第7节 IIS站点的安全管理

7.7IIS站点的安全管理网站的安全性是一门综合性的学问，涉及到软件、硬件和环境等多方面因素。本节主要从软件角度来讨论安全问题，这主要包括访问控制和数据加密两个方面。访问控制就是授权某些用户只能够访问指定的资源。数据加密就是保证数据在传输过程中不被其他人截获。下面主要从访问控制方面来介绍网站的安全管理。7.7.1IIS的安全机制由于IIS5.0与Windows2000Server操作系统的紧密集成，它的安全机制也就建立在Windows2000Server安全模型之上，它提供的应用级安全机制以操作系统和NTFS文件系统的安全机制为基础。Windows2000Server通过用户账号和密码保护以及访问权限来限制对计算机及其资源的访问。NTFS文件系统提供了强大的权限管理功能来保护系统中的资源。另外，通过IIS5.0也可以设置Web服务器的相应访问权限，它提供了审核、支持验证、安全设置、证书、访问控制和加密等5种主要的安全特性，并且可以通过用户身份验证、限制IP地址访问、Web服务器权限控制、NTFS权限控制、Windows的审核功能和IIS本身的日志记录等方式来实现系统的安全保证。还可以通过安全套接字保证在当Web服务器和客户端间建立安全连接时提供数据的加密传输服务。7.7.2设置IIS5.0的访问控制IIS5.0的访问控制就是IIS利用其自身的安全管理功能以及Windows2000Server、NTFS文件系统的安全管理功能来控制用户访问网络资源的安全管理机制，它是网站安全管理的一个重要组成部分。1.允许或限制特殊计算机的访问当用户访问Web站点的内容时，IIS会检查来自客户端的报文的源IP地址，只有当该IP地址没有被限制时才允许该用户访问指定的网络资源。所以，在IIS中可以通过设置IP地址访问限制来控制某些使用特定IP地址的用户、计算机组或通过网络访问某些Web站点。通常利用拒绝用户从特定IP地址访问某些特殊Web站点的方法来排除部分用户，防止某些网络用户访问不该访问的Web站点，以保证网络中信息的安全。但需要注意的是，当用户的计算机通过代理服务器访问Web服务器时，IIS只能识别代理服务器的IP地址，而不是用户计算机的IP地址。所以，只要代理服务器能够访问的网络资源，其下面的计算机就都可以访问。具体设置步骤如下：1）启动“Internet服务器管理”单元，选择要设置的Web站点、目录或文件，并打开相应的属性设置对话框，选择“目录安全性”选项卡，打开属性设置对话框，如图7.29所示。2）在“IP地址及域名限制”区域中单击“编辑”按钮，打开如图7.30左图所示的“IP地址及域名限制”对话框。3）“授权访问”单选按钮：用于将向列表之外的计算机授予访问权限。4）“添加”按钮：点击时会弹出如图7.30右图所示的对话框，可加入受限IP地址。图7.29目录安全性选项卡图7.30设置受限1P地址及域名5）“拒绝访问”单选按钮：用于设置受限地址，该项目提供的类型有3种。如图7.30右图的3个单选按钮所示。其中：•“单机”用于定义单机的访问权限，可在下面的“IP地址”文本框中输入要限制的计算机的IP地址。如果不明确IP地址，可以单击“DNS查找”按钮，输入域名，请求DNS服务器代为查找所需的IP地址。•“一组计算机”用于定义某组计算机的访问权限，如图7.31所示。通过下面的“网络标识”和“子网掩码”来定义计算机组。通过指定网络标识和与网掩码，可以选择一组计算机，网络标识是主机的IP地址，通常是“子网”的路由器地址，子网掩码用于解析出IP地址中的子网标识和主机标识。在同一子网中的所有计算机有相同的子网标识和自己惟一的主机标识。如果主机的IP地址为172.16.22.1，子网掩码为255.255.0.0，对于网络中的所有计算机则将使用以172.16开头的IP地址。要选择子网中的所有计算机，可在“网络标识”文本框中输入172.16.22.1，在“子网掩码”文本框中输入255.255.0.0即可。•“域名”用于定义域的访问权限，在“域名”文本框中输入要定义的域名。这时需要DNS反向查找IP地址，会增加系统开销，一般不推荐选择该选项。6）设置完成后，单击“确定”按钮，返回“IP地址及域名限制”对话框，输入的IP地址或域名将出现在地址列表中，如图7.32所示。可以根据需要进一步添加、删除或编辑IP地址或域名。图7.31设置计算机组图7.32IP地址或域名列表2.允许某些用户访问IIS5.0集成在Windows2000Server平台上，由于有Windows2000Server的支持即可以提供匿名访问、基本验证、摘要式验证以及集成的Windows验证等多种身份验证方法，通常允许匿名访问。