配置一个安全的IIS5初探

Iee说希望我能整理一个架设一个比较安全的IIS的东西出来,但本人技术有限,感到有些心有余而力不足,只整理
了一个初步的做法,请大家进行补充.
一.iis5的安装
iis5信息服务安装有10个或选项:
1.frontpage 2000扩展
2.Internet服务管理器
3.Internet服务管理器(HTML)
4.NNTP服务(新闻组)
5.SMTP服务(邮件服务)
6.Visual InterDev RAD远程配置支持
7.WWW服务器
8.公用文件
9.文档
10.FTP服务器
如果你的服务器只是做为一个web服务器用,那么我建议只安装:
2.Internet服务管理器
7.WWW服务器
8.公用文件
9.文档
10.ftp(如果不安装可用其它更专业的ftp代替,如serv-u等)
可选项:
3.Internet服务管理器(HTML)
Internet服务管理器(HTML)是Internet服务管理器的HTML版,主要用于让管理员远程管理Internet服务服务器.
如果不使用远程管理,这个可以不安装.这个管理器全部是使用asp写的,非常有参考价值,写程序的朋友可以安装
上个看看,很好的.:)
二.IIS配置
(一)禁止不用的WEB站点.
通常你安装好IIS后都打开IIS管理器都会看到两个站点:默认的web站点和管理web站点.前者使用80口,允许尼名
访问,后者使用的端口是随机的,有IP地址限制,也允许尼名访问,但没有足够的权限会出现页面错误.
通常情况下这两个站点你在安装完IIS后应该立即禁止它们,至少应该添加IP地址限制,修改端口,不允许尼名访
问并将这种限制应用到所有的虚拟目录中去.
注意,管理性web站点与默认web站点中的iisadmin虚拟目录都指向一个位置:C:WINNTSystem32inetsrviisad
min.也就是说如果你关闭了管理web站点而仍然开着默认的web站点,那么仍然可以进行远程web管理的.
这样做至少有两方面的好处:
1.使默认的WEB站点不再占用80口,这样其它web就可以使用(不考虑使用主机头名的情况).
2.避免了许多的安全方面的隐患,现在的一些扫描通常都是扫描默认的WEB站点的.如果你禁止了这个站点那么你
将避免许多的安全方面的问题.
(二)删除不用的应用程序映射
一般的站点上只保留asp/asa/cer/cdx就可以了.printer/htw/ida之流还是删除的好.:)删除这些可以直接在服
务器节点上做,不必每个web都去做.这样即使以后再添加新的web站点也不必再进行删除了.
(三)启用访问日志
如果可能将日志的路径修改个地方,缺省是在%WinDir%System32LogFiles下的,这样经常导致一些黑客入侵了