IIS系统安全加固规范

合集下载

IIS安全加固策略应对攻击入侵策略WEB安全-电脑资料

IIS安全加固策略应对攻击入侵策略WEB安全-电脑资料1．缓冲区溢出简单解释一下，缓冲区溢出主要因为提交的数据长度超出了服务器正常要求，导致服务器检查代码错误，。

而溢出的方法有可以分为：基于堆栈的溢出和基于堆的溢出。

在IIS 6以前的版本，Web服务是运行在LocalSystem账户下，当某个利用缓冲区溢出的漏洞入侵后，当然就可以执行大部分的管理员命令了。

利用该漏洞比较名的病毒是“红色代码（Redcode）”和“尼姆达（Nimda）”。

eEye Digital Security 公司早于1996年就发现了这类漏洞的代表作HTR缓冲区漏洞。

eEye发现，IIS抵抗力十分脆弱。

如果攻击传递给IIS，那么输入值将不是一串字母而是可以执行的系统命令。

HTR文件的解释程序是将一个以.htr结尾的超长文件在ism.dll 中造成输入缓冲区溢出。

我们早已用不到HTR了（笔者个人的理解），那只是早些时候，微软脚本编程用到的，早已经被ASP技术取代。

说明：根据上文的说明我们知道一个漏洞的根源就是．htr文件与System32目录下的ism．dll存在着关联，如果将ism．dll和．htr文件之间存在的映射关系断开，或者删除了ism．dll，就可以解决了。

2．臭名昭著的Unicode首先要知道什么是Unicode二次解码漏洞？打开IE，选择“查看→编码→Unicode（UTF-8）”，在没有创造Unicode之前，没有一个编码可以包含足够的字符来容纳数百种的数字编码。

比如我们要看一个繁体中文（BIG5）的网页，在你的简体中文版的Windows 系统上，没有Unicode的支持就不可能实现。

如果非法用户提交一些特殊的编码，将导致IIS错误地打开或者执行某些Web根目录以外的文件。

那么，未经授权的用户可以利用IUSR_machinename账号访问用户目录的任何文件。

同时，我们有知道这个账号在默认情况下属于Everyone和Users组，Windows 2000Server默认的安全权限是“Everyone完全控制”因此任何能被这些用户组访问的文件都可能被删除、修改或执行。

iis加固标准

iis加固标准IIS（Internet Information Services）加固标准主要包括以下几个方面：1. Web内容位置：Web内容应存储在非系统分区，以防止系统磁盘空间被占满，以及文件信息泄露。

