IIS7加固.docx
- 文档编号:20185782
- 上传时间:2023-04-25
- 格式:DOCX
- 页数:14
- 大小:784.76KB
IIS7加固.docx
《IIS7加固.docx》由会员分享,可在线阅读,更多相关《IIS7加固.docx(14页珍藏版)》请在冰豆网上搜索。
IIS7加固
IIS7安全加固
一.1补丁安装
操作目的
安装系统补丁,修补漏洞
检查方法
使用极光远程扫描漏洞,或安装微软安全基准分析器MicrosoftBaselineSecurityAnalyzer扫描漏洞
加固方法
手动安装补丁
是否实施
备注
补丁安装后可能影响业务系统的稳定性
一.2IIS角色服务
操作目的
卸载不需要的IIS角色服务
检查方法
“开始”-“所有程序”-“管理工具”-“服务器管理器”
双击“角色”,在右边最下方可以看见角色服务
加固方法
双击“角色”,在右边最下方可以看见角色服务,点击“删除角色服务”
将不需要的服务前面的勾去掉,然后“下一步”,然后点击“删除”就可以写在不需要的扩展服务
注:
按实际业务环境删除不必要的角色服务
是否实施
备注
一.3IIS用户
操作目的
检查IIS服务的用户所属组是否正确
检查方法
(1)在命令行下使用netuser命令查看IIS服务的用户信息
查看IIS匿名访问用户是否属于guest组:
netuserIUSR_主机名
查看用户是否属于user组:
netuseraspnet
(2)在IIS7管理器中,双击站点名称,在右边的视图中找到“IIS”->“身份验证”。
双击进入,可以看到当前的IIS身份情况,并可在“视图”右方的“操作”窗口进行“启用”、“禁用”或“编辑”
加固方法
根据实际情况启用或禁用身份认证情况,比如如果没有开启应用,则禁用模拟。
查看是否启用了匿名身份认证,IIS7匿名身份为IUSR,可点击“编辑”查看
是否实施
备注
一.4监听地址
操作目的
服务器有多个IP地址时,只监听提供服务的IP地址
检查方法
在IIS7管理器中,找到相应的站点,在最右边“操作”视图中,点击“绑定”,可以看到已经绑定的IP地址。
加固方法
点击“编辑”,可以修改为要绑定的IP地址
是否实施
备注
一.5SSL加密
操作目的
对敏感数据的传输,应该使用SSL加密,防止数据被嗅探
检查方法
在IIS7管理器中,找到相应站点,在网站主页视图中双击“SSL设置”图标,可以查看是否设置SSL加密。
如果没有在绑定的时候绑定为“https”的话,会在右上角显示“无法接受SSL”连接
加固方法
在新建网站的时候,选择“绑定”->“https”,并且选择相应的证书,如下图:
然后在网站主页视图中双击“SSL设置”图标,可以设置开启SSL,如下图:
是否实施
备注
一.6目录浏览
操作目的
禁止目录浏览
检查方法
在IIS7管理器中,找到相应站点,在网站主页视图中双击“目录浏览”图标,可以查看到目录浏览的相应配置信息
加固方法
在“操作”视图中,禁用目录浏览
是否实施
备注
一.7应用程序扩展
操作目的
删除不使用的应用程序扩展
检查方法
在IIS7管理器中,找到相应站点,在网站主页视图中双击“ISAPI筛选器”图标,可以查看已经添加到筛选器的内容
加固方法
若要增强Web服务器的功能,可以添加ISAPI筛选器。
例如,您可以设置一个ISAPI筛选器来捕获有关HTTP请求的信息,并将该信息保存在数据库中。
注:
虽然IIS7.0支持ISAPI筛选器,但建议使用模块而不是ISAPI筛选器来扩展Web服务器的功能。
是否实施
备注
与开发工程师确认,避免影响业务系统
一.8网站权限
操作目的
正确设置网站目录权限和IIS权限
检查方法
(1)检查网站目录的文件系统权限
(2)在IIS7管理器中,找到相应站点,在网站主页视图中双击“处理程序映射”图标,可以查看处理特定请求类型的响应资源。
这里有两个设置权限的地方“编辑功能权限”和“请求限制”:
1.“操作”视图中的“编辑功能权限”
2.双击每个条目,点击“请求限制”->“访问”,与“编辑功能权限”对话框上设置的功能的访问策略一起确定处理程序是否能够运行。
3.“请求限制”中的“谓词”选项卡,可以查看HTTP请求的方法。
加固方法
(1)网站目录所在磁盘应该是NTFS格式,网站目录除SYSTEM用户和administrators组有完全控制权限外,其余用户和组都只应设置为读取和执行权限
(2)IIS7管理器中设置:
4.“编辑功能权限”,不赋予“执行”
5.“访问”中不赋予“写入”、“执行”权限
6.“谓词”中不赋予“WRITE,DELETE,PUT”等方法
是否实施
备注
权限设置与开发工程师确认,避免影响业务系统
一.9授权规则
操作目的
对用户访问网站或应用程序进行相应限制
检查方法
在IIS7管理器中,找到相应站点,在网站主页视图中双击“授权规则”图标,可以查看相应规则,如下图:
加固方法
根据网站实际情况对特定用户添加允许或拒绝规则
是否实施
备注
一.10限制IP访问
操作目的
对网站或敏感目录的访问IP进行限制
检查方法
在IIS7管理器中,找到相应站点,在网站主页视图中双击“IPv4地址和域限制”图标,可以查看允许或被禁止的ip地址,如下图:
加固方法
在“IPv4地址和域限制”设置相关允许或禁止的IP地址
是否实施
备注
一.11日志设置
操作目的
正确设置IIS日志
检查方法
在IIS7管理器中,在IIS7管理器中,找到相应站点,在网站主页视图中双击“日志”图标,可以查看日志设置情况,如下图:
点击“选择字段”按钮,查看记录的字段
加固方法
如果没有启用日志记录,请立即启用;可以修改日志文件的目录及日志记录的内容;还可以“记录字段”选项中勾选上“Cookie(Cookie)”和“引用站点(Referer)”,但需要确定此操作是否影响IIS服务性能
是否实施
备注
一.12自定义错误信息
操作目的
自定义IIS返回的错误信息
检查方法
在IIS7管理器中,在IIS7管理器中,找到相应站点,在网站主页视图中双击“错误页面”图标,可以查看错误页设置情况,如下图:
加固方法
双击其中一个HTTP错误,可以设置该HTTP错误的消息类型,管理员设置错误发生时,返回自定义错误页面,或者定向到指定地址
常见错误代码:
403禁止访问;404找不到页面;500是服务器内部错误
是否实施
备注
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- IIS7 加固