信息服務(wù)器IIS是BACKOFFICE系列產(chǎn)品中功能最強(qiáng)大、最流行的應(yīng)用程序，它與整個BACKOFFICE組件一樣，IIS也是圍繞WINDOWS NT體系而生成的。它作為WINDOWS NT SERVER提供的一組服務(wù)而運行，允許它利用WINDOWS NT的各項軟件功能。
　　
　　不過，確保你數(shù)據(jù)完整性仍是一個必須認(rèn)真對待的關(guān)鍵性安全問題。IIS憑借豐富而又強(qiáng)大的驗證、訪問控制和審核功能可以保證數(shù)據(jù)的完整性，因為它以WINDOWS NT SERVER作系統(tǒng)為基礎(chǔ)。此外，它還支持安全插接層SSL，它通過對IIS和支持SSL的所有瀏覽器之間的對話進(jìn)行加密來保證安全通信更加保密。
　　
　　黑客們知道大多數(shù)WEB和FTP網(wǎng)站都允許匿名訪問。這些網(wǎng)站常常錯誤配置，這樣就存在安全漏洞。下面介紹須采取哪些措施才能保證保證IIS使你的網(wǎng)絡(luò)和數(shù)據(jù)完全避免黑客入侵。
　　
　　一、利用現(xiàn)有的WINDOWS NT安全性能來保護(hù)IIS ISS通過WINDOWS NT安全模型提供安全性，也就說，安全帳戶管理器數(shù)據(jù)庫中定義的用戶帳戶和組將確定一旦用戶接入IIS機(jī)器，他們能進(jìn)行什么操作。你不僅要核查現(xiàn)有的帳戶權(quán)限和許可權(quán)，并且要限制匿名訪問使用的帳戶權(quán)限和許可權(quán)，這非常重要。
　　
　　記錄IIS的所有服務(wù)程序都支持廣泛的記錄功能。記錄功能很重要，因為它能用來監(jiān)視可疑的活動，從而決定應(yīng)當(dāng)保留什么、應(yīng)當(dāng)取消什么，以便進(jìn)行容量規(guī)劃。
　　
　　啟動記錄功能很容易，每項服務(wù)的事件都共同記錄在同一個公用文件中。若要啟動記錄功能，請打開IIS MANEGER，雙擊你要啟動其記錄功能的服務(wù)器，顯示PROPERTIES對話框。接著單擊LOGGING標(biāo)簽，將彈出一個對話框。該標(biāo)簽的用法相當(dāng)直接，你只須單擊ENABLE LOGGING選項，然后你選擇是記錄到一個文本文件，還是記錄到SQL數(shù)據(jù)庫，并確定日志文件多長時間更新一次。
　　
　　提示當(dāng)你第一次安裝服務(wù)器時，要設(shè)置為DAILY LOGGING（日志），這樣你可以每天看到結(jié)果。過一段時間后，你再選擇最合適的記錄方式。
　　
　　ADVANCED選項通過單擊SERVICE PROPERTIED對話框的ADVANCED標(biāo)簽，IIS還支持簡單過濾功能。你可使用ADVANCED OPTIONS標(biāo)簽來限制或允許某些IP地址對WEB服務(wù)器的訪問。在彈出的ADVANCED標(biāo)簽中，激活By default all computer will be granted access(缺省時，所有計算機(jī)將獲得訪問權(quán)）你可以使用ADD鈕將應(yīng)當(dāng)拒絕訪問的某些特定的IP地址范圍輸入進(jìn)來。
　　
　　或者，如果你想強(qiáng)制執(zhí)行嚴(yán)格的安全保護(hù)，你可以選擇By Default all computer will be den access（缺省時，所有的計算機(jī)將被拒絕訪問），然后根據(jù)應(yīng)當(dāng)能訪問這臺機(jī)器的IP地址確定主機(jī)表。這是一個功能強(qiáng)大而且價值較高的工具，有助于確保你網(wǎng)站的安全，所以不應(yīng)忽視。
　　
　　二、IIS Advanced安全性能與Exchange Server一樣，Internet信息服務(wù)器提供Advanced安全性能，使你通信絕對安全。它們由SSL（安全插接層）2.0版和3.0版以及PCT（保密通信技術(shù)）1.0組成。SSL可對TCP/IP通信進(jìn)行數(shù)據(jù)加密、服務(wù)器驗證和郵件集成功能。
　　
　　安全插接層安全插接層（SSL）是一個由Netscape通信公司開發(fā)的協(xié)議，并提交環(huán)球網(wǎng)聯(lián)盟（W3C）作為保證Internet通信安全的標(biāo)準(zhǔn)。當(dāng)支持SSL的一臺客戶機(jī)（Internet Explorer2.0和3.x和Netscape 3.x）與支持SSL的服務(wù)器連接時，在TCP/IP連接時就出現(xiàn)“信號交換的交接關(guān)系”來進(jìn)行驗證，以確定在通信中將實施哪一級安全保護(hù)。
