33、保障 IIS 7.0 服务器安全的全面指南

保障 IIS 7.0 服务器安全的全面指南

1. 服务器安全基础

在确保环境安全后，就可以着手保障 IIS 7.0 服务器本身的安全了。IIS 7.0 中有多个配置选项，可在不了解终端用户身份的情况下限制访问或拒绝特定类型的请求。一个重要的安全最佳实践是仅安装为终端用户提供所需功能的组件。从 Windows Server 2003 开始，IIS 6.0 默认处于锁定状态，仅提供最少的功能。不安装不必要的功能，可避免服务器因未使用组件（甚至可能都不知道已安装）的潜在漏洞而受到威胁。这种锁定思维也应延伸到管理员配置中，只安装提供服务所需的组件，这样能减少攻击者可利用的攻击面，还能通过减少配置选项和所需安装的补丁数量来降低服务器的管理开销。

2. IP 和域名限制

配置 IP 地址和域名限制可选择性地允许或拒绝访问 Web 服务器、网站、文件夹或文件。规则可基于远程 IP 地址或对远程 IP 地址的反向 DNS 查找来配置。当未获访问权限的远程客户端请求资源时，IIS 会记录 403.6（“禁止：客户端的 IP 地址已被拒绝”）或 403.8（“客户端的 DNS 名称被拒绝”）HTTP 状态。

IP 和域名限制模块（iprestr.dll）在默认的 IIS 安装中并未安装，若要使用其功能，需专门安装该模块。网站和 Web 应用程序管理员在配置元素未在更高级别锁定的情况下，可为其有权管理的网站和应用程序配置 IP 和域名限制。

2.1 默认策略和域名限制

配置 IP 和域名限制时，总会有一个默认策略，该策略适用于未定义特定规则的客户端。它要么允许除特定拒绝的客户端之外的所有访问，要么拒绝除特定允许的客户端之外的所有访问。IIS 7.0