本模块集中说明在您的环境中强化 IIS 服务器所需的指导和步骤。为了向组织的公司 Intranet 中的 Web 服务器和应用程序提供全面的安全保护，应该保护每个 Microsoft Internet 信息服务 (IIS) 服务器以及在这些服务器运行的每个 Web 站点和应用程序不受可与它们连接的客户端计算机的侵害。此外，还应该保护在这些所有 IIS 服务器上运行的 Web 站点和应用程序不受在公司 Intranet 中其他 IIS 服务器上运行的 Web 站点和应用程序的侵害。

　　为了在抵制恶意用户和攻击者的过程中占据主动，默认情况下，IIS 不安装在 Windows Server 2003 系列产品上。IIS 最初以高度安全的“锁定”模式中安装。例如，默认情况下，IIS 最初仅提供静态内容。诸如 Active Server Pages (ASP)、ASP.NET、服务器端包括 (SSI)、Web Distributed Authoring and Versioning (WebDAV) 发布及 Microsoft FrontPage? Server Extensions 等功能仅在管理员启用它们后才起作用。可以通过 Internet 信息服务管理器（IIS 管理器）中的 Web 服务扩展节点启用这些功能和服务。

　　IIS 管理器具有图形化的用户界面 (GUI)，可用来方便地对 IIS 进行管理。它包括用于文件和目录管理的资源，能够对应用程序池进行配置，并且具有安全性、性能、以及可*性方面的诸多特性。

　　本章接下来的部分详细介绍了各种安全性强化设置，执行这些设置可增强公司 Intranet 中存放 HTML 内容的 IIS 服务器的安全性。但是，为确保 IIS 服务器始终处于安全状态，还应执行安全监控、检测和响应等步骤。

　　审核策略设置

　　在本指南定义的三种环境下，IIS 服务器的审核策略设置通过 MSBP 来配置。有关 MSBP 的详细信息，请参阅模块创建 Windows Server 2003 服务器的成员服务器基准。MSBP 设置可确保所有相关的安全审核信息都记录在所有的 IIS 服务器上。

　　用户权限分配

　　本指南中定义的三种环境中的 IIS 服务器的大多数用户权限分配都是通过 MSBP 配置的。有关 MSBP 的详细信息，请参阅模块创建 Windows Server 2003 服务器的成员服务器基准。在下一节中阐述 MSBP 与 Incremental IIS Group Policy（增量式 IIS 组策略）之间的差别。

拒绝通过网络访问该计算机

表 1：设置

成员服务器默认值 旧客户端 企业客户端 高安全性
SUPPORT_388945a0
匿名登录；内置管理员帐户；Support_388945a0；Guest；所有非操作系统服务帐户
匿名登录；内置管理员帐户；Support_388945a0；Guest；所有非操作系统服务帐户
匿名登录；内置管理员帐户；Support_388945a0；Guest；所有非操作系统服务帐户

　　注意：安全模板中不包含匿名登录、内置管理员帐户、Support_388945a0、Guest 和所有非操作系统服务帐户。对于组织中的每个域，这些帐户和组拥有唯一的安全标识 (SID)。因此，必须手动添加它们。

　　“拒绝通过网络访问该计算机”设置决定了哪些用户不能通过网络访问该计算机。。这些设置将拒绝大量的网络协议，包括服务器消息块 (SMB) 协议、网络基本输入/输出系统 (NetBIOS)、通用 Internet 文件系统 (CIFS)、超文本传输协议 (HTTP) 和组件对象模型 (COM+)。当用户帐户同时适用两种策略时，该设置将覆盖“允许通过网络访问该计算机”设置。通过给其它组配置该用户权限，您可以限制用户在您的环境中执行委托管理任务的能力。

　　在模块创建 Windows Server 2003 服务器的成员服务器基准中，本指南建议将 Guests 组包含在被分配了该权限的用户和组列表中，以提供最大可能的安全性。但是，用于匿名访问 IIS 的 IUSR 帐户被默认为 Guests 组的成员。本指南建议从增量式 IIS 组策略中清除 Guests 组，以确保必要时可配置对 IIS 服务器的匿名访问。因此，在本指南所定义的全部三种环境下，我们针对 IIS 服务器将“拒绝通过网络访问该计算机”设置配置为包括：匿名登录、内置管理员、Support_388945a0、Guest 以及所有非操作系统服务帐户。

