Tìm hiểu IIS Sercurity

Báo cáo bài tập lớn
An Toàn Thông Tin
Đề tài:
Bảo mật máy chủ IIS - IIS Security
Giáo viên hướng dẫn: Nguyễn Văn Hoàng
Người thực hiện: Vũ Thị Mai Hoa
Nguyễn Thị Sen
Lớp: THC-K52 Bài tập lớn An Toàn Thông Tin
IIS Security

Phần I: Mở đầu

Phần II: Nội dung

Phần III: Kết luận Bài tập lớn An Toàn Thông Tin
Phần I: Mở đầu

I.1 Đặt vấn đề

I.2 Mục đích và yêu cầu

Tìm hiểu về IIS

Cài đặt IIS 6.0

Bảo mật IIS 6.0 với máy chủ windows server 2003 Bài tập lớn An Toàn Thông Tin
Phần II: Nội dung

II.1 Tìm hiểu về IIS

II.2 Bảo mật IIS trong windows server 2003 Bài tập lớn An Toàn Thông Tin
II.1 Tìm hiểu về IIS

II.1.1.Khái niệm về IIS:

IIS (Internet Information Services ), phát triển bởi Microsoft
để làm việc với Microsoft Windows. IIS thường đính kèm với
các phiên bản của Windows.

Cung cấp các dịch vụ dành cho máy chủ chạy trên nền hệ điều
hành Window nhằm cung cấp và phân tán các thông tin lên
Internet.
Web Server: sử dụng giao thức HTTP để tiếp nhận yêu cầu và
đáp ứng yêu cầu từ Web browser tới máy chủ server

FTP Server: dịch vụ chia sẻ file dữ liệu, cho phép người ở xa
có thể truy xuất database của máy chủ

SMTP: dịch vụ gửi thư trên Internet, SMTP truyền các thư từ
mail server của người gửi đến mail server của người nhận.

Dịch vụ truy cập thư trên Internet, sử dụng giao thức lấy thư
POP3 hoặc IMAP. Bài tập lớn An Toàn Thông Tin
II.2 Bảo mật IIS trong
Windows Server 2003

II.2.1 Bảo mật máy chủ IIS Server

II.2.2 Các thiết lập nâng cao tính bảo mật cho máy chủ IIS
server

II.2.3 Cấu hình các thành phần của IIS service đảm bảo tính
bảo mật cao nhất

II.2.4. Giới thiệu các phương pháp bảo mật kết hợp

II.2.5. Các chính sách bảo mật cụ thể
2.5 System services Bài tập lớn An Toàn Thông Tin
2.1 Audit Policy Settings

Nội dung: Đảm bảo toàn bộ thông tin của người dùng khi
login, logoff hệ thống sẽ đều được ghi lại. Và tất cả những dữ
liệu được người dùng truy cập cũng được lưu lại.

Cách cấu hình: “Audit log on và Audit Objects Access”.
Mở cửa sổ Group Policy Object Editor (Start -> Run, nhập
gpedit.msc, OK), vào Computer Configuration -> Windows
Settings -> Security Settings -> Local Policies –> chọn:
1. Audit logon events đặt chế độ success và fails
2. Audit Policy chọn Audit object access đặt chế độ success và
fails Bài tập lớn An Toàn Thông Tin
2.1 Audit Policy Settings Bài tập lớn An Toàn Thông Tin
2.1 Audit Policy Settings

Kiểm tra các thông tin login, logoff của mỗi user sau khi sử
dụng hệ thống như sau: click chuột phải vào My Computer->
manage ->System Tools -> Event Viewer ->security.


Bài tập lớn An Toàn Thông Tin
2.3 Thiết lập Security Option

Bạn cần phải phân tích các yêu cầu của doanh nghiệp từ đó
đưa ra những cấu hình tuỳ biến thích hợp nhất.

Cách cấu hình:
Mở cửa sổ Group Policy Object Editor (Start -> Run,
nhập gpedit.msc, OK), vào Computer Configuration ->
Windows Settings -> Security Settings -> Local Policies ->
Security Option Bài tập lớn An Toàn Thông Tin
2.4 Event Log Settings

Bạn phải thiết lập trên IIS Servers trong các cấu hình khác
nhau, quan trọng nhất của nó là bạn phải lưu lại toàn bộ các
sự kiện theo một thể thống nhất với các tham số bạn cần cấu
hình tuỳ vào yêu cầu, nhưng có hai yêu cầu cần ghi lại đó là
ghi lại quá trình đăng nhập hệ thống (kể cả lỗi hay không có
lỗi xảy ra trong quá trình đăng nhập) ghi lại những đối tượng
được truy cập (kể cả lỗi hay không có lỗi xảy ra trong quá
trình đăng nhập).

Thiết lập giống như thiết lập Audit policy Bài tập lớn An Toàn Thông Tin
2.5 System services

vào nó ảnh hưởng.

Thiết lập chỉ có Administrator mới có khả năng truy cập vào
service này đảm bảo người bình thường sẽ buộc phải thực hiện
giao dịch bảo mật, và không thể chỉnh sửa được. Service này
cần phải được thiết lập ở chế độ Automatic. Bài tập lớn An Toàn Thông Tin
5.2 IIS Admin Service

IIS Admin Service cho phép quản trị các thành phần trong IIS
như FTP, Application Pools, Web Sites, Web Service
Extensions và cả NNTP và SMTP.

IIS Admin Service cần phải hoạt động để cung cấp Web, FTP,
NNTP và SMTP. Nếu service này bị disable, IIS sẽ không thể
cấu hình , tất cả những yêu cầu cho tới dịch vụ Web đều bị
ngưng chệ.

Thiết lập chỉ có Administrator mới có khả năng điều khiển
service này và cấu hình service này đều để ở chế độ Automatic.