IIS 服務器應該做哪些方面的保護措施

IIS服務器應該做的保護措施如下：

• 保持Windows升級:必須在第一時間及時地更新所有的升級，并為系統打好一切補丁。考慮將所有的更新下載到你網絡上的一個專用的服務器上，并在該機器上以Web的形式將文件發布出來。通過這些工作，可以防止Web服務器接受直接的Internet訪問。

• 設置復雜的密碼:如果有用戶使用弱密碼 (例如”password”或是 changeme”或者任何字典單詞)，那么黑客能快速并簡單的入侵這些用戶的賬號。

• 移除缺省的Web站點:很多攻擊者瞄準inetpub這個文件夾，并在里面放置一些偷襲工具，從而造成服務器的癱瘓。防止這種攻擊最簡單的方法就是在IIS里將缺省的站點禁用。因為網蟲們都是通過IP地址訪問網站的 (他們一天可能要訪問成千上萬個IP地址)，他們的請求可能遇到麻煩。

• 若不需要FTP、SMTP等其他服務請關閉:進入計算機的最簡單途徑就是通過FTP訪問。FTP本身就是被設計滿足簡單讀/寫訪問的，如果執行身份認證，會發現用戶名和密碼都是通過明文的形式在網絡上傳播的。SMTP是另一種允許到文件夾的寫權限的服務。通過禁用這兩項服務，能避免更多的黑客攻擊。

• 有規則地檢查管理員組和服務:　有一天發現在管理員組里多了一個用戶。這意味著這時某個人已經成功地進入了你的系統，他或她可能冷不丁地將炸彈扔到你的系統里，這將會突然摧毀你的整個系統，或者占用大量的帶寬以便黑客使用。黑客同樣趨向于留下一個幫助服務，一旦這發生了，采取任何措施可能都太晚了，只能重新格式化你的磁盤，從備份服務器恢復你每天備份的文件。因此，檢查IIS服務器上的服務列表并保持盡量少的服務必須成為每天的任務。

• 嚴格控制服務器的寫訪問權限:這聽起來很容易，然而，在大學校園里，一個Web服務器實際上是有很多”作者”的。教職人員都希望讓他們的課堂信息能被遠程學生訪問。職員們則希望與其他的職員共享他們的工作信息。服務器上的文件夾可能出現極其危險的訪問權限。將這些信息共享或是傳播出去的一個途徑是安裝第2個服務器以提供專門的共享和存儲目的，然后配置你的Web服務器來指向共享服務器。這個步驟能讓網絡管理員將Web服務器本身的寫權限僅僅限制給管理員組。

• 減少/排除Web服務器上的共享:如果網絡管理員是唯一擁有Web服務器寫權限的人，就沒有理由讓任何共享存在。共享是對黑客最大的誘惑。此外，通過運行一個簡單的循環批處理文件，黑客能夠察看一個IP地址列表，利用命令尋找Everyone/完全控制權限的共享。

• 禁用TCP/IP協議中的NetBIOS:很多用戶希望通過UNC路徑名訪問Web服務器。隨著NETBIOS被禁用，他們便不能這么做了。另一方面，隨著NETBIOS被禁用，黑客就不能看到你局域網上的資源了。

• 使用TCP端口阻塞:如果熟悉每個通過合法原因訪問你服務器的TCP端口，那么可以進入網絡接口卡的屬性選項卡，選擇綁定的TCP/IP協議，阻塞所有不需要的端口。必須小心的使用這一工具，因為并不希望將自己鎖在Web服務器之外，特別是在當你需要遠程登陸服務器的情況下。

• 仔細檢查.bat和.exe 文件: 定期搜索一次.bat和.exe文件，檢查服務器上是否存在黑客最喜歡。在這些破壞性的文件中，也許有一些是*.reg文件。如果右擊并選擇編輯，可以發現黑客已經制造并能讓他們能進入你系統的注冊表文件。可以刪除這些沒任何意義但卻會給入侵者帶來便利的主鍵。

• 管理IIS目錄安全:IIS目錄安全允許拒絕特定的IP地址、子網甚至是域名。WhosOn軟件，它能夠讓我們了解哪些IP地址正在試圖訪問服務器上的特定文件。WhosOn列出了一系列的異常。當然，在一個繁忙的Web站點，這可能需要一個全職的員工！然而，在內部網，真的是一個非常有用的工具。可以對所有局域網內部用戶提供資源，也可以對特定的用戶提供。

• 使用NTFS安全:關鍵是不要把自己鎖定在外，不同的人需要不同的權限，管理員需要完全控制，后臺管理賬戶也需要完全控制，系統和服務各自需要一種級別的訪問權限，取決于不同的文件。最重要的文件夾是System32，這個文件夾的訪問權限越小越好。在Web服務器上使用NTFS權限能幫助你保護重要的文件和應用程序。

• 管理用戶賬戶:如果已經安裝IIS，可能會產生TSInternetUser賬戶。除非你真正需要這個賬戶，否則應該禁用它。這個用戶很容易被滲透，是黑客們的顯著目標。為了幫助管理用戶賬戶，確定你的本地安全策略沒有問題。IUSR用戶的權限也應該盡可能的小。

回答所涉及的環境：聯想天逸510S、Windows 10。