当访问安全要求高的站点、会员站点或收费站点时，通常要对用户身份进行验证。具体配置步骤如下：1）打开“目录安全性”选项卡，单击“匿名访问和验证控制”区域中的“编辑”按钮，打开如图7.33所示的“验证方法”对话框，在这里设置身份验证属性。图7.33设置验证方法2）选定“匿名访问”复选框：启用了匿名访问后，Web站点就可以接受所有用户的访问而不需输入用户名或密码。此时，Web服务器会使用名为“IUSR_计算机名”的Windows用户账号，该“计算机名”就是运行IIS的服务器的名称，是在安装IIS时自动创建的默认账号，已经自动被接予了“本地登录”权限，它包含在Windows用户组“Guests”中。3）更改匿名用户账号。•在“Internet信息服务管理”单元中，选择站点、目录或文件，单击鼠标右键在弹出的快捷菜单中执行“属性”命令，打开属性设置对话框。•选定“目录安全性”选项卡，如图7.35所示。单击“匿名访问”区中的“编辑”按钮。打开如图7.34所示的“匿名用户账号”对话框，输入要用于匿名访问的Windows用户账号或者单击“浏览”按钮进行选择。•“允许IIS控制密码”复选框：如果要设置密码，请清除该复选框。若选择该复选框，则密码与Windows用户账户中的密码相匹配，但仅适用于本地计算机所定义的匿名用户账号。图7.34设置匿名用户4）基本验证（密码用明文送出）复选框：基本验证方法通常用于收集用户名和密码等信息进行访问资格验证，是一种标准方法。当本地用户名和密码是有效的Windows用户账户时才能建立连接，它是HTTP规范的一部分且被大多数浏览器支持。但此验证方式Web浏览器会使用未加密的形式传输密码，数据容易被截获并且用户应具有一定的NTFS权限。5）Windows域服务器的简要验证复选框：提供了与基本验证相同的功能，也称摘要式验证，在传送验证信息时使用散列算法，以保证用户名和密码不被破解。它可以越过代理服务器和防火墙应用程序。目前，只有MicrosoftInternetExplorer5.0及更高版本的浏览器才支持它。6）集成Windows验证复选框：优先于基本验证，当Windows验证失败后，浏览器才提示用户输入其用户名和密码。集成Windows验证是一种安全的验证形式。但是在通过HTTP代理连接时，集成Windows验证不起作用，所以无法在代理服务器或其他防火墙应用程序后使用。3.设置Web服务器权限Web服务器权限可以通过对站点、目录和文件的权限设置来完成。默认情况下，匿名用户使用Windows账户“IUSR_计算机名”的NTFS权限并采用匿名验证访问Web站点。用户可以通过更改站点中文件夹或文件的权限来限制对资源的访问。例如，更改读取等权限。设置Web服务器权限的步骤如下：1）在“Internet信息服务器管理”单元中，选择Web站点、虚拟目录或文件，单击鼠标右键，在弹出的快捷菜单中执行“属性”命令，打开属性设置对话框。2）在“主目录”、“虚拟目录”或“文档”选项卡中，设置脚本资源访问、读取、写入、目录浏览、日志访问、索引资源等多种访问权限。4.目录或文件的NTFS权限通过设置目录或文件的NTFS权限可以保证特定的目录或文件不被未经授权的用户访问。以保证Web服务器目录和文件的安全性。NTFS权限由Windows系统设定，用于限定Windows账户的特定用户或用户组对服务器物理目录的访问。Web服务权限由Internet服务管理器设定，用于控制Web站点的用户对Web站点目录的访问权限，两种权限之间拒绝访问的权限具有较高的优先级。关于NTFS权限设置请参阅Windows2000Server系统相关书籍。5.控制数据库访问Web服务器上的数据库安全也是系统安全的重要内容。用户可以通过配置数据库软件的安全功能和设置数据库文件的NTFS权限等方面来设置对数据库的访问控制。常用的MicrosoftSQLServer具有较强的安全性和安全管理功能，可以控制用户如何访问特定数据库文件。另外，通过设置NTFS权限来保护存储在Web服务器上数据库文件、目录、数据源名（DSN）文件、ASP文件也可以有效提高信息的安全性。7.7.3审核和跟踪安全记录使用安全审核技术跟踪用户活动并监测、记录或拒绝访问NTFS目录和文件的非法访问，可以大大提高网站的安全性。通常Windows2000Server的审核功能可以将网站有关事件记录到安全日志中，再通过事件查看器来查看、分析，就可以调整和改进网络的安全方案。审核包括目录、文件访问或服务器事件创建审核策略以及监视安全日志、检测任何未经授权人员的访问尝试等。