实现Web服务器Web站点安全课件

1、实现Web服务器Web站点安全,概述,配置用户验证和授权 加密Web站点通信 减少Web服务器的受攻击面,Lesson 1:配置用户验证和授权,IIS 6.0身份验证方法 选择Web站点身份验证方法的考虑 使用NTFS许可实现Web站点授权 Web站点授权选择指南 练习：配置用户验证和授权,IIS 6.0身份验证方法,IIS 6.0支持以下身份验证方法: 匿名身份验证 基本身份验证 摘要身份验证 高级摘要身份验证 集成Windows验证 .NET Passport验证 证书验证,选择Web站点身份验证方法的考虑,基于以下因素选择Web站点验证方法: 用户基于组成 防火墙要求用户必须验证 安全要

2、求级别 通过防火墙或代理服务器访问数据的要求,使用NTFS许可实现Web站点授权,授权模式,服务器,Request,NTFS 许可,Web站点授权选择指南,使用NTFS许可来:,控制对Web站点文件和文件夹访问 控制对Web服务器物理文件夹访问 指定访问级别 设置文件夹属性级别的文件加密 支持基于活动目录和基于域的安全 提供在文件系统卷尺寸,练习：配置用户验证和授权,在本练习中，你将学到: 配置身份验 配置授权,Lesson 2:加密Web站点通信,什么是SSL? SSL要求 SSL 推荐和考虑 练习：Web站点通讯安全,什么是SSL(Secure Sockets Layer)?,服务器,为S

3、SL会话发送请求,发送带有公共密钥的证书,验证服务器证书， 使用服务器公共密钥创建会话，而且返回凭证,私有密钥,使用它的私有密钥解密会话key和建议一个安全会话,客户机,SSL 要求,客户机私有密钥,SSL 要求,服务器证书,CA,服务器 私有密钥,唯一IP地址,SSL 推荐和考虑,使用SSL加密Web站点通讯的一些要求包括： 使用SSL加密Web站点通讯的准则:,Web站点传输的安全 防止未授权的解码 确保安全和便利,设置高的加密强度 安装有效的服务器证书 只加密必须的文件夹 定期更新证书,练习：Web站点通讯安全,在本练习中，你将学习到: 安装和配置服务器证书 配置客户证书 启动SSL 生

4、成和安装测试服务器证书,Lesson 3:减少Web服务器的受攻击面,确定IIS 6.0 安全级别的准则 减少受攻击面最佳策略 练习：减少Web服务器的受攻击面,确定适当的Web服务器安全级别的准则有：,仅启用Windows Server 2003必须的服务 仅启用IIS 6.0必须服务和组件 仅启用必须的Web服务扩展 只添加必须的MIME类型,确定IIS 6.0 安全级别的准则,“最小 化原则”,减少你的Web服务器的攻击面最佳策略有:,隔离Web站点和应用程序 启用基本的Web服务扩展 设置NTFS许可,减少受攻击面最佳策略,练习：减少Web服务器的受攻击面,在本练习中，你将学习到: 配

5、置IP地址限制 启用必须的Web服务器扩展 添加必须的MIME类型,Result Checklist: Configured Basic Authentication for the Web Site. Created a Web server certificate for the Web site using SelfSSL. The Web site has been configured to use the server certificate generated using SelfSSL and that 128 bit encryption is required. Allow

6、ed exempt employees (ExemptEmployees group) access to the Web site and denied access to Non-Exempt Employees (NonExemptEmployees group). Allowed only managers (Manager group) to access the Reports folder. Enabled the ASP web service extension. For the Web site, added a MIME type with an extension eee with type textplain. Made sure that logging is enabled for the W