　　安全选项

　　在本指南所的定义的三种环境中，IIS 服务器的安全选项通过 MSBP 来配置。有关 MSBP 的详细信息，请参阅模块创建 Windows Server 2003 服务器的成员服务器基准。MSBP设置确保了在企业IIS服务器中统一配置正确的事件日志设置。

　　事件日志设置

　　在本指南中定义的三种环境中，IIS 服务器的事件日志设置通过 MSBP 来配置。有关 MSBP 的详细信息，请参阅模块创建 Windows Server 2003 服务器的成员服务器基准。MSBP 设置确保了在企业 IIS 服务器中统一配置正确的事件日志设置。

　　系统服务

　　为了让 IIS 向 Windows Server 2003 中添加 Web 服务器功能，则必须启用以下三种服务。增量式 IIS 组策略确保了这些服务被配置为自动启动。

　　注意：MSBP 禁用了几种其它的 IIS 相关服务。FTP、SMTP 和 NNTP 就是 MSBP 所禁用的一些服务。如果想要在本指南所定义的任何一种环境下的 IIS 服务器上启用这些服务，必须更改增量式 IIS 组策略。

　　HTTP SSL

表 2：设置

服务名 成员服务器默认值 旧客户端 企业客户端 高安全性
HTTPFilter
手动
自动
自动
自动

　　HTTP SSL 服务可让 IIS 执行安全套接字层 (SSL) 功能。SSL是建立加密通信渠道的一种开放标准，以防止诸如信用卡号等关键信息被中途截获。首先，它使得在万维网上进行安全的电子金融事务成为可能，当然也可用它来实现其它 Internet 服务。

　　如果 HTTP SSL 服务停止，IIS 将无法执行 SSL 功能。禁用此服务将导致任何明确依赖它的服务都无法实现。您可以使用组策略来保护和设置服务的启动模式，只允许服务器管理员访问这些设置，从而防止未经授权或恶意的用户配置或操作该服务。组策略还可以防止管理员无意中禁用该服务。因此，在本指南所定义的全部三种环境下，针对 IIS 服务器的需要将“HTTP SSL”设置配置为“自动”。

除了安全性考虑之外，将站点和应用程序文件和文件夹放置在一个专用的磁盘卷中使诸如备份和恢复这样的管理任务变得更加容易。而且，将这种类型的内容放在一个分开的专用物理驱动器中有助于减少系统分区中的磁盘争用现象，并且改善磁盘的整体访问性能。

　　设置 NTFS 权限

　　Windows Server 2003 将检查 NTFS 文件系统的权限,以确定用户或进程对特定文件或文件夹具有的访问权限类型。

　　您应该分配相应的 NTFS 权限，以便在本指南定义的三种环境下，允许或拒绝特定用户对 IIS 服务器上站点的访问。

　　NTFS 访问权限应当与 Web 访问权限协同使用，而不是取代 Web 权限。NTFS 权限只影响那些已经被允许或被拒绝访问站点和应用程序内容的帐户。Web 权限则影响所有访问站点或应用程序的用户。如果站点权限与 NTFS 权限在某个文件夹或目录上发生冲突，限制性更强的设置将生效。

　　对于不允许匿名访问的站点和应用程序，匿名帐户访问将被明确拒绝。当没有经过身份验证的用户访问系统资源时，就是匿名访问。匿名帐户包括内置“Guest”帐户、“Guests”组和“IIS Anonymous”帐户。此外，除了 IIS 管理员之外，对其它任何用户都应该清除所有的写权限。

　　下表提供了关于 NTFS 权限的一些建议，这些权限将应用于 IIS 服务器上不同的文件类型。不同的文件类型可以被组织在不同的文件夹中，以简化应用 NTFS 权限的过程。

表 5：NTFS 权限

文件类型 建议的 NTFS 权限
CGI 文件（.exe、.dll、.cmd、.pl）
Everyone（执行）
Administrators（完全控制）
System（完全控制）

脚本文件 (.asp)
Everyone（执行）
Administrators（完全控制）
System（完全控制）

包含文件（.inc、.shtm、.shtml）
Everyone（执行）
Administrators（完全控制）
System（完全控制）

静态内容（.txt、.gif、.jpg、.htm、.html）
Everyone（只读）
Administrators（完全控制）
System（完全控制）

　　设置 IIS Web 站点权限

　　IIS 将检查 Web 站点权限，以确定在 Web 站点中可能发生的操作类型，例如允许脚本源访问或允许文件夹浏览。您应该为 Web 站点分配权限，以便进一步保证 IIS 服务器上的站点在本指南定义的三种环境下的安全性。

