IIS系统安全加固规范

格式：doc
大小：543.50 KB
文档页数：19

IIS系统安全基线规范

2022年4月目录

1 账号管理、认证授权 .................................................................................................. 1

1.1.1 ELK-IIS-01-01-01 ............................................................................................. 1

1.1.2 ELK-IIS-01-01-02 ............................................................................................. 2

1.1.3 ELK-IIS-01-01-03 ............................................................................................. 2

1.1.4 ELK-IIS-01-01-04 ............................................................................................. 4

2 日志配置 ...................................................................................................................... 5

2.1.1 ELK-IIS-02-01-01 ............................................................................................. 5

2.1.2 ELK-IIS-02-01-02 ............................................................................................. 6

2.1.3 ELK-IIS-02-01-03 ............................................................................................. 7

3 通信协议 ...................................................................................................................... 8

3.1.1 ELK-IIS-03-01-01 ............................................................................................. 8

4 设备其他安全要求 .................................................................................................... 10

4.1.1 ELK-IIS-04-01-01 ........................................................................................... 10

4.1.2 ELK-IIS-04-01-02 ........................................................................................... 13

4.1.3 ELK-IIS-04-01-03 ........................................................................................... 14

4.1.4 ELK-IIS-04-01-04 ........................................................................................... 14

4.1.5 ELK-IIS-04-01-05 ........................................................................................... 15 本文档是Windows 操作系统的对于IIS服务IIS应用服务在安全等方面的安全配置要求，对系统的安全配置审计、加固操作起到指导性作用。

1 账号管理、认证授权

1.1.1 ELK-IIS-01-01-01

编号 ELK-IIS-01-01-01

名称为不同的网站分配不同的账号权限

实施目的根据不同类型用途设置不同的帐户账号，提高系统，网站程序安全性。

问题影响账号混淆，权限不明确，存在越权使用的可能。

系统当前状态 1、启动ISM（Internet Server Manager）；

2、启动WWW服务属性页；

实施步骤 Cmd下创建一个账号Users用户组的账号，然后网站属性，目录安全性，身份验证和访问权限，编辑，把刚才创建的账号加到匿名访问那里。

回退方案删除新增加的帐户

判断依据标记用户用途，定期建立用户列表，比较是否有非法用户

实施风险低

重要等级 ★★★

备注 1.1.2 ELK-IIS-01-01-02

编号 ELK-IIS-01-01-02

名称登陆认证的安全性

实施目的取消Web的匿名服务

问题影响 Web服务器带来安全性问题。

系统当前状态 1、启动ISM（Internet Server Manager）；

2、启动WWW服务属性页；

3、取消其匿名访问服务。

实施步骤安装IIS后产生的匿名用户IUSR_Computername（密码随机产生），其匿名访问给Web服务器带来潜在的安全性问题，应对其权限加以控制。如无匿名访问需要，可取消Web的匿名服务。具体方法：

①启动ISM（Internet Server Manager）；

②启动WWW服务属性页；

③取消其匿名访问服务。

回退方案恢复匿名访问

判断依据查看服务看是否取消了

实施风险低

重要等级 ★

备注

1.1.3 ELK-IIS-01-01-03

编号 ELK-IIS-01-01-03

名称 IP地址的控制实施目的阻止非法IP访问

问题影响 Web服务器带来安全性问题。

系统当前状态查看Internet 信息服务(IIS)管理器配置是否与原来相同

实施步骤 1、参考配置操作

开始->管理工具->Internet 信息服务(IIS)管理器选择相应的站点，然后右键点击“属性”

回退方案取消IP访问控制

判断依据 1、判定条件

需要限制访问源的话进行ip范围限制。

2、检测操作

开始->管理工具->Internet 信息服务(IIS)管理器选择相应的站点，然后右键点击“属性”。检查是否进行了ip的限制。

实施风险低重要等级 ★

备注

1.1.4 ELK-IIS-01-01-04

编号 ELK-IIS-01-01-04

名称密码复杂度

实施目的防止非法访问。

问题影响非法访问攻击。

系统当前状态查看密码必须符合复杂性要求是否与原来配置相同。

实施步骤 1、参考配置操作

进入“控制面板->管理工具->本地安全策略”，在“帐户策略->密码策略”：“密码必须符合复杂性要求”选择“已启动”