2. 目录浏览：应关闭目录浏览功能，以防止信息泄露。

如果IIS启用了目录浏览功能，且默认文档功能在IIS中被禁用，IIS无法在目录中找到与IIS默认文档列表中指定的名称匹配的文件，则显示目录信息。

3. WebDav功能：应关闭WebDav功能，因为它有严重的安全问题，可能导致未经授权的文件被修改。

4. 错误页面：应替换错误页面，以隐藏敏感信息。

IIS在默认产生错误的时候，会给客户端反馈详细的错误信息，这将导致服务器的一些敏感信息文件被泄露。

5. 上传执行：应禁止上传执行。

网站安全中，对目录的执行权限是非常敏感的，一般来说，可以写入的目录是不能够拥有脚本的执行权限的。

6. 日志审计：应开启日志审计，并对日志进行定期备份。

这有助于追踪和记录网站的活动，以便于故障排查和安全审计。

7. 权限管理：对IIS和站点文件夹的权限进行严格管理，只授予必要的权限，避免不必要的权限提升或误操作导致的安全问题。

8. 定期更新补丁：保持IIS和操作系统的更新，及时安装补丁和安全更新，以修复已知的安全漏洞。

9. 内容安全：配置合适的防火墙和安全组，对进入和离开的数据包进行过滤，防止恶意攻击和数据泄露。

10. SSL加密：使用SSL加密来保护传输的数据，防止数据被窃取或篡改。

以上是一些常见的IIS加固标准，具体的实施可能会根据实际需求和环境有所不同。

建议在进行IIS配置时，参考微软官方文档和安全最佳实践，确保系统安全。

IIS6安全与安固

新建应用池工作进程
我们首先添加系统用户帐号分配到 IIS_WPG用户组，此方法与前面讲到的“创建新的系统帐户”方法一样，我们就不重复讲解。
新建IIS应用池应用池新建
鼠标反键点击应用程序池，新建应用程序池，输入应用池的名称。
为新建应用池分配工作进程
鼠标反键点击新建应用池属性，选择标识选项。
计算机管理-本地用户与组计算机管理本地用户与组
创建新的系统帐户
输入用户名和密码，取消 “用户下次登录时须更改密码”复选勾，打上下面两者的复选勾。
分配新用户到GUESTS组组分配新用户到
删除原有的 USERS 系统用户组，添加 GUEST S系统用户组。
身份验证与访问控制
IIS 6
在Windows Server 2003 中发布，其特性主要为： 1）、改进的体系结构。 * 新模式——工作进程隔离模式，增强稳定性。 * Web园——多个进程处理一个应用程序。允许将工作进程分配给SMP系统上的单个CPU。 * IIS 5兼容性——可以切换到IIS 5 隔离模式。 * 新的配置数据库——使用XML格式的文本文件。 2）、增强的安全性。 * IIS 6 是以锁定状态而不是开放状态配置安装的，安装完 IIS 6 后需通过WSE（ Web 服务器扩展）进一步打开相应的功能。 3）、改进的性能。 * 将HTTP侦听程序移到内核中，从而显著提高性能。 4）、改进的管理。 * 可以用多种方式来管理IIS 。 5）、其他增强。 * FTP用户隔离，增强FTP的安全性。
加密
您可以允许用户以一种安全的方法（使用加密）与您的服务器交换个人信息，如信用卡号或电话号码。信息在发送前由加密对其进行“编码”，接收后由解密进行“解码”。IIS 中这种加密的基础是 SSL 3.0 协议，它提供了一种与用户建立加密通讯链接的安全方法。 SSL 确认您的网站的真实性同时可有选择地确认正在访问受限制网站用户的身份。证书包括用于建立 SSL 安全连接的“密钥”。“密钥” 是在建立 SSL 连接时验证服务器和客户端的唯一值。 “

IIS加固

IIS加固以及ASP木马防护运行环境：windows server 2003IIS版本：IIS 6.0IIS安全主要还是对权限的设置，防止黑客将ASP木马等写入系统。

首先先要了解到IIS WEB服务器的权限设置有两个地方：一个是NTFS文件系统本身的权限设置，另一个是IIS下网站—>站点—>属性—>主目录（或站点下目录—>属性—>目录）面板上。

这两个地方时密切相关的。

IIS 下网站->站点->属性->主目录（或站点下目录->属性->目录）面板上有：脚本资源访问、读取、写入、浏览、记录访问、索引资源6个选项。

这6个选项中，“记录访问”和“索引资源”跟安全性关系不大，一般都设置。

但是如果前面四个权限都没有设置的话，这两个权限也没有必要设置。

另外在这6个选项下面的执行权限下拉列表中还有：无、纯脚本、纯脚本和可执行程序、3个选项。

而网站目录如果在NTFS 分区（推荐用这种）的话，还需要对NTFS 分区上的这个目录设置相应权限，许多地方都介绍设置everyone 的权限，实际上这是不好的，其实只要设置好Internet 来宾帐号（IUSR_xxxxxxx）或IIS_WPG 组的帐号权限就可以了。

如果是设置ASP、PHP 程序的目录权限，那么设置Internet 来宾帐号的权限，而对于程序，则需要设置IIS_WPG 组的帐号权限。

在后面提到NTFS 权限设置时会明确指出，没有明确指出的都是指设置IIS 属性面板上的权限。

ASP、PHP、程序所在目录的权限设置如果这些程序是要执行的，那么需要设置“读取”权限，并且设置执行权限为“纯脚本”。

不要设置“写入”和“脚本资源访问”，更不要设置执行权限为“纯脚本和可执行程序”。

NTFS 权限中不要给IIS_WPG 用户组和Internet 来宾帐号设置写和修改权限。

如果有一些特殊的配置文件（而且配置文件本身也是ASP、PHP 程序），则需要给这些特定的文件配置NTFS 权限中的Internet 来宾帐号（程序是IIS_WPG 组）的写权限，而不要配置IIS 属性面板中的“写入”权限。

IIS安全配置规范

IIS安全配置规范1.概述1.1. 目的本规范明确了IIS安全配置方面的基本要求。

为了提高IIS的安全性而提出的。

1.2. 范围本规范适用于XXXX使用的IIS5&6。

2.配置规范2.1. 传统IIS设置IIS 5.0和5.1默认包括不安全的功能，从Windows2003 开始微软尝试确保默认安装的IIS就是安全的。

2.1.1.默认安装文件【说明】IIS5和5.1默认安装了一些样例和文件，会给IIS带来安全隐患。

建议不使用“默认Web站点”，并创建一个新的站点。

删除所有缺省的虚拟目录，一下列举了可以删除的缺省虚拟目录和默认安装的文件：【具体配置】删除以下内容：inetpub\wwwroot 文件夹inetpub/scripts 文件夹/scripts虚拟目录映射inetpub/scripts/IISSamples文件夹/iissamples虚拟目录映射/IISHelp虚拟目录映射/Printers虚拟目录映射限制对iisadmpwd虚拟目录的访问，使用Windows的验证2.1.2.远程数据服务（Remote Data Services-RDS）【说明】RDS是MDAC的组件，具有msadc虚拟目录的IIS系统最易受到攻击，这可导致非法用户访问ODBC数据库、访问受限制文件或远程执行命令。