　　
　　在建立連接后，SSL接著對流經(jīng)使用中的應(yīng)用協(xié)議的數(shù)據(jù)進(jìn)行加密和解密。所有請示和響應(yīng)信息都應(yīng)該加密，其中包括客戶機(jī)下在請示的統(tǒng)一資源定位符（URL）、其它形式的數(shù)據(jù)（如你的地址或食用卡號碼）、任何驗證信息（用戶名和口令）以及所有由服務(wù)器返回到客戶機(jī)的數(shù)據(jù)。
　　
　　SSL是位于應(yīng)用協(xié)議（如HTTP）之下，SMTP位于連接協(xié)議TCP/IP之上。MICROSOFT INTERNET信息服務(wù)器支持超文本傳輸協(xié)議保密（HTTPS）訪問方式。盡管SSL能提供實際不可破譯的加密功能，但SSL加密傳輸?shù)乃俣纫陀诜羌用軅鬏敗Ｒ虼耍瑸榱朔乐鼓阏麄€WEB網(wǎng)站的性能下降，你可以考慮只把SSL作為虛擬的文件夾用來處理高度機(jī)密信息，如提交的包含信用卡信息的表格。
　　
　　你可以在你WEB網(wǎng)站的根目錄（InetPubWwwroot是缺省值）或在一個或多個虛擬文件夾中啟動SSL安全功能。一旦SSL配置好和啟動后，只有支持SSL的客戶機(jī)能與支持SSL的WWW公文夾進(jìn)行通信交流。
　　
　　在WEB服務(wù)器上啟動SSL安全性能，需要進(jìn)行以下幾步工作：
　　
　　1、使用密鑰管理器來生成一個密鑰對文件和一個請求文件。
　　2、從一個認(rèn)證機(jī)構(gòu)獲得一個證書。 　　
　　3、在你的服務(wù)器上安裝新獲得的證書。 　　
　　4、激活WEB服務(wù)文件夾中的SSL安全功能。 　　
　　對于保密和公用內(nèi)容，微軟公司建議你使用公開的目錄。比如，c:InetPubWwwrootSecure和C:InetPubWwwrootPublic。
　　
　　應(yīng)注意以下幾點：
　　
　　（1）為IIS生成一個密鑰對時，在任何域中不要使用逗號，原因是逗號被解釋為字段的結(jié)尾。它們會在沒有警告的情況下產(chǎn)生無效請求。 　　
　　（2）如果你擁有多臺具有IIS的虛擬服務(wù)器功能的WEB服務(wù)器在安裝你的證書時，要確定具體服務(wù)器的IP地址，否則系統(tǒng)創(chuàng)建的所有虛擬服務(wù)都適用同一個證書。 　　
　　（3）如果你啟動SSL，任何指向支持SSL的WWW文件夾中文檔的URL必須使用http://，而不是在URL中的http://。使用在URL中的http://的任何鏈路不支持安全文件夾。 　　
　　IIS的一般性安全提示你使用IIS隨意向INTERNET發(fā)布信息時，要確保網(wǎng)絡(luò)安全性。除了我們以前講座過后IIS功能外，你還要做到以下各點：　　
　　（1）為系統(tǒng)分區(qū)和各項IIS服務(wù)程序生成分開的區(qū)，這樣黑客無法輕易地從某項服務(wù)程序的某個漏洞對整個機(jī)器訪問。 　　
　　（2）對機(jī)器的所有分區(qū)使用NTFS，要保證用戶權(quán)限設(shè)置正確。 　　
　　（3）將IIS服務(wù)器放置于其自己的域中，并與你的帳戶建立一種單向委托關(guān)系。如果黑客能得到某個有效帳戶的信息，那個帳戶也無法對你的用戶域進(jìn)行訪問。 　　
　　（4）為各項INTERNET服務(wù)使用單獨帳戶（如果你計劃運行的不止是WEB服務(wù)器的話），這使得跟蹤用戶的活動相當(dāng)容易。 　　
　　（5）核查，然后再三核查為指定進(jìn)行匿名訪問的帳戶分配的權(quán)限和許可權(quán)。需要給用戶分配最小的許可權(quán)，通常這是讀許可權(quán)。 　　
　　（6）只在你IIS機(jī)器上存儲非機(jī)密信息，并將信息放置在防火墻。這樣，如果信息安全性遭到破壞，黑客仍必須穿越防火墻。 　　
　　（7）在服務(wù)器上使用WINDOWS NT SERVER的TCP/IP過濾功能，只允許連接到你需要支持IIS服務(wù)的端口。比如，如果你只想運行WEB服務(wù)器只須啟動端口80。 　　
　　（8）如果用戶利用非匿名帳戶對服務(wù)器進(jìn)行訪問，務(wù)必通過加密口令進(jìn)行驗證。