![点击分享此内容可以赚币 分享](/master/images/share_but.png)
中国移动WEB服务器安全配置手册模板.doc
《中国移动WEB服务器安全配置手册模板.doc》由会员分享,可在线阅读,更多相关《中国移动WEB服务器安全配置手册模板.doc(43页珍藏版)》请在咨信网上搜索。
1、密 级:文档编号:项目代号:中国移动WEB服务器安全配置手册Version 1.0中国移动通信二零零四年十二月拟 制:审 核:批 准:会 签:标准化:版本控制版本号日期参与人员更新说明分发控制编号读者文档权限和文档关键关系1创建、修改、读取负责编制、修改、审核2同意负责本文档同意程序3标准化审核作为本项目标标准化责任人,负责对本文档进行标准化审核4读取5读取目录第1章.目标6第2章.范围6第3章.WEB服务安全加固标准73.1.Web主机平台安全设置73.1.1.主机安全标准加固规范73.1.2.用户权限设置73.1.3.事件日志设置73.1.4.关闭非必需服务和程序73.2.Web服务安全设
2、置83.2.1.Web系统资源保护83.2.2.Web服务权限设置83.2.3.Web服务访问控制83.2.4.机密信息保护83.2.5.日志设置93.2.6.去除无须要服务脚本9第4章.IIS WEB服务安全配置提议104.1.审核策略设置104.2.用户权限分配104.2.1.拒绝经过网络访问该计算机104.3.安全选项114.4.事件日志设置114.5.系统服务114.5.1.HTTP SSL124.5.2.IIS Admin 服务124.5.3.万维网公布服务134.6.其它安全设置134.6.1.仅安装必需 IIS 组件144.6.2.仅启用必需 Web 服务扩展144.6.3.在专
3、用磁盘卷中放置内容154.6.4.设置 NTFS 权限154.6.5.设置 IIS Web 站点权限164.6.6.配置 IIS 日志174.6.7.向用户权限分配手动添加唯一安全组194.6.8.保护众所周知帐户安全194.6.9.保护服务帐户安全204.6.10.用 IPSec 过滤器阻断端口204.7.参考材料22第5章.APACHE WEB服务安全配置提议245.1.审核策略设置245.2.用户权限分配245.2.1.拒绝经过网络访问该计算机245.3.安全选项265.3.1.绝对不要以 root 身份实施守护程序265.3.2.次序规则265.3.3.符号连结275.3.4.Apac
4、he 下索引275.4.事件日志设置285.5.系统服务285.5.1.HTTP SSL285.6.其它安全设置315.6.1.升级到最新版本315.6.2.建立 Chroot 环境325.7.参考材料39第1章. 目标本文目标是为中移动企业范围内Web服务应用提供安全配置规范提议。Web应用服务是互联网WWW应用关键基础,在中国移动企业范围内安装和使用了大量多种Web服务应用。为了提升中国移动企业Web服务安全性,降低因为Web服务配置不规范而造成安全风险,特针对中国移动企业关键经典Web服务提出了规范配置安全加固提议。第2章. 范围本文针对通用HTTP Web服务器主机平台安全配置、HTT
5、P服务安全配置提出了规范加固要求。而且对经典HTTP Web服务应用提出了具体安全配置提议,如Microsoft IIS Web服务、Apache Web服务。Web服务器加固方法包含了两个层面工作,这就是平台安全配置和HTTP Web服务安全配置。首先,作为接收广泛用户网络访问Web应用服务器,必需设置成为安全堡垒主机,根据主机平台加固规范对Web服务器平台操作系统进行安全设置,关闭全部非必需网络服务、应用程序和系统组件等;其次,对于HTTP Web服务进行安全设置,包含服务资源权限设置、用户帐号设置、远程管理安全设置、日志设置等。第3章. Web服务安全加固标准3.1. Web主机平台安全
6、设置3.1.1. 主机安全标准加固规范必需对Web服务器主机平台进行规范安全加固,参考中国移动操作系统安全配置手册建立安全可靠Web应用服务主机运行环境。另外,必需针对Web应用服务特点进行安全设置。3.1.2. 用户权限设置清楚区分并定义主机管理员、Web应用服务管理员和Web应用开发人员帐号,并明确定义其访问Web应用服务器方法。严禁一般用户经过网络登陆到主机系统。3.1.3. 事件日志设置主机系统日志应统计Web应用服务开启、关闭等操作,和主机管理员、Web应用服务管理员、和应用开发人员行为等。事件日志应保留在安全保护目录或其它安全主机系统中。3.1.4. 关闭非必需服务和程序主机系统应