　　Web 站点权限可与 NTFS 权限结合使用。它们可配置给特定的站点、文件夹和文件。与 NTFS 权限不同，Web 站点权限影响试图访问 IIS 服务器站点的每个人。Web 站点权限可以通过使用 IIS 管理器管理单元得到应用。

　　下表列举了 IIS 6.0 支持的 Web 站点权限，并且提供了简要描述，解释如何为 Web 站点分配给定的权限。

表 6：IIS 6.0 Web 站点权限

Web 站点权限： 授予的权限：
读
用户可查看目录或文件的内容和属性。在默认情况下，该权限为选中状态。

写用户可更改目录或文件的内容和属性。

　　脚本源访问

　　用户可以访问源文件。如果启用“读”权限，则可以读取源文件；如果启用“写”权限，则可以更改脚本源代码。脚本源访问包括脚本的源代码。如果既不启用“读”权限，也不启用“写”权限，则此选项将不可用。

　　要点：启用“脚本源访问”时，用户可以查看敏感信息，例如用户名和密码。他们还可以更改 IIS 服务器上运行的源代码，从而严重影响服务器的安全性和性能。

　　目录浏览

　　用户可以查看文件列表和集合。

　　日志访问

　　每次访问 Web 站点都会创建日志条目。

　　索引此资源

　　允许使用索引服务索引资源。这样便可以对资源执行搜索。

　　执行

　　以下选项确定用户运行脚本的级别：

“无” — 不允许在服务器上运行脚本和可执行文件。
“仅限于脚本” — 仅允许在服务器上运行脚本。
“脚本和可执行文件” — 允许在服务器上运行脚本和可执行文件。

　　配置 IIS 日志

　　本指南建议在指南定义的三种环境下均启用 IIS 服务器上的 IIS 日志。

　　可以为每个站点或应用程序创建单独的日志。IIS 可以记录 Microsoft Windows? 操作系统提供的事件日志或性能监视功能所记录信息范围之外的信息。IIS 日志可记录诸如谁访问过站点、访客浏览过哪些内容、以及最后一次访问的时间等信息。IIS 日志可被用来了解那些内容最受欢迎，确定信息瓶颈，或者用作协助攻击事件调查的资源。

　　IIS 管理器管理单元可以用来配置日志文件格式、日志计划以及将被记录的确切信息。为限制日志的大小，应当对所记录信息的内容进行仔细规划。

　　当 IIS 日志被启用时，IIS 使用 W3C 扩展日志文件格式来创建日常操作记录，并存储到在 IIS 管理器中为站点指定的目录中。为改善服务器性能，日志文件应当存储到系统卷以外的条带集或条带集/镜像磁盘卷上。

　　而且，您还可以使用完整的全局命名约定 (UNC) 路径将日志文件写到网络上以便远程共享。远程日志让管理员能够建立集中的日志文件存储和备份。但是，通过网络对日志文件进行写操作可能会对服务器性能带来负面影响。

　　IIS 日志可以配置为使用其它几种 ASCII 或开放数据库连接 (ODBC) 文件格式。ODBC 日志让 IIS 能够将活动信息存储到 SQL 数据库中。但是，应该注意，当启用 ODBC 日志时，IIS 将禁用内核模式缓存。因此，执行 ODBC 日志会降低服务器的总体性能。

　　存放数以百计的站点的 IIS 服务器通过启用集中的二进制日志来改善日志性能。集中化的二进制日志允许 IIS 服务器将所有 Web 站点的活动信息写到一个日志文件上。这样，通过减少需要逐一存储和分析的日志文件的数量，大大地提高了 IIS 日志记录过程的可管理性和可伸缩性。有关集中化二进制日志的更多信息，请参阅 Microsoft TechNet 主题“Centralized Binary Logging”，其网址为：http://www.microsoft.com/technet/prodtechnol/windowsserver2003/proddocs/standard/log_binary.asp（英文）。

　　当 IIS 日志按默认设置存储在 IIS 服务器中时，只有服务器管理员有权访问它们。如果日志文件的文件夹或文件的所有者不在“Local Administrators”组中时，HTTP.sys — IIS 6.0 的内核模式驱动程序 — 将向 NT 事件日志发布一个错误。该错误指出文件夹或文件的所有者不在“Local Administrators”组中，并且这个站点的日志将暂时失效，直到其所有者被添加到“Local Administrators”组中，或者现有的文件夹或文件被删除。

