问题

IIS（Internet Information Services，Internet 信息服务）是黑客们喜欢攻击的对象。因此，对那些管理 IIS Web 服务器的来说，锁定IIS是非常关键的。IIS 4.0 和IIS 5.0 的默认设置存在很多漏洞。

解决方案

通过下面 10 步来保护 IIS：

1.       为IIS 应用程序和数据专门安装一个NTFS 设备。如果有可能，不要允许IUSER（或其它任何匿名用户名）去访问任何其它设备。如果应用程序因为匿名用户无法访问其它设备上的程序而出了问题，马上使用Sysinternals 的FileMon检测出哪个文件无法访问，并吧这个程序转移到IIS 设备上。如果无法做到这些，就允许IUSER 访问且只能访问这个文件。

2.       在设备上设置NTFS 权限：
Developers = Full（所有权限）
IUSER = Read and execute only（读和执行权限）
System and admin = Full（所有权限）

3.       使用一个软件防火墙，确认没有终端用户能够访问 IIS 计算机上的除了 80 端口之外的其它端口。

4.       使用Microsoft 工具锁定计算机：IIS Lockdown和UrlScan.

5.       启用IIS 事件日志。除了使用IIS 事件日志之外，如果有可能的话，尽量也对防火墙启用事件日志。

6.       把日志文件从默认的存储位置移走，并保证对它们的备份。为日志文件建立一个重复的拷贝，以确保这个放在第二位置的拷贝是可用的。

7.       在计算机上启用Windows 审核，因为当我们试图去追踪那些攻击者的行为的时候，我们总是缺少足够的数据。通过使用审核日志，甚至有可能拥有一个脚本来进行可疑行为的审核，这个脚本随后会向管理员发送一个报告。这听起来好像有点走极端了，不过如果对你的组织来说安全性非常重要的话，这样做是最好的选择。建立审核制度来报告任何失败帐户登录行为。另外，同IIS日志文件一样，把它的默认存储位置(c:\winnt\system32\config\secevent.log)改到另外一个地方，并确保它有一个备份和一个重复的拷贝。

8.       一般来说，尽你所能的查找安全方面的文章（从不同的地方），并按照它们进行实践。在IIS和安全实践方面，它们说的通常被你懂得的要好一些，而且不要只信服其他人（比如说我）告诉你的东西。

9.       订阅一份IIS 缺陷列表邮件，并坚持按时对它进行阅读。其中一个列表是Internet Security Systems（Internet  安全系统）的X-Force Alerts and Advisories。

10.    最后，确保你定期的对Windows 进行了更新，并检验补丁是否被成功的安装了。

通过这些精选的文章完成下面的步骤

TechRepublic

用最优的 IIS 日志来跟踪用户行为

感受安全工具为 IIS 带来的好处

保护 IIS Web 服务器安全的十五个技巧（TechProGuild 成员资格必需）

使用工具加强 IIS 安全性（TechProGuild 成员资格必需）

Microsoft

加固 IIS 服务器

其它

IIS 5.0 安全配置和管理指南

IIS 安全检验表

加固 IIS 4.0 Web 服务器