非法访问的接口由Msadcs.dll文件提供，该文件位于Program Files\Common Files\System\Msadc。

这个功能中的漏洞可以被蠕虫攻击，如红色代码和尼姆达。

确保该功能安全或者如果不用的话删除该功能。

【具体配置】加强RDS：1、删除MSADC 样例，位于\Progam Files\CommonFiles\System\Msadc\Samples2、删除注册表键值HKLM\System\CurrentControlSet\Services\W3SVC\Parameters\ADCLaunch\VbBusObj.VbBusObjCls3、创建HandlerRequired registry key，位于HKLM\Software\Microsoft\DataFactory\HandlerInfo\4、创建 DWORD = 1 value.删除MSADC功能：1、删除/MSADC虚拟目录映射2、删除RDS文件和子目录，位于\Program Files\CommonFiles\System\Msadc2.1.3.Internet Printing协议【说明】Windows服务器上的共享打印机可以使得非授权访问者通过此协议访问所有的计算机。

IIS的安全加固

IIS的安全加固1.关闭并删除默认站点默认FTP站点默认Web站点管理Web站点2.建立自己的站点，与系统不在一个分区如：D:\wwwroot3．建立E:\Logfiles 目录，以后建立站点时的日志文件均位于此目录，确保此目录上的访问控制权限是：Administrators（完全控制）System（完全控制）3.删除IIS的部分目录IISHelp C:\winnt\help\iishelpIISAdmin C:\system32\inetsrv\iisadminMSADC C:\Program Files\Common Files\System\msadc\删除C:\inetpub4、网站下的图片文件目录及UPLOAD相关用户上传目录中网站属性由“纯脚本”改成“无”这样能很有效的防止用户非法上传一些ASA文件来执行上传木马。

5、所有网站IUSR-PCNAME用户权限减去“遍历文件夹-运行文件。

6、建议使用DeerField对各种注入等手段通过URL提交的命令的关键字以及敏感文件的扩展名进行过滤，如.MDB、…、--、NULL、select、%5c、c:、cmd、system32、xp_ cmdshell、exec、@a、dir、alert()、‟or‟‟=‟、Where、count(*)、between、and、inetpub、wwwroot、nchar、，%2B、%25等。

对于提交有上述字串请示的IP，一般都是人为有意进行，因此可令防火墙对这类访问的IP进行较长时间的屏蔽。

7、其他安全工具安装安全工具：如Urlscn、IISLock等2）日志的安全管理1、启用操作系统组策略中的审核功能，对关键事件进行审核记录；2、启用IIS、FTP服务器等服务本身的日志功能；并对所有日志存放的默认位置进行更改同时作好文件夹权限设置！3、安装Portreport对所有网络访问操作进行监视（可选，可能增大服务器负荷）；4、安装自动备份工具，定时对上述日志进行异地备份，起码是在其他分区的隐蔽位置进行备份，并对备份目录设置好权限（仅管理员可访问）。

IIS7 安全加固介绍

IIS7安全加固
1.1 补丁安装
1.2 IIS角色服务
双击“角色”，在右边最下方可以看见角色服务，点击“删除角色服务”
1.3 IIS用户
1.4 监听地址
服务器有多个IP地址时，只监听提供服务的IP地址
1.5 SSL加密
然后在网站主页视图中双击“SSL设置”图标，可以设置开启SSL，如下图：
1.6 目录浏览
在“操作”视图中，禁用目录浏览
1.7 应用程序扩展
若要增强Web 服务器的功能，可以添加ISAPI 筛选器。

例如，您可以
1.8 网站权限
3. “请求限制”中的“谓词”选项卡，可以查看HTTP请求的方
法。

1.9 授权规则
1.10 限制IP访问
1.11 日志设置
点击“选择字段”按钮，查看记录的字段
1.12 自定义错误信息
双击其中一个HTTP错误，可以设置该HTTP错误的消息类型，管理员
设置错误发生时，返回自定义错误页面，或者定向到指定地址。

