一五一十談IIS安全機(jī)制

以WindowsNT的安全機(jī)制為基礎(chǔ)

1、應(yīng)用NTFS文件系統(tǒng)

NTFS文件系統(tǒng)可以對(duì)文件和目錄進(jìn)行管理，F(xiàn)AT文件系統(tǒng)則只能提供共享級(jí)的安全，而WindowsNT的安全機(jī)制是建立在NTFS文件系統(tǒng)之上的，所以在安裝WindowsNT時(shí)最好使用NTFS文件系統(tǒng)，否則將無(wú)法建立NT的安全機(jī)制。

2、共享權(quán)限的修改

在系統(tǒng)默認(rèn)情況下，每建立一個(gè)新的共享，Everyone用戶就享有“完全控制”的共享權(quán)限，因此，在建立新的共享后應(yīng)該立即修改Everyone的缺省權(quán)限。

3、為系統(tǒng)管理員賬號(hào)更名

域用戶管理器雖可限制猜測(cè)口令的次數(shù)，但對(duì)系統(tǒng)管理員賬號(hào)（adminstrator）卻無(wú)法限制，這就可能給非法用戶攻擊管理員賬號(hào)口令帶來(lái)機(jī)會(huì)，通過(guò)域用戶管理器對(duì)管理員賬號(hào)更名不失為一種好辦法。具體設(shè)置方法如下：

選擇“開(kāi)始”選單→“程序”→啟動(dòng)“域用戶管理器”→選中“管理員賬號(hào)（adminstrator）”→選擇“用戶”選單→“重命名”，對(duì)其進(jìn)行修改。

4、取消TCP/IP上的NetBIOS綁定

NT系統(tǒng)管理員可以通過(guò)構(gòu)造目標(biāo)站NetBIOS名與其IP地址之間的映像，對(duì)Internet或Intranet上的其他服務(wù)器進(jìn)行管理，但非法用戶也可從中找到可乘之機(jī)。如果這種遠(yuǎn)程管理不是必須的，就應(yīng)該立即取消（通過(guò)網(wǎng)絡(luò)屬性的綁定選項(xiàng)，取消NetBIOS與TCP/IP之間的綁定）。

設(shè)置IIS的安全機(jī)制

1、安裝時(shí)應(yīng)注意的安全問(wèn)題

1）避免安裝在主域控制器上

安裝IIS之后，在安裝的計(jì)算機(jī)上將生成IUSR_Computername匿名賬戶。該賬戶被添加到域用戶組中，從而把應(yīng)用于域用戶組的訪問(wèn)權(quán)限提供給訪問(wèn)Web服務(wù)器的每個(gè)匿名用戶，這不僅給IIS帶來(lái)潛在危險(xiǎn)，而且還可能威脅整個(gè)域資源的安全。所以要盡可能避免把IIS服務(wù)器安裝在域控制器上，尤其是主域控制器上。

2）避免安裝在系統(tǒng)分區(qū)上

把IIS安裝在系統(tǒng)分區(qū)上，會(huì)使系統(tǒng)文件與IIS同樣面臨非法訪問(wèn)，容易使非法用戶侵入系統(tǒng)分區(qū)，所以應(yīng)該避免將IIS服務(wù)器安裝在系統(tǒng)分區(qū)上。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]