一五一十谈IIS安全机制

IIS（Internet Information Server）作为当今流行的Web服务器之一，提供了强大的Internet和Intranet服务功能。如何加强IIS的安全机制，建立高安全性能的可靠的Web服务器，已成为网络管理的重要组成部分。" N! g+ Y1 o" X+ J4 V
7 |3 x# _5 i/ d& [) D6 m
　　以Windows NT的安全机制为基础 ' m8 |7 H6 M, z4 d. i* N. e

* ^0 C" a2 y! E　　1.应用NTFS文件系统
$ r8 ]9 _" x# o7 [
0 u% C# ^* {$ D1 Z' e- [' ]$ ?, K　　NTFS文件系统可以对文件和目录进行管理，FAT文件系统则只能提供共享级的安全，而Windows NT的安全机制是建立在NTFS文件系统之上的，所以在安装Windows NT时最好使用NTFS文件系统，否则将无法建立NT的安全机制。2 Z, B  a  O+ l& h6 g5 w9 G

+ ?, {" j" E$ G4 z3 w# D. S3 n　　2.共享权限的修改 5 Z& o; \' A6 S6 ?0 }' C  [" P4 W
/ z1 Y* O$ S) v" U& _" a( O
　　在系统默认情况下，每建立一个新的共享，Everyone用户就享有“完全控制”的共享权限，因此，在建立新的共享后应该立即修改Everyone的缺省权限。4 G! K" a8 Q6 W" b, I

0 Q$ z' Y: z: M　　3.为系统管理员账号更名 % |# X+ y/ W5 \3 R# u0 V

4 `9 k! r6 V& d' d1 W7 `　　域用户管理器虽可限制猜测口令的次数，但对系统管理员账号（adminstrator）却无法限制，这就可能给非法用户攻击管理员账号口令带来机会，通过域用户管理器对管理员账号更名不失为一种好办法。具体设置方法如下：
3 V8 {0 x+ V. K, [0 q  Y0 {; x　　选择“开始”选单→“程序”→启动“域用户管理器”→选中“管理员账号（adminstrator）”→选择“用户”选单→“重命名”，对其进行修改。
* [7 U1 U  h9 Y- [! Z" e) ?( J% _+ K- n* r
　　4.取消TCP/IP上的NetBIOS绑定 - s3 B' ]( }% T0 j" I
2 `8 Z9 t' Z: N5 i9 d
　　NT系统管理员可以通过构造目标站NetBIOS名与其IP地址之间的映像，对Internet或Intranet上的其他服务器进行管理，但非法用户也可从中找到可乘之机。如果这种远程管理不是必须的，就应该立即取消（通过网络属性的绑定选项，取消NetBIOS与TCP/IP之间的绑定）。$ h3 Y2 E) F- c3 W

" A4 {0 ?( U' k　　设置IIS的安全机制
# F- H( |6 |5 {+ M) I5 L9 x
2 i6 Q- s: N# G　　1.安装时应注意的安全问题 ' Y3 ~8 Y5 N; u8 `
# \8 L; k! p9 J; Q& e2 S+ s
　　1）避免安装在主域控制器上 - c/ n5 k8 g: L9 {' x
　　安装IIS之后，在安装的计算机上将生成IUSR_Computername匿名账户。该账户被添加到域用户组中，从而把应用于域用户组的访问权限提供给访问Web服务器的每个匿名用户，这不仅给IIS带来潜在危险，而且还可能威胁整个域资源的安全。所以要尽可能避免把IIS服务器安装在域控制器上，尤其是主域控制器上。
0 [) G& L( h, l; r4 ~  U　　2）避免安装在系统分区上
# T5 H! D5 s6 A+ o　　把IIS安装在系统分区上，会使系统文件与IIS同样面临非法访问，容易使非法用户侵入系统分区，所以应该避免将IIS服务器安装在系统分区上。