加固NT和IIS的安全

安装transaction server时选择default/local administration
5．安装最新的MDAC (2.6 RTM as of 10/30/00)
二、配置NT
1．设置权限：
使用用户管理器在所有分区上的根目录上设置如下：
* Administrators:：FULL CONTROL
选择扩展名 ".HTA", ".HTR" 和 ".IDC" ，点击删除
如果不使用server side include，则删除".shtm" ".stm" 和 ".shtml"
8．禁止缺省的www站点
9．禁止管理员从网络登陆
使用NT resouce kit中的工具passprop,执行如下命令：
DHCP Client (disable)
Directory Replicator (disable)
FTP publishing service (disable)
License Logging Service (disable)
Messenger (disable)
Netlogon (disable)
d:\admin
将system32目录下的如下文件移动到上面创建的目录：
xcopy.exe, wscript.exe, cscript.exe, net.exe, ftp.exe,
telnet.exe,arp.exe, edlin.exe, ping.exe,
route.exe,at.exe,finger.exe,posix.exe,rsh.exe,atsvc.exe,qbasic.exe,runonce.exe,syskey.exe,cacls.exe,

IISWeb服务器安全加固步骤

文档从互联网中收集，已重新修正排版，word 格式支持编辑，如有帮助欢迎下载支持。

- 1 -word 格式支持编辑，如有帮助欢迎下载支持。

IIS Web 服务器安全加固步骤：步骤注意：安装和配置 WindowsServer 2003。

1. 将<systemroot>\System32\cmd.exe 转移到其他目录或更名；2. 系统帐号尽量少，更改默认帐户名（如Administrator ）和描述，密码尽量复杂；3. 拒绝通过网络访问该计算机（匿名登录；内置管理员帐户；Support_388945a0；Guest ；所有非操作系统服务帐户）4.建议对一般用户只给予读取权限，而只给管理员和System 以完全控制权限，但这样做有可能使某些正常的脚本程序不能执行，或者某些需要写的操作不能完成，这时需要对这些文件所在的文件夹权限进行更改，建议在做更改前先在测试机器上作测试，然后慎重更改。

5.NTFS 文件权限设定（注意文件的权限优先级别比文件夹的权限高）：文件类型建议的 NTFS 权限 CGI 文件（.exe 、.dll 、.cmd 、.pl ）脚本文件 (.asp)包含文件（.inc 、.shtm 、.shtml ）静态内容（.txt 、.gif 、.jpg 、.htm 、.html ） Everyone （执行）Administrators （完全控制） System （完全控制）6.禁止C$、D$一类的缺省共享HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters AutoShareServer 、REG_DWORD 、0x0 7.禁止ADMIN$缺省共享文档从互联网中收集，已重新修正排版，word格式支持编辑，如有帮助欢迎下载支持。

- 2 -word格式支持编辑，如有帮助欢迎下载支持。

IIS安全配置手册安全加固手册

IIS安全配置手册此安全配置标准适用于IIS 的5.0以上版本。

1为IIS中的文件分类设置权限除了在操作系统里为IIS的文件设置必要的权限外，还要在IIS管理器中为它们设置权限，以期做到双保险。

一般而言，对一个文件夹永远也不应同时设置写和执行权限，以防止攻击者向站点上传并执行恶意代码。

另外目录浏览功能也应禁止，预防攻击者把站点上的文件夹浏览个遍最后找到漏洞。

一个好的设置策略是:为Web 站点上不同类型的文件都建立目录，然后给它们分配适当权限。

例如:●静态文件文件夹:包括所有静态文件，如HTM 或HTML，给予允许读取、拒绝写的权限。

●ASP脚本文件夹:包含站点的所有脚本文件，如cgi、vbs、asp等等，给予允许执行、拒绝写和读取的权限。

●EXE等可执行程序:包含站点上的二进制执行文件，给予允许执行、拒绝写和拒绝读取的权限。

2删除危险的IIS组件默认安装后的有些IIS组件可能会造成安全威胁，应该从系统中去掉，以下是一些“黑名单”，大家可以根据自己的需要决定是否需要删除。

●Internet服务管理器(HTML):这是基于Web 的IIS服务器管理页面，一般情况下不应通过Web进行管理，建议卸载它。

●SMTP Service和NNTP Service:如果不打算使用服务器转发邮件和提供新闻组服务，就可以删除这两项，否则，可能因为它们的漏洞带来新的不安全。

●样本页面和脚本:这些样本中有些是专门为显示IIS的强大功能设计的，但同样可被用来从Internet上执行应用程序和浏览服务器，建议删除。

3删除不必要的应用程序映射IIS中默认存在很多种应用程序映射，如.htw、.ida、.idq、.asp、.cer、.cdx、.asa、.htr、.idc、.shtm、.shtml、.stm、.printer 等，通过这些程序映射，IIS就能知道对于什么样的文件该调用什么样的动态链接库文件来进行解析处理。

