【IT168专稿】IIS作为网站服务器的主心骨，是比较脆弱的，因此，我们要想保障IIS安全，必须要制定一些安全策略，让IIS始终处在安全策略的保护之下。在这里抛开人为的管理策略不谈，只从技术的角度，通过制订IP安全策略、安全审核策略来保护IIS。

　　一、IP安全策略
　　IPSec 策略（IP Security）即IP安全机制是抵御内部、专用网络及外部安全攻击的关键防线。IPSec 使用加密的安全服务来提供数据完整性、数据身份验证、数据机密性和 TCP/IP 通讯重放等多种级别的保护。
　　在网络上传输数据的时候，通过创建IP安全策略，利用点到点的安全模型，能够安全有效地把源计算机的数据传输到目标计算机。那么，我们如何来创建IP安全策略呢？这里就以Windows 2003为蓝本来说明。运行Gpedit.mscC，打开“组策略”对话窗口，依次展开“计算机配置”——“Windows 设置”——“安全设置”——“IP 安全策略，在本地计算机”，在其右侧窗口中就呆系统内置的三条安全策略：安全服务器(要求安全设置)、客户端(只响应)、服务器(请求安全设置)。利用IP安全策略只允许访问80端口，就可以保障Web服务的绝对安全，请跟我来……
　　在其右侧窗口中右击鼠标，在弹出的快捷菜单中选择“创建IP安全策略”（如图1），打开“IP安全策略向导”对话框，单击“下一步”，然后输入策略名称（比如：WWW）和策略描述。单击“下一步”，不勾选“激活默认响应规则”复选项，单击“下一步”，再点击“完成”就完成IP安全策略的创建工作。

图1

　　接下来在此安全策略中创建两条IP安全规则：“deny all”和“allow tcp 80”，在弹出的“WWW 属性”对话框“规则”选项页中不勾选“使用“添加向导””复选项，然后点击“添加”来创建新规则。先得创建一个筛选器，在“IP筛选器列表”选项页中点击“添加”，给筛选器取个名称（deny all），如图2所示，再点击“添加”打开“筛选器 属性”对话框，在“寻址”选项页中的“源地址”中选择“任何IP地址”，“目标地址”指定为“我的IP地址”（如图3）。

图2 图3

　　接下来切换到“协议”选项页，在“选项协议类型”中选择“任意”，依次点击“完成”返回“新规则 属性”对话窗口，在“IP筛选器列表”选定“deny all”，再在“筛选器操作”选项页添加一个过滤操作，将“安全措施”设置为“阻止”（如图4），并选定它。返回到“WWW 属性”对话框，勾选“deny all”复选项，此安全规则的作用就是是禁止任何计算机访问本机。

图4

　　我们还得为访问者开放80端口，用同样的方法建议“allow tcp 80”，将其筛选器属性设置为从“所有IP地址”到“我的IP地址”，协议为“TCP”，设置IP协议端口从任意端口到80端口（如图5），将该筛选器的“安全设置”指定为“许可”，该IP安全规则的功能就是允许网络中的计算机访问本机的WWW服务。

图5

     设置好IP安全规则后，在“WWW 属性”对话框的“IP安全规则”列表中一起勾选“deny all”和“allow tcp 80”，点击“关闭”返回。最后要做的是指派该策略，只有指派后，它才起作用。右击刚刚配置好的策略，在弹出的快捷菜单中选择“指派”命令启用策略。这样，任何计算机只能用访问TCP的80端口，而Ping包、UDP等均不响应。

　　二、安全审核策略
　　Windows 2000/XP/2003的安全审核可以审核多个对象与事件，比如，可以使用审核跟踪用于访问文件或其他对象的用户账户、登录尝试、系统关闭或重新启动以及类似的事件，而审核文件和NTFS分区下的文件夹可以保证文件和文件夹的安全。
　　安全审核策略在默认情况下是没有启用的，因此，首先必须要开户审核功能。这里以Windows 2003为蓝本来说明，打开“控制面板”，双击进入“管理工具”，运行“本地安全策略”，打开“本地安全设置”对话窗口。在左边的窗格中依次展开“安全设置”——“本地策略”——“审核策略”，系统提供了九类可以审核的事件（如图6），对于每一类都可以指明是审核成功事件、失败事件，还是两者都审核。

图6

　　如要审核对特定文件、文件夹和打印机的成功访问，在其右侧窗格中双击“审核对象访问”策略，弹出其属性设置对话框，选中“成功”复选框；如果同时还要审核对这些对象的失败访问，请勾选“失败”复选框，点击“确定”返回（如图7），最后重新启动计算机即可生效。

图7

　　小提示：必须是管理员组成员或者被授权有“管理审核和安全日志”权限的用户可以审核文件或文件夹。
    打开审核后，当有人尝试对你的系统进行某些方式（如尝试用户密码，改变账户策略，未经许可的文件访问等等）入侵的时候，都会被安全审核记录下来，存放在“事件查看器”中的安全日志中。
　　另外在“本地安全策略”中还可开启账户策略，如在账户锁定策略中设定，账户锁定阀值为三次（那么当三次无效登录将锁定），然后将账户锁定时间设定为30分钟，甚至更长。这样，黑客想要攻击你，一天24小时试密码也试不了几次，而且还要冒着被记录追踪的危险。
　　这里就以审核文件、文件夹和打印机来作一个介绍，先找到要审核的文件、文件夹或者打印机，然后打开其“属性”对话框，接着点击切换到“安全”选项页，单击其下部的“高级”按钮，打开该对象的高级安全设置对话框，进入“审核”选项页，这里就可以设置审核项目了（如图8）。

图8

　　如果要对一个新组或用户设置审核, 单击“添加”按钮，打开“选择用户或组”对话框，在“输入要选择的对象名称”框中，键入要审核其访问的用户或用户组的名称（小提示：可以通过单击高级，然后在“选择用户和组”对话框中单击立即查找，以浏览到计算机中的这些名称），点击“确定”，打开其审核项目对话框。在“访问”列表选择要审核的项目，如果要审核所有的项目，请选中“完全控制”后面的“成功”和“失败”复选项。接下来就是要设置审核应用的范围，在“应用到”下拉列表中的七个范围中根据自己的需要选择即可，一般选择“该文件夹，子文件夹及文件”，如图9所示，然后点击“确定”完成添加并返回。

图9

　　小提示：如果在“审核项目”对话框中的“访问”之下的复选框变灰，或在“访问控制设置”对话框中“删除”按钮不可用，那么说明已经继承了来自父文件夹的审核。
    如果想要查看或更改原有的组或用户审核, 请在“审核项目”中选择用户名，然后单击“编辑”，单击“删除”即可除该审核项目。
　　当设置了审核后，审核所产生的结果都被记录到安全日志中，使用“事件查看器”可以查看安全日志的内容或是在日志中查找指定事件的详细信息。在“管理工具”中双击打开“事件查看器”，选择“安全性”，审核结果就出现在我们面前了（如图10）。从这些日志信息中，就可以清楚地了解哪位用户在何时进行什么操作，结果如何，反正做了什么都瞒不了你。

图10     为IIS服务器正确配置IP安全策略、安全审核策略，将会使你的服务器一直处于安全状态，避免遭受非法侵入，同时通过审核策略能够轻松了解监控对象的举动，真的非常方便！