回退方案恢复到原来默认的状态。

判断依据 1、判定条件

“密码必须符合复杂性要求”选择“已启动”

2、检测操作

进入“控制面板->管理工具->本地安全策略”，在“帐户策略->密码策略”：查看是否“密码必须符合复杂性要求”选择“已启动”

实施风险中

重要等级 ★

备注

2 日志配置

2.1.1 ELK-IIS-02-01-01

编号 ELK-IIS-02-01-01

名称调整IIS日志

实施目的默认的日志不会为我们搜索黑客记录提供很大的帮助，所以我们必须扩展W3C日志记录格式

问题影响给Web服务器带来安全性问题。

系统当前状态 1、启动ISM（Internet Server Manager）；

2、启动WWW服务属性页；

实施步骤 1、右检查是否启用了日志记录，右键单击所述站点，然后从上菜单中选择启用“属性→Web 站点→启用日志记录”复选框。

2、开始->管理工具->Internet 信息服务(IIS)管理器选择相应的站点，然后右键点击“属性”。

IIS安装后的默认主目录是“%system%Inetpubwwwroot”，为更好地抵抗踩点、刺探等攻击行为，应该更改主目录位置，如下图所示：

回退方案恢复IIS日志路径到C:\WINDOWS\system32\LogFiles目录。

判断依据是否启用了W3C日志记录，和日志路径是否更改。

实施风险高

重要等级 ★

备注

2.1.2 ELK-IIS-02-01-02

编号 ELK-IIS-02-01-02

名称 IIS记录安全事件安全基线要求项

实施目的设备应配置日志功能，记录与设备相关的安全事件。

问题影响非法访问攻击。

系统当前状态查看本地策略是否与原来相同。

linux系统安全加固规范

第 1 页共 13 页

Linux主机操作系统加固规范

第 2 页共 13 页目录

第1章概述 .......................................................................................................................................... 3

1.1 目的 .............................................................................................................. 错误!未定义书签。

1.2 适用范围 ....................................................................................................... 错误!未定义书签。

1.3 适用版本 ....................................................................................................... 错误!未定义书签。

1.4 实施 .............................................................................................................. 错误!未定义书签。

1.5 例外条款 ....................................................................................................... 错误!未定义书签。

常见Web漏洞描述及加固建议

序号漏洞名称危险

等级漏洞描述、漏洞地址及解决方案

1 跨站脚本漏洞高漏洞描述：跨站脚本攻击是指应用程序没有对用户的输入，以

及页面的输出进行严格地过滤，从而使恶意攻击者能往Web页

面里插入恶意代码，当用户浏览该页面时，嵌入其中Web里面

的恶意代码会被执行，从而达到恶意攻击者的特殊目的。

漏洞地址：

解决方案：

[1] 对用户输入的数据进行严格过滤，包括但不限于以下字符

及字符串

Javascript script src img onerror { } ( ) < > = , . ; :

" ' # ! / * \

[2] 根据页面的输出背景环境，对输出进行编码

[3] 使用一个统一的规则和库做输出编码

[4] 对于富文本框，使用白名单控制输入，而不是黑名单

[5] 在Cookie 上设置HTTPOnly 标志，从而禁止客户端脚本

访问Cookie

2 SQL注入漏洞高漏洞描述：当应用程序使用输入内容来构造动态SQL语句以访

问数据库时，如果对输入的参数没有进行严格的过滤或者过滤

不完整将会导致SQL注入攻击的产生。

恶意用户通过构造特殊的SQL查询语句把SQL命令插入到Web

表单递交或输入域名或页面请求的查询字符串，最终达到欺骗

服务器执行恶意的SQL命令。从而可以获取到数据库的相关信

息，包括数据库账号密码信息，甚至可上传木马，从而控制服

务器。

漏洞地址：

解决方案：

[1] 对用户的输入进行严格过滤，包括所有的参数，URL和

HTTP头部等所有需要传给数据库的数据。

包括但不限于以下字符及字符串

select and or like regxp from where update exec order by

having drop delete ( ) [ ] < > , . ; : ' " # % + - _ =

/ * @

[2] 预编译SQL语句，而不要动态组装SQL语句，否则必须确

保在使用输入的数据组装成SQL语句之前，对特殊字符进行预

中国移动WEB服务器安全配置手册

文档编号：

项目代号：

中国移动WEB服务器

安全配置手册

Version 1.0

中国移动通信有限公司

二零零四年十二月

拟制:

审核:

批准:

会签:

标准化:

版本操纵

版本号日期参与人员更新讲明

分发操纵

编号读者文档权限与文档的要紧关系

1 创建、修改、读取负责编制、修改、审核

2 批准负责本文档的批准程序

3 标准化审核作为本项目的标准化负责人，负责对本文档进行标准化审核

4 读取

5 读取

名目

第1章. 目的 6

第2章. 范畴 6

第3章. Web服务安全加固原则 6

3.1. Web主机平台安全设置 6

3.1.1. 主机安全标准加固规范 6

3.1.2. 用户权限设置 6

3.1.3. 事件日志设置 7

3.1.4. 关闭非必要的服务和程序 7

3.2. Web服务安全设置 7

3.2.1. Web系统资源爱护 7

3.2.2. Web服务权限设置 7

3.2.3. Web服务访咨询操纵 7

3.2.5. 日志设置 8

3.2.6. 去除不必要的服务脚本 8

第4章. IIS Web服务安全配置建议 9

4.1. 审核策略设置 9

4.2. 用户权限分配 9

4.2.1. 拒绝通过网络访咨询该运算机 9

4.3. 安全选项 10

4.4. 事件日志设置 10

4.5. 系统服务 10

4.5.1. HTTP SSL 10

4.5.2. IIS Admin 服务 11

4.5.3. 万维网公布服务 11

4.6. 其它安全设置 12

4.6.1. 仅安装必要的 IIS 组件 12

4.6.2. 仅启用必要的 Web 服务扩展 12

4.6.3. 在专用磁盘卷中放置内容 13 4.6.4. 设置 NTFS 权限 14

4.6.5. 设置 IIS Web 站点权限 15

4.6.6. 配置 IIS 日志 16

网站安全加固

网站的安全加固和防护，是一项复杂性、多方面的系统工程。现如今网络安全风险的增加，使得上至国家部门机关，小到个人博客，都有可能遭受网络安全问题。

根据相关统计显示，超过8成的网站攻击，是通过海外服务器发起的。那么面对严峻的网络安全环境，网站的安全防护，需要注意哪些问题？有什么方法可以加固网站的防护？

青云团队专注网站安全加固，网站安全问题轻松解决。以下几点是青云团队的对网站安全加固的经验

一、网站的防护，需要注意哪些问题？导致网站安全措施不足的原因有哪些？

1、随着网络技术和通信技术的迅猛发展，黑客攻击的技术也在愈加精进，令很多普通的网站防不胜防。保护Web服务器的安全，可以选择安装一款好用的web应用防火墙，设定专门的防护策略，保护应用层免受攻击，减少漏洞和威胁。;

2、很多网站为了追求更多的交互效果，满足用户体验，因此网站程序变得相对复杂。越复杂的程序，往往存在的漏洞越多。网站设计开发者、维护人员如果不考虑代码的安全性，就会增加网站受攻击的概率。

3、大部分的游戏服务器，前期没有做好预备带宽。而DDoS使用“UDP报文、TCP报文”的方式攻击游戏服务器，致使服务器的带宽变窄，结果就是服务器拥堵，玩家访问不了服务器。

4、大部分网站对流量攻击是无法防御的，黑客通过TCP协议的漏洞，操控海量的“肉鸡”（傀儡计算机）向服务器发起TCP报文请求，如果你的服务器只能接收每秒2000个左右的TCP报文请求，却突然遭遇20万个TCP报文请求，致使服务器的TCP队列占满，CPU使用率升高、内存过载，结果导致服务器宕机。

5、除了以上几种，更多的攻击是“数据库信息泄漏、域名泛解析、301跳转”等非常具有针对性的攻击。目前，网站除了做好基础的安全防护，选择将网站迁移或放置到云计算服务商具有高防御能力的高防服务器上，是一个不错的选择。

二、6种可以加固网站安全防护的方法

网站的安全防护，除了选择“高防服务器”，还有以下6种方法可以加固网站的安全防护：

下载提示

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

IIS系统安全加固规范

合集下载

linux系统安全加固规范

常见Web漏洞描述及加固建议

中国移动WEB服务器安全配置手册

网站安全加固

文档推荐

最新文档