2_1服务器的维护.pptVIP

服务器系统的安全维护 ;§1 Windows Server 2003 IIS 服务器 ;一个IIS远程攻击示例 多媒体演示。; 默认状态下，IIS容易受到很多不同类型的攻击，在使用之前必须加固。 （1）仅启用必要的 Web 服务扩展 IIS 服务器提供的功能来产生或扩展的任何动态内容，都是通过使用 Web 服务扩展来实现的。这些扩展包括 ASP.NET、SSI、WebDAV 和 FrontPage Server Extensions。 仅启用在 IIS 服务器环境下运行的站点和应用软件所必需的 Web 服务扩展，通过最大限度精简服务器的功能，可以减少每个 IIS 服务器的受攻击面，从而增强了安全性。建议不要安装Index?Server、FrontPage??Server?Extensions、示例WWW站点等功能。;（2）仅安装必要的 IIS 组件 除“万维网发布服务”之外，IIS6.0 还包括其它的组件和服务，例如 FTP 和 SMTP 服务。可以通过双击“控制面板”上的“添加/删除程序”来启动 Windows 组件向导应用程序服务器，以安装和启用 IIS 组件和服务。安装 IIS 之后，必须启用 Web 站点和应用程序所需的所有必要的 IIS 组件和服务。 应该仅启用 Web 站点和应用程序所需的必要 IIS 组件和服务。启用不必要的组件和服务会增加 IIS 服务器的受攻击面。 （3）使用安全工具 Microsoft免费提供了一个“IIS Lockdown Wizard”工具来确保IIS Web服务器的安全。此工具可用来配置一个 IIS 4.0 或 IIS 5.0 Web 服务器以实现安全运行。 ;（4）确保IIS全局的设置安全 大部分IIS配置设置存储在元库（metabase）中，但是一些全局设置仍在注册表里。确保注册表内一些键值设置正确。 （5）确保默认Web站点和管理Web站点的安全 第一次安装IIS时会创建两个站点：默认Web站点和管理Web站点，它们有不少安全隐患，应该禁用。例如，默认Web站点包括一些默认的虚拟目录。其中不少都映射到系统盘。因此，要删除默认Web站点的虚拟目录。 ;（6）使FrontPage Server Extension（FPSE）无效 FPSE提供了方便的远程Web授权特性，但是它却导致了Web服务器遭受攻击面的扩大。可能造成网站服务器遭受DOS（拒绝服务）攻击，对于FrontPage Server Extensions 2002服务器来说，还可能使得黑客能够在用户机器上运行自己的代码，掌控整个服务器。 要完全删除FPSE。;保护Web站点的安全 一旦确保了IIS服务的安全，就需要保护Web站点的安全。 （1）Web站点为只读 （2）设置WWW属性 最好去掉?.IDC、.HTR、.STM、.IDA、.HTW应用程序映射，.shtml、.shtm???等若无用也应去掉。 ; （3）帐户策略 ① 清理帐户。 ② 保护众所周知帐户的安全。 ③ ?除了Administrator外，有必要再增加一个属于管理员组的帐号。 ④ 创建一个帐号陷阱。 ⑤定期修改口令。 ⑥对于IIS服务器，建议不要使用帐户锁定策略。 ⑦在“本地策略”的“安全选项”里，把“Lan?Manager身份验证级别”改为“仅发送NTLM响应”，。 ? ?;在专用磁盘卷中放置内容 IIS 会将默认 Web 站点的文件存储到 systemroot\inetpub\wwwroot。应该将构成 Web 站点和应用程序的所有文件和文件夹放置到 IIS 服务器的专用磁盘卷中。不包含操作系统的磁盘卷，有助于防止目录遍历攻击。 ?;设置NTFS 权限 NTFS下所有文件默认情况下对所有人（eneryone）为完全控制权限，如果限制一般用户只有只读权限的话，有可能会导致一些脚本运行不正常，这时需要对这些文件所在的文件夹权限进行更改。 ?;设置 IIS Web 站点权限 IIS 将检查 Web 站点权限，以确定在 Web 站点中可能发