向用户权限分配手动添加唯一的安全组
大多数通过 MSBP 应用的用户权限分配都已经在本指南附带的安全性模板中进行了适当的指定。但是，有些帐户和安全组不能被包括在模板内，因为它们的安全标识符 (SID) 对于单个的 Windows 2003 域是特定的。下面给出了必须手动配置的用户权限分配。

　　警告：下表包含了内置的 Administrator 帐户。注意不要将 Administrator 帐户和内置的 Administrators 安全组相混淆。如果 Administrators 安全组添加了以下任何一个拒绝访问的用户权限，您必须在本地登录以更正该错误。

　　此外，根据模块创建 Windows Server 2003 服务器的成员服务器基准中描述的某些建议，内置的 Administrator 账户可能已经被重命名。当添加 Administrator 账户时，请确信指定的是经过重命名的账户。

表 7：手动添加的用户权限分配

成员服务器默认值 旧客户端 企业客户端 高安全性
拒绝通过网络访问该计算机
内置管理员帐户；Support_388945a0；Guest；所有非操作系统服务帐户
内置管理员帐户；Support_388945a0；Guest；所有非操作系统服务帐户
内置管理员帐户；Support_388945a0；Guest；所有非操作系统服务帐户

　　警告：所有非操作系统服务账户包括整个企业范围内用于特定应用程序的服务账户。这不包括操作系统使用的内置帐户 LOCAL SYSTEM、LOCAL SERVICE 或 NETWORK SERVICE。

　　保护众所周知帐户的安全

　　Windows Server 2003 具备大量的内置用户帐户，这些帐户不能删除，但可以重命名。Windows 2003 中最常见的两个帐户是 Guest 和 Administrator。

　　默认情况下，Guest 帐户在成员服务器和域控制器上被禁用。不应更改此设置。内置的 Administrator 帐户应被重命名，而且其描述也应被更改，以防止攻击者通过该帐户破坏远程服务器。

　　许多恶意代码的变种企图使用内置的管理员账户来破坏一台服务器。在近几年来，进行上述重命名配置的意义已经大大降低了，因为出现了很多新的攻击工具，这些工具企图通过指定内置 Administrator 账户的安全标识 (SID) 来确定该帐户的真实姓名，从而侵占服务器。SID 是唯一能确定网络中每个用户、组、计算机帐户以及登录会话的值。改变内置帐户的 SID 是不可能的。将本地管理员帐户改变为一个特别的名称，可以方便您的操作人员监视对该帐户的攻击企图。

　　要保护 IIS 服务器中众所周知帐户的安全，请执行以下步骤：

　　1. 重命名 Administrator 和 Guest 帐户，并且将每个域和服务器上的密码更改为长而复杂的值。

　　2. 在每个服务器上使用不同的名称和密码。如果在所有的域和服务器上使用相同的帐户名和密码，攻击者只须获得对一台成员服务器的访问权限，就能够访问所有其它具有相同帐户名和密码的服务器。

　　3. 更改默认的帐户描述，以防止帐户被轻易识别。

　　4. 将这些更改记录到一个安全的位置。

　　注意：可以通过组策略重命名内置的管理员帐户。本指南提供的任何安全性模板中都没有配置该设置，因为您必须为您的环境选择一个唯一的名字。“帐户：重命名管理员帐户”设置可用来重命名本指南所定义的三种环境中的管理员帐户。该设置是组策略的安全选项设置的一部分。

　　保护服务帐户的安全

　　除非绝对必须，否则不要让服务运行在域帐户的安全上下文中。如果服务器的物理安全受到破坏，域账户密码可以很容易通过转储本地安全性授权 (LSA) 秘文而获得。

　　用 IPSec 过滤器阻断端口

　　Internet 协议安全性 (IPSec) 过滤器可为增强服务器所需要的安全级别提供有效的方法。本指南推荐在指南中定义的高安全性环境中使用该选项，以便进一步减少服务器的受攻击面。

