12、高级 Web 服务器安全配置指南

高级 Web 服务器安全配置指南

1. IIS 认证方法

IIS 6.0 提供了多种认证方法，每种方法都有其特点和适用场景。
- 基本认证 ：用户凭证在传输过程中未加密，因此应使用替代方法（如 SSL）来确保用户凭证不被拦截。不过，如果 IIS 6.0 需要使用经过身份验证的用户凭证访问网络资源，基本认证可以实现这一需求。
- 摘要/高级摘要认证 ：是对基本认证的改进，遵循 RFC 2617 定义的开放标准，依赖客户端支持 HTTP v1.1。用户密码经过哈希处理，无法解密，但在一定时间内易受重放攻击。该认证方式可安全通过 HTTP 代理和防火墙，但相比基本认证，对服务器有额外要求。
- 集成 Windows 认证 ：被 IIS 6.0 视为最安全的客户端认证方法，包含 NTLM v2 和 Kerberos 两个认证系统。NTLM v2 受 IE v3 及更高版本（以及 Mozilla v1.4 及更高版本）支持；Kerberos 受运行在 Windows 2000、Windows XP 或 Windows Server 2003 上的 IE v5 及更高版本支持。根据委托配置，IIS 6.0 可能代表用户连接到远程资源。

2. 配置 IIS 用户账户

IIS 6.0 使用多个内置 Windows 账户和特定于 IIS 的用户账户，实际使用的用户账户取决于 IIS 6.0 运行的模式，即 IIS 6.0 工作进程隔离模式或 IIS 5.0 隔离模式。

2.1 IIS 6.0 工作进程模式

在