，其中包括客户机下在请示的统一资源定位符（url）、其它形式的数据（如你的地址或食用卡号码）、任何验证信息（用户名和口令）以及所有由服务器返回到客户机的数据。
ssl是位于应用协议（如http）之下，smtp位于连接协议tcp/ip之上。microsoft inte.net信息服务器支持超文本传输协议保密（https）访问方式。尽管ssl能提供实际不可破译的加密功能，但ssl加密传输的速度要低于非加密传输。因此，为了防止你整个web网站的性能下降，你可以考虑只把ssl作为虚拟的文件夹用来处理高度机密信息，如提交的包含信用卡信息的表格。
你可以在你web网站的根目录（\.netpub\wwwroot是缺省值）或在一个或多个虚拟文件夹中启动ssl安全功能。一旦ssl配置好和启动后，只有支持ssl的客户机能与支持ssl的www公文夹进行通信交流。
在web服务器上启动ssl安全性能，需要进行以下几步工作：
1、使用密钥管理器来生成一个密钥对文件和一个请求文件。
2、从一个认证机构获得一个证书。
3、在你的服务器上安装新获得的证书。
4、激活web服务文件夹中的ssl安全功能。
对于保密和公用内容，微软公司建议你使用公开的目录。比如，c:\.netpub\wwwroot\secure和c:\.netpub\wwwroot\public。
应注意以下几点：
（1）为iis生成一个密钥对时，在任何域中不要使用逗号，原因是逗号被解释为字段的结尾。它们会在没有警告的情况下产生无效请求。
（2）如果你拥有多台具有iis的虚拟服务器功能的web服务器在安装你的证书时，要确定具体服务器的ip地址，否则系统创建的所有虚拟服务都适用同一个证书。
（3）如果你启动ssl，任何指向支持ssl的www文件夹中文档的url必须使用http://，而不是在url中的http://。使用在url中的http://的任何链路不支持安全文件夹。
iis的一般性安全提示你使用iis随意向inte.net发布信息时，要确保网络安全性。除了我们以前讲座过后iis功能外，你还要做到以下各点：
（1）为系统分区和各项iis服务程序生成分开的区，这样黑客无法轻易地从某项服务程序的某个漏洞对整个机器访问。
（2）对机器的所有分区使用ntfs，要保证用户权限设置正确。
（3）将iis服务器放置于其自己的域中，并与你的帐户建立一种单向委托关系。如果黑客能得到某个有效帐户的信息，那个帐户也无法对你的用户域进行访问。
记录iis的所有服务程序都支持广泛的记录功能。记录功能很重要，因为它能用来监视可疑的活动，从而决定应当保留什么、应当取消什么，以便进行容量规划。
启动记录功能很容易，每项服务的事件都共同记录在同一个公用文件中。若要启动记录功能，请打开iis maneger，双击你要启动其记录功能的服务器，显示properties对话框。接着单击logging标签，将弹出一个对话框。该标签的用法相当直接，你只须单击enable logging选项，然后你选择是记录到一个文本文件，还是记录到sql数据库，并确定日志文件多长时间更新一次。
提示当你第一次安装服务器时，要设置为daily logging（日志），这样你可以每天看到结果。过一段时间后，你再选择最合适的记录方式。
advanced选项通过单击service propertied对话框的advanced标签，iis还支持简单过滤功能。你可使用advanced options标签来限制或允许某些ip地址对web服务器的访问。在弹出的advanced标签中，激活by default all computer will be granted access(缺省时，所有计算机将获得访问权）你可以使用add钮将应当拒绝访问的某些特定的ip地址范围输入进来。
或者，如果你想强制执行严格的安全保护，你可以选择by default all computer will be den access（缺省时，所有的计算机将被拒绝访问），然后根据应当能访问这台机器的ip地址确定主机表。这是一个功能强大而且价值较高的工具，有助于确保你网站的安全，所以不应忽视。
二、iis advanced安全性能与exchange server一样，inte.net信息服务器提供advanced安全性能，使你通信绝对安全。它们由ssl（安全插接层）2.0版和3.0版以及pct（保密通信技术）1.0组成。ssl可对tcp/ip通信进行数据加密、服务器验证和邮件集成功能。