但是，在这些程序映射中，除了.asp的这个程序映射，其它的文件在网站上都很少用到。

IIS6安全与安固

安装IIS
1、完善审计系统，记录每一个登录本WEB服务器的客户端及相关信息
2、IIS安装后会产生哪些文件和目录，它们的权限需要怎样设置？
管理员：完全控制
一般用户：读取
3、对注册表怎样进行保护？
进入注册表编辑器，右击需要设置权限的键值，尽量减少不需要的用户和组
高级-------》审核
4、站点网页如果超过一个月将被认为过期
5、由于本网页有论坛，可能会有一些不当的语言，语言级别设置为
级别1（一般的脏话）。

6、只有本校能够登录，校外不能登录本WEB站点。

(我们学院的IP 有172.16、172.26、10.等地址)
7、如何判断该服务器遭受DOS或DDOS攻击？
（DOS）服务器收到大量的请求，占用大量的带宽
（DDOS）瞬间使服务器down机。

IIS系统安全加固规范

IIS系统安全基线规范2022年4月目录1账号管理、认证授权 (1)1.1.1ELK-IIS-01-01-01 (1)1.1.2ELK-IIS-01-01-02 (2)1.1.3ELK-IIS-01-01-03 (2)1.1.4ELK-IIS-01-01-04 (4)2日志配置 (5)2.1.1ELK-IIS-02-01-01 (5)2.1.2ELK-IIS-02-01-02 (6)2.1.3ELK-IIS-02-01-03 (7)3通信协议 (8)3.1.1ELK-IIS-03-01-01 (8)4设备其他安全要求 (10)4.1.1ELK-IIS-04-01-01 (10)4.1.2ELK-IIS-04-01-02 (13)4.1.3ELK-IIS-04-01-03 (14)4.1.4ELK-IIS-04-01-04 (14)4.1.5ELK-IIS-04-01-05 (15)本文档是Windows 操作系统的对于IIS服务IIS应用服务在安全等方面的安全配置要求，对系统的安全配置审计、加固操作起到指导性作用。

1账号管理、认证授权1.1.1E L K-I I S-01-01-011.1.2E L K-I I S-01-01-021.1.3E L K-I I S-01-01-03实施目的阻止非法IP访问问题影响Web服务器带来安全性问题。

系统当前状态查看Internet 信息服务(IIS)管理器配置是否与原来相同实施步骤1、参考配置操作开始->管理工具->Internet 信息服务(IIS)管理器选择相应的站点，然后右键点击“属性”回退方案取消IP访问控制判断依据1、判定条件需要限制访问源的话进行ip范围限制。

2、检测操作开始->管理工具->Internet 信息服务(IIS)管理器选择相应的站点，然后右键点击“属性”。

检查是否进行了ip的限制。

实施风险低1.1.4E L K-I I S-01-01-042日志配置2.1.1E L K-I I S-02-01-01回退方案恢复IIS日志路径到C:\WINDOWS\system32\LogFiles目录。

增强IIS安全性的五个简单措施电脑系统技巧

增强IIS安全性的五个简单措施电脑系统技巧
增强IIS安全性的五个简单措施电脑系统技巧
1、只使能IIS与商务需求相关的组件
IIS 6.0的改变之一就是，IIS只默认使能不可或缺的静态网页服务。

注意保持这种配置，只开启你真正需要的服务。

2、严格限制分配给IUSR_systemname帐户的访问权限
运行在服务器上的许多应用程序都调用IUSR（互联网用户）帐户，代表未经许可的网络用户与系统进行交互。

这实际上限制了这个帐户对服务器必需的操作的`权限。

3、使用自动升级实时更新安全修补程序
尽管新版本比先前的版本在安全方面有显著的改进，如果历史重演（微软似乎经常如此），释放的6.0版很快就会因为安全原因有一个或更多的修补程序。

