其實(shí)IIS Lockdown實(shí)踐實(shí)用并不難
為了保護(hù)IIS服務(wù)器的安全，我們會(huì)選擇使用IIS Lockdown。IIS Lockdown的用法很簡(jiǎn)單。雙擊啟動(dòng)iislockd.exe，出現(xiàn)Internet Information Services Lockdown向?qū)?，按照向?qū)У奶崾疽徊揭徊讲僮?，很快就可以為Web服務(wù)器加上一把鎖。
首先出現(xiàn)的是歡迎屏幕，點(diǎn)擊“下一步”出現(xiàn)最終用戶(hù)許可協(xié)議屏幕，選中I Agree選項(xiàng)，點(diǎn)擊“下一步”進(jìn)入服務(wù)器模板選擇對(duì)話框.選擇一個(gè)最接近當(dāng)前服務(wù)器配置的模板，本文假定使用Static Web Server（靜態(tài)Web服務(wù)器）模板。
選中View Template Settings選項(xiàng)，向?qū)@示出一系列有關(guān)該模板類(lèi)型的對(duì)話框，如果不選中這個(gè)選項(xiàng)，向?qū)⑻^(guò)這些對(duì)話框，直接進(jìn)入U(xiǎn)RLScan安裝過(guò)程。
點(diǎn)擊“下一步”，出現(xiàn)Internet Services對(duì)話框，這是***個(gè)真正配置IIS加鎖選項(xiàng)的頁(yè)面。IIS Lockdown能夠禁用或刪除四種IIS服務(wù)：HTTP，F(xiàn)TP，SMTP，以及NNTP（Network News Transport Protocol，網(wǎng)絡(luò)新聞傳輸協(xié)議）。
怎樣才能知道哪些服務(wù)才是必需的呢？除了前面選擇的服務(wù)器模板類(lèi)型可資參考之外，個(gè)人經(jīng)驗(yàn)、全面地測(cè)試也同樣重要。
Internet Services對(duì)話框中的IIS服務(wù)選項(xiàng)有三種狀態(tài)：
㈠ 啟用：選項(xiàng)處于選中狀態(tài)，檢查框有標(biāo)記，例如剛才的Web services。清除檢查框的標(biāo)記將禁用服務(wù)。
㈡ 啟用，但推薦禁用，例如圖二的E-mail service：選項(xiàng)沒(méi)有選中，檢查框沒(méi)有標(biāo)記。如果保留檢查框的清除狀態(tài)，服務(wù)將被禁用。
㈢ 禁用，且不可選擇，例如圖二的File Transfer service：如果一個(gè)選項(xiàng)變灰，它的檢查框也沒(méi)有選中標(biāo)記，則表示不允許修改該服務(wù)，可能是因?yàn)榉?wù)沒(méi)有安裝，也可能是因?yàn)楫?dāng)前選擇的服務(wù)器模板需要該服務(wù)。
如果服務(wù)器的用途不是經(jīng)常改變，***徹底刪除不用的服務(wù)，這樣就再也沒(méi)有人會(huì)意外地激活它了。
點(diǎn)擊“下一步”，向?qū)э@示出Script Maps（腳本映射）對(duì)話框。腳本映射是指把特定的文件擴(kuò)展名關(guān)聯(lián)到ISAPI（Internet Server API）執(zhí)行文件，由指定的ISAPI文件來(lái)解釋該類(lèi)文件的內(nèi)容。例如，.asp文件類(lèi)型映射到asp.dll。
如果禁用了某種類(lèi)型的腳本文件，IIS Lockdown會(huì)把腳本映射指向一個(gè)特殊的DLL，當(dāng)用戶(hù)試圖運(yùn)行該類(lèi)腳本文件時(shí)這個(gè)DLL會(huì)返回“文件沒(méi)有找到”的信息。要禁用某種類(lèi)型的文件，只需在剛才的對(duì)話框中清除該類(lèi)文件的檢查框。
點(diǎn)擊“下一步”，進(jìn)入***一個(gè)IIS Lockdown的選項(xiàng)對(duì)話框Additional Security，通過(guò)這個(gè)對(duì)話框可以刪除不需要的目錄，禁止未經(jīng)授權(quán)的用戶(hù)訪問(wèn)文件系統(tǒng)。
IIS安裝好之后會(huì)有許多用于開(kāi)發(fā)和學(xué)習(xí)的虛擬目錄，正式向用戶(hù)提供服務(wù)的環(huán)境不需要這些目錄，IIS Lockdown將刪除圖四對(duì)話框中選中的虛擬目錄，但仍會(huì)完好地保留這些目錄包含的數(shù)據(jù)。
【編輯推薦】