　　有关使用 IPSec 过滤器的详细信息，请参阅模块其他成员服务器强化过程。

　　下表列出在本指南定义的高级安全性环境下可在 IIS 服务器上创建的所有 IPSec 过滤器。

表 8：IIS 服务器 IPSec 网络通信图

服务 协议 源端口 目标端口 源地址 目标地址 操作 镜像
one point Client
所有
所有
所有
ME
MOM 服务器
允许
是

Terminal Services
TCP
所有
3389
所有
ME
允许
是

Domain Member
所有
所有
所有
ME
域控制器
允许
是

Domain Member
所有
所有
所有
ME
域控制器 2
允许
是

HTTP Server
TCP
所有
80
所有
ME
允许
是

HTTPS Server
TCP
所有
443
所有
ME
允许
是

All Inbound Traffic
所有
所有
所有
所有
ME
禁止
是

在实施上表所列举的规则时，应当对它们都进行镜像处理。这样可以确保任何进入服务器的网络通信也可以返回到源服务器。

　　上表介绍了服务器要想完成特定角色的功能所应该打开的基本端口。如果服务器使用静态的 IP 地址，这些端口已经足够。如果需要提供更多的功能，则可能需要打开更多的端口。打开更多的端口将使得您的环境下的 IIS 服务器更容易管理，但是这可能大大降低服务器的安全性。

　　由于在域成员和域控制器之间有大量的交互，尤其是 RPC 和身份验证通信，在 IIS 服务器和全部域控制器之间，您应该允许所有的通信。通信还可以被进一步限制，但是大多数环境都需要为有效保护服务器而创建更多的过滤器。这将使得执行和管理 IPSec 策略非常困难。您应该为每一个将与 IIS 服务器进行交互的域控制器创建类似的规则。为了提高 IIS 服务器的可*性和可用性，您需要为环境中的所有域控制器添加更多规则。

　　正如上表所示，如果环境中运行了 Microsoft 操作管理器 (MOM)，那么在执行 IPSec 过滤器的服务器和 MOM 服务器之间，应该允许传输所有的网络通信。这是必须的，因为在 MOM 服务器和 OnePoint 客户端（向 MOM 控制台提供报告的客户端应用程序）之间存在大量的交互过程。其它管理软件可能也具有类似的需求。如果需要更高级别的安全性，则可以配置 OnePoint 客户端的过滤操作，从而协调 IPSec 和 MOM 服务器。

　　该IPSec 策略将有效地阻止通过任意一个高端口的通信，因此它不允许远程过程调用 (RPC) 通信。这可能会使得服务器的管理非常困难。由于已经关闭了许多端口，您可以启用终端服务。这样一来，管理员便可以执行远程管理。

　　上面的网络通信图假设环境中包含启用了 Active Directory 的 DNS 服务器。如果使用独立的 DNS 服务器，则可能需要其他规则。

　　IPSec 策略的执行应该不会对服务器的性能有明显影响。但是，在执行这些过滤器之前必须进行测试，以核实服务器保持了必要的功能和性能。您可能还需要添加一些附加规则以支持其它应用程序。

　　本指南包括一个 .cmd 文件，它简化了依照指南要求为域控制器创建 IPSec 过滤器的过程。PacketFilters-IIS.cmd 文件使用 NETSH 命令创建适当的过滤器。必须修改此 .cmd 文件，以使其包含您所在环境中域控制器的 IP 地址。脚本中包含两个占位符，用于要添加的两个域控制器。如需要，可以添加其他的域控制器。这些域控制器的 IP 地址列表应当是最新的。

　　如果环境中有 MOM，应当在脚本中指定相应的 MOM 服务器 IP 地址。此脚本不会创建永久的过滤器。因此，直到 IPSec 策略代理启动时，服务器才会得到保护。有关构建永久的过滤器或创建高级 IPSec 过滤器脚本的详细信息，请参阅模块其他成员服务器强化过程。最后，此脚本被配置为不分发其创建的 IPSec 策略。IP 安全性策略管理单元可被用来检查所创建的 IPSec 过滤器，并且分发 IPSec 策略以便让其А?

　　小结

　　本章解释了在本指南指定的三种环境下，为保护 IIS 服务器的安全所应采取的强化设置。我们讨论的大多数设置通过组策略进行配置和应用。可以将能够为 MSBP 提供有益补充的组策略对象 (GPO) 链接到包含 IIS 服务器的相应组织单位 (OU)，以便为这些服务器提供的服务赋予更多的安全性。

　　本章讨论的有些设置不能通过组策略得到应用。对于这种情况，本章介绍了有关手动配置这些设置的详细信息。此外，我们还详细介绍了创建和应用能够控制 IIS 服务器间网络通信类型的 IPSec 过滤器的具体过程。