使能自动升级保证你尽快收到修补程序。

4、使用快速失败保护
新版本最显著的特点是你可以使能快速失败保护（Rapid-Fail Protection）功能。

这会使你的服务器免受安全事故和性能的影响，通常是在很短的时间内失败太多次的进程造成的，例如故障或恶意攻击。

当这种情况发生时，网络管理服务关闭应用程序池，阻止进一步的故障发生，使应用程序不可用，直到管理员处理后。

5、对远程管理进行严格限制
在任何地方都可以管理服务器很棒，但是你要确保只有授权的用户才可如此。

你应该要求所有远程管理员使用静态IP地址登录，并且登录限制在预先指定的安全的IP地址。

你还应该使用强有力的认证。

IIS加固

IIS加固精心配置IIS打造安全Web服务器因为IIS（Internet Information Server）的方便性和易用性，所以成为最受欢迎的Web 服务器软件之一。

但是，IIS从诞生起，其安全性就一直受到人们的置疑，原因在于其经常被发现有新的安全漏洞。

虽然IIS的安全性与其他的Web服务软件相比有差距，不过，只要我们精心对IIS进行安全配置，仍然能建立一个安全性的Web服务器的。

构造一个安全的Windows 2000 操作系统要创建一个安全可靠的Web服务器，必须要实现Windows 2000操作系统和IIS的双重安全，因为IIS的用户同时也是Windows 2000的用户，并且IIS目录的权限依赖Windows 的NTFS文件系统的权限控制，所以保护IIS安全的第一步就是确保Windows 2000操作系统的安全。

实际上，Web服务器安全的根本就是保障操作系统的安全。

使用NTFS文件系统在NT系统中应该使用NTFS系统，NTFS可以对文件和目录进行管理，而FAT文件系统只能提供共享级的安全，而且在默认情况下，每建立一个新的共享，所有的用户就都能看到，这样不利于系统的安全性。

而在NTFS文件下，建立新共享后可以通过修改权限保证系统安全。

关闭默认共享在Windows 2000中，有一个“默认共享”，这是在安装服务器的时候，把系统安装分区自动进行共享，虽然对其访问还需要超级用户的密码，但这是潜在的安全隐患，从服务器的安全考虑，最好关闭这个“默认共享”，以保证系统安全。

方法是：单击“开始/运行”，在运行窗口中输入“Regedit”，打开注册表编辑器，展开“HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\LanmanServer\Parameters”项，添加键值AutoShareServer，类型为REG_DWORD，值为0。

这样就可以彻底关闭“默认共享”。

增强IIS安全性的五个简单措施电脑系统技巧

增强IIS安全性的五个简单措施IIS（Internet Information Services）是微软开发的一款Web服务器软件，用于在Windows操作系统上托管和提供网站和应用程序。

在部署网站或应用程序时，保障IIS服务器的安全是至关重要的。

本文将介绍五个简单的措施来增强IIS的安全性。

1. 定期更新操作系统和安全补丁定期更新操作系统和安全补丁是保持系统安全的首要任务。

微软定期发布针对IIS以及操作系统的安全补丁和更新，以修复已知漏洞和强化系统安全。

及时应用这些补丁和更新可以防止黑客利用已知漏洞入侵系统。

确保自动更新功能打开，并定期检查和应用最新的安全补丁是非常重要的。

2. 配置强密码策略强密码是保护系统免受密码猜测和暴力破解的一种有效方式。

通过配置强密码策略，可以要求用户使用足够复杂和长的密码，并定期更新密码。

在IIS中，可以通过以下步骤来配置强密码策略：•打开IIS管理器•选择“默认网站”•右键单击“属性”•在“目录安全性”选项卡下，点击“编辑”•在“密码加密”下选择“新”以创建新的密码策略•在新策略中配置所需的密码要求，例如密码长度、密码复杂性等•保存更改并重启IIS服务3. 限制远程访问限制远程访问可以减少IIS服务器面临的潜在风险。

只允许经过授权的用户和IP地址访问服务器，可以防止未经授权的访问并减少暴露给外部攻击的机会。

可以通过以下手段来限制远程访问：•在防火墙或网络设备上配置访问控制列表（ACL），只允许授权的IP 地址访问IIS服务器。

•在IIS的IP地址和域名限制功能中，配置只允许授权的IP地址访问特定网站或应用程序。

•配置访问控制，只允许授权的用户组访问某些目录或文件。

4. 启用日志记录和监控启用日志记录和监控可以帮助追踪和检测系统可能存在的安全问题。

IIS提供了丰富的日志记录功能，可以记录关键的安全事件和访问信息。

通过监控日志，可以及时发现异常访问行为和潜在的风险。

可以通过以下步骤启用日志记录和监控：•打开IIS管理器•选择“默认网站”•右键单击“属性”•在“网站”选项卡下，点击“属性”•在“日志记录”选项卡下，配置所需的日志记录参数，例如日志文件路径、格式、频率等•保存更改并重启IIS服务此外，还可以考虑使用安全监控工具和系统日志分析工具来进行实时监控和分析，以便及时发现和应对安全威胁。

