iis網(wǎng)站的安全性管理(編輯修改稿)
2025-03-30 21:41 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 994年 scape，架構(gòu)在 TCP 之上的安全性通訊協(xié)定 ? SSL為目前最廣泛應(yīng)用的網(wǎng)頁(yè)傳輸安全性協(xié)定，即HTTP+SSL=HTTPS ? SSL支援的安全性服務(wù)： – 驗(yàn)證 (Authentication) ：使用 RSA、 DSS和 等公開金鑰加密技術(shù) – 傳輸?shù)臋C(jī)密性 (Confidentiality)：使用 IDEA、 3DES、RC4 對(duì)稱性加密技術(shù) – 完整性 (Integrity)：使用 MD SHA等雜湊為基礎(chǔ)的訊息確認(rèn)碼 (MAC) ? 網(wǎng)站啟用 SSL 並無(wú)法提供「不可否認(rèn)性」證明 22 SSL 握手協(xié)定流程 用戶端 伺服端 第一階段：建立安全機(jī)制 包括協(xié)定版本、會(huì)談識(shí)別碼、加密套件 (包括金鑰交換或產(chǎn)生方法 )、壓縮方法，起始亂數(shù) 第二階段：伺服器確認(rèn)和金鑰交換 伺服器送出憑證、金鑰交換訊息或 RSA公開金鑰、請(qǐng)求憑證訊息，最後伺服器送出“ hello message”的結(jié)束訊息 第三階段：用戶端認(rèn)證和金鑰交換 用戶端可能被要求送出憑證，用戶送出金鑰交換或產(chǎn)生之前置之主金鑰 (以伺服器之 RSA公開金鑰加密 )，用戶可能送出憑證驗(yàn)證 第四階段：完成 雙方產(chǎn)生主金鑰，變更加密套件，完成握手協(xié)定 23 SSL實(shí)作步驟 1. IIS管理員向憑證管理中心請(qǐng)求 SSL伺服憑證 ? 利用「網(wǎng)頁(yè)伺服器憑證精靈」建立網(wǎng)站使用的憑證請(qǐng)求檔 ? 利用產(chǎn)生出來(lái)的憑證請(qǐng)求檔向 CA申請(qǐng)下載憑證 ? 將申請(qǐng)下來(lái)的憑證安裝在 IIS網(wǎng)站 2. 在需要安全通訊的網(wǎng)站 、 虛擬或真實(shí)目錄或個(gè)別網(wǎng)頁(yè)檔上啟動(dòng)「使用安全通道 (SSL)」 ? 大部份的情況均會(huì)以目錄為啟動(dòng) SSL的對(duì)象 ? 考慮是否啟用 128位元加密連線 3. 用戶端必需利用 協(xié)定存取網(wǎng)頁(yè) 24 ※ 使用 SSL會(huì)影響到效率，故通常建議只有必要的目錄才設(shè)定啟用 SSL 25 用戶端使用 SSL 連線 HTTP HTTPS SSL 憑證 26 備份 SSL憑證與金鑰 ? 管理員必需備份 SSL憑證與金鑰 – 使用伺服器憑證精靈程式 – 使用「憑證」工具 27 用戶端憑證 ? 利用憑證取代傳統(tǒng)的密碼系統(tǒng)來(lái)進(jìn)行驗(yàn)證 ? 一種高度安全性的網(wǎng)頁(yè)驗(yàn)證方法 ? 適用在需要高度安全性需求的商業(yè)網(wǎng)站 ? 使用者需要申請(qǐng)用戶端憑證 28 使用用戶端憑證 用戶端憑證 對(duì)應(yīng)位置 對(duì)應(yīng)方法 Active Directory IIS 一對(duì)一 (1to1) 多對(duì)一 (manyto1) 29 IIS 對(duì)應(yīng) 取消「啟用 Windows 目錄服務(wù)對(duì)應(yīng)程式」 編輯 IIS對(duì)應(yīng) 30 IIS 對(duì)應(yīng) (1to1) 31 網(wǎng)站應(yīng)用程式安全性管理 ? 只啟用必要的網(wǎng)頁(yè)類型、技術(shù)與功能 ? 移除不必要的應(yīng)用程式對(duì)應(yīng) ? 選擇工作者處理序隔離模式 ? 程式員定期接受資安教育，撰寫安全程式碼 32 管理 IIS MIME類型清單 ? 原則 ：關(guān)閉不使用的檔案類型、應(yīng)用程式功能與技術(shù) – 可被攻擊的層面就越小、提升攻擊困難度 ? IIS 6只接受副檔名有登錄在 MIME類型清單的檔案 ? 移除不使用的檔案類型 ? 管理 MIME類型清單 – 伺服器層級(jí) – 網(wǎng)站層級(jí) – 目錄層級(jí) 建議 ： 取消伺服器層級(jí)的所有MIME 類型，只於網(wǎng)站 /目錄層級(jí)加入必要的 MIME類型 33 移除不必要的應(yīng)用程式對(duì)應(yīng) 如果不使用請(qǐng)移除對(duì)應(yīng) 對(duì)應(yīng)的副檔名 重設(shè)網(wǎng)頁(yè)密碼 .htr Inter Database Connector .idc Serverside Includes .stm, .shtm, and .shtml Inter Printing .printer Index Server .htw, .ida and .idq 34 網(wǎng)頁(yè)服務(wù)延伸 (Web Service Extensions) ? IIS 6利用網(wǎng)頁(yè)服務(wù)延伸支援動(dòng)態(tài)網(wǎng)頁(yè)內(nèi)容 ? 只允許已使用的網(wǎng)頁(yè)服務(wù)延伸 ?不要啟用『所有未知的CGI擴(kuò)充程式』與『所有未知的 ISAPI
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1