服务器和网站安全加固技术规范

服务器和网站安全加固技术规范1.1 安全加固原理服务器安全加固是针对服务器系统（包含运行在主机上的各种软件系统）的脆弱性进行分析并修补。

另外，安全加固同时包括了对主机系统的身份鉴别与认证、访问控制和审计跟踪策略的增强。

1.2 安全加固的目标安全加固的主要目标包括以下两点：●对系统性能进行优化配置，杜绝系统配置不当而出现的弱点；●解决目标系统在安全评估中发现的技术性安全问题。

在修补加固完全成后，所有被加固的目标系统不应存在高风险漏洞和中风险漏洞（高风险漏洞和中风险漏洞，根据CVE：Common Vulnerabilities & Exposures公共漏洞和暴露标准定义）。

如果对相关的漏洞修补加固与现有应用冲突或会导致不良后果应另行处理。

1.3 安全加固的原则安全加固的基本原则如下：●安全加固内容不能影响目标系统所承载的业务运行；●安全加固不能严重影响目标系统的自身性能；●加固操作不能影响与目标系统以及与之相连的其它系统的安全性，也不能造成性能的明显下降。

1.4 操作系统安全加固1.4.1 Windows（2003 Server）系统安全加固将Windows自动更新更改为使用校内WSUS服务器：服务器地址：192.168.32.180：8530更新命令：wuauclt /detectnow1.4.2 Linux（RedHat AS）操作系统安全加固1.5 Web服务软件安全加固1.5.1 IIS安全加固1.5.2 Apache安全加固1.5.3 Tomcat安全加固1.5.4 PHP安全加固1.6 安全加固风险规避措施安全加固过程的最大的风险在于测试过程中对业务产生影响，采取以下措施来减小风险：➢在安全加固中不使用有潜在风险的加固建议。

➢安全加固时间尽量安排在业务量不大的时段或者晚上。

➢在安全加固过程中如果出现被加固系统没有响应的情况，应当立即停止加固工作，并且进行详细分析。

➢操作人员对本次安全加固过程中的数据进行完整记录：操作、响应、分析。

第2章实验报告之进行IIS安全加固

实验步骤
请将操作步骤截图并粘贴在下面
1．在MMC管理台中添加“安全配置和分析”管理单元
2．输入任意数据库名，导入hisecws.inf安全模板
3．右击“安全配置和分析”—“立即分析计算机”，模板认为有隐患的地方会以红色提示。请注意帐户策略、审核策略等的状态
4．右击“安全配置和分析”—“立即配置计算机”，将模板中的设置应用到计算机，帐户策略、审核策略等应用前后不同，比如密码复杂性、密码最小长度、审核对象访问都配置了
2.输入任意析”—“立即分析计算机”，模板认为有隐患的地方会以红色提示。请注意帐户策略、审核策略等的状态
4.右击“安全配置和分析”—“立即配置计算机”，将模板中的设置应用到计算机，再观察帐户策略、审核策略等应用前后有什么变化，比如密码复杂性、密码最小长度、审核对象访问等等
操作系统为win2003，工作组模式，充当WEB服务器，网卡IP：192.168.0.10/24，连接在VMNet2虚拟交换机上；
2、完成标准
1.在win2003-1上导入预定义安全模板hisecws.inf对系统进行安全加固
2.比较加固前后，帐户策略、审核策略等有什么变化
3、实验准备步骤
1.在MMC管理台中添加“安全配置和分析”管理单元
实验结果分析
1、
实验中遇到的问题及解决方法
组长签字：
BENET2.0网络实战–第2章
实验时间
2010年xx月xx日xx时～xx时
实验人
xxx
实验名称
实验之6：进行IIS安全加固
所属模块及课程
网络实战第2章
实验目的
本实验为学习如何使用系统自带的预定义安全模板全面加固系统，简化管理员的工作量
实验
拓扑

L003001033-IIS安全加固

8、IIS访问权限配置。如果IIS中有多个网站，建议为每个网站配置不同的匿名访问账户。新建一个账号test，加入Guests组。如下图：
9、在“网站属性”--->“目录安全性”--->“身份验证和访问控制”，把“启用匿名访问”处，用刚新建的账户代替默认账户，如下图：
10、网站目录权限配置也是很重要的一部分，某些目录有写入权限，一定不要分配执行权限；某些目录有执行权限，一定不要分配写入权限；网站上传目录和数据库目录一般需要分配“写入”权限，但一定不要分配执行权限；其他目录一般只分配“读取”和“记录访问”权限即可。如下图：
3、学生输入账号administrator ,密码123456，登录到实验场景中的Windows XP Professional。如图所示:
4、在IIS安装过程中，根据具体的业务需求，只安装必要的组件，以避免安装其他一切不必要的组件带来的安全风险。如网站正常运行只需要ASP环境，那我们就没必要安装.net组件。对于IIS版本，至少要在6.0以上，IIS5.0存在严重的安全漏洞，不过现在运行IIS5.0的服务器已经非常少了，对于这一点不用太过担心。
课程编写
类别
内容
实验课题名称
L003001033-IIS安全加固
实验目的与要求
学习IIS安全加固，掌握一些基本的IIS组件的防护知识。
实验环境
VPC1(虚拟PC）
操作系统类型：windows server 2003和windows XP professional，网络接口：本地连接
VPC1连接要求
PC网络接口，本地连接与实验网络直连
实验内容
IIS的安全加固
实验步骤
学生登录实验场景的操作
1、学生单击“网络拓扑”进入实验场景，单击windows2003中的“打开控制台”按钮，进入目标主机。如图所示：

IIS安全配置

IIS 安全配置一、利用操作系统自身功能加固系统(1)加强系统登录帐户和密码的安全系统设置的密码应当符合复杂性和最小长度的要求，不仅要包括常用英文字母、数字、字母大小写，最好还可以加入特殊字符(如@等)，而且密码的字符数不应该小于8位。

建议为管理员以及IIS用户帐号设置复杂密码并禁用guest账户，规范账户使用，根据不同的网站内容、功能设置不同的IIS维护账号。

2、不让系统显示上次登录的用户名默认情况下，登录对话框中会显示上次登录的用户名。

这使得别人可以很容易地得到系统的一些用户名，进而做密码猜测。

修改注册表可以不让对话框里显示上次登录的用户名。

方法为：打开注册表编辑器并找到注册表"HKLM\Software\Microsoft\WindowsT\CurrentVersion\Winlogon\Dont-Displa yLastUserName"，把REG_SZ的键值改成1。

3、开启密码策略注意应用密码策略，如启用密码复杂性要求，设置密码长度最小值为6位，设置强制密码历史为5次，时间为42天。

4、禁用危险的系统服务在Windows 系统中，一些端口与相应的系统服务是相关联的，有的服务还与系统中的特定端口相关联，例如Terminal Services服务与3389端口关联。

因此，禁用一些不需要的服务，不仅能降低系统资源消耗，而且能增强系统安全性。

在“开始”——“运行”框中输入“services.msc”，按回车后进入“服务”管理界面。

禁用以下服务：Remote Registry 远程用户能修改此计算机上的注册表设置。

TCP/IP NetBIOS Helper 远程用户能修改此计算机上的注册表设置。

TelnetServer支持此计算机通过网络的文件、打印、和命名管道共享Computer Browser 维护网络上计算机的最新列表以及提供这个列表Task scheduler 允许程序在此计算机上配置和计划自动任务Messenger 传输客户端和服务器之间的 NET SEND 和警报器服务消息Distributed File System: 局域网管理共享文件，不需要可禁用，如果这个服务被停止，用户则无法访问文件共享。

服务器和网站安全加固技术规范

服务器和网站安全加固技术规范1.1 安全加固原理服务器安全加固是针对服务器系统（包含运行在主机上的各种软件系统）的脆弱性进行分析并修补。

另外，安全加固同时包括了对主机系统的身份鉴别与认证、访问控制和审计跟踪策略的增强。

如果对相关的漏洞修补加固与现有应用冲突或会导致不良后果应另行处理。

1.4 操作系统安全加固1.4.1 Windows（2003 Server）系统安全加固将Windows自动更新更改为使用校内WSUS服务器：服务器地址：192.168.32.180：8530更新命令：wuauclt /detectnow1.4.2 Linux（RedHat AS）操作系统安全加固1.5 Web服务软件安全加固1.5.1 IIS安全加固1.5.2 Apache安全加固1.5.3 Tomcat安全加固1.5.4 PHP安全加固1.6 安全加固风险规避措施安全加固过程的最大的风险在于测试过程中对业务产生影响，采取以下措施来减小风险：在安全加固中不使用有潜在风险的加固建议。

安全加固时间尽量安排在业务量不大的时段或者晚上。

在安全加固过程中如果出现被加固系统没有响应的情况，应当立即停止加固工作，并且进行详细分析。

操作人员对本次安全加固过程中的数据进行完整记录：操作、响应、分析。