7、关闭全部非必需服务,比如SMTP、FTP、DNS等。假如需要使用网络服务,如FTP帮助Web服务内容管理,必需严格根据FTP服务器加固规范进行安全设置,而且严格限制用户权限。删除全部非必需系统组件、应用程序,如C编译程序等。3.2. Web服务安全设置3.2.1. Web系统资源保护Web系统资源是指Web服务所在目录和文件。Web系统资源应该安装在独立目录或文件系统中。这些Web系统资源应该属于Web管理员拥有。依据需要,严格控制其它用户对这些资源访问。严格严禁一般用户对Web系统资源访问。3.2.2. Web服务权限设置此项是限制Web服务程序对于系统资源访问权限。目标是预防Web服务程序
8、对系统机密信息读写操作,从而造成对信息泄漏或破坏。对于Web服务ID方法系统,应严格限制Web服务ID其拥有系统管理员权限,严禁其拥有非必需系统特权;限制其所能访问目录,依据需要,控制其资源读权限;严禁对Document Root和其它系统目录写权限。而对Document Root和其下目录,亦应限制除Web服务ID使用者外,其它用户均不具列出目录内全部档案之权限。对于Web服务程序方法系统,严格控制Web服务程序对系统目录和文件实施、读写权限。3.2.3. Web服务访问控制Web服务系统提供配置文件对访问用户进行限制。Web服务缺省配置通常不做任何用户访问限制,许可来自全部地址范围访问。提
9、议依据业务需要,屏蔽或许可指定地址范围用户访问。3.2.4. 机密信息保护Web系统必需含有SSL安全加密机制。假如Web服务器含有机密信息内容,为了保护机密信息传输安全,必需在Web系统中配置SSL V2.0 128位加密功效,这能够有效保护用户用户端和Web服务器之间数据安全传输,预防信息网络窃取。3.2.5. 日志设置Web系统必需定义Web活动日志,统计Web Server活动。Web系统日志目录和文件属于Web系统资源必需严格访问权限。日志必需保留指定时间,以备系统审计和安全分析之用。3.2.6. 去除无须要服务脚本检验Web系统使用服务脚本,如CGI,Perl等。去除Web系统中和
10、业务应用无关多种服务脚本。避免未经检验服务脚本引入而增加Web系统安全风险。另外,对于正式上线Web服务器,亦应移除全部相关支持档案和范例档案,以避免恶意人员利用范例档案入侵。第4章. IIS Web服务安全配置提议4.1. 审核策略设置在本手册定义三种环境下,IIS 服务器审核策略设置经过 MSBP 来配置。相关 MSBP 具体信息,请参阅Windows /安全配置手册中建立服务器安全基准部分。MSBP 设置可确保全部相关安全审核信息全部统计在全部 IIS 服务器上。4.2. 用户权限分配本手册中定义三种环境中 IIS 服务器大多数用户权限分配全部是经过 MSBP 配置。相关 MSBP 具体
11、信息,请参阅Windows /安全配置手册中建立服务器安全基准部分。4.2.1. 拒绝经过网络访问该计算机表 1:设置组员服务器默认值旧用户端企业用户端高安全性SUPPORT_388945a0匿名登录;内置管理员帐户;Support_388945a0;Guest;全部非操作系统服务帐户匿名登录;内置管理员帐户;Support_388945a0;Guest;全部非操作系统服务帐户匿名登录;内置管理员帐户;Support_388945a0;Guest;全部非操作系统服务帐户注意:安全模板中不包含匿名登录、内置管理员帐户、Support_388945a0、Guest 和全部非操作系统服务帐户。对于组
12、织中每个域,这些帐户和组拥有唯一安全标识 (SID)。所以,必需手动添加它们。“拒绝经过网络访问该计算机”设置决定了哪些用户不能经过网络访问该计算机。这些设置将拒绝大量网络协议,包含服务器消息块 (SMB) 协议、网络基础输入/输出系统 (NetBIOS)、通用 Internet 文件系统 (CIFS)、超文本传输协议 (HTTP) 和组件对象模型 (COM+)。当用户帐户同时适用两种策略时,该设置将覆盖“许可经过网络访问该计算机”设置。经过给其它组配置该用户权限,您能够限制用户在您环境中实施委托管理任务能力。在建立服务器安全基准中,本手册提议将 Guests 组包含在被分配了该权限用户和组列
13、表中,以提供最大可能安全性。不过,用于匿名访问 IIS IUSR 帐户被默认为 Guests 组组员。本手册提议从增量式 IIS 组策略中清除 Guests 组,以确保必需时可配置对 IIS 服务器匿名访问。所以,在本手册所定义全部三种环境下,我们针对 IIS 服务器将“拒绝经过网络访问该计算机”设置配置为包含:匿名登录、内置管理员、Support_388945a0、Guest 和全部非操作系统服务帐户。4.3. 安全选项在本手册所定义三种环境中,IIS 服务器安全选项经过 MSBP 来配置。相关 MSBP 具体信息,请参阅Windows /安全配置手册中建立服务器安全基准部分。MSBP设置确
14、保了在企业IIS服务器中统一配置正确事件日志设置。4.4. 事件日志设置在本手册中定义三种环境中,IIS 服务器事件日志设置经过 MSBP 来配置。相关 MSBP 具体信息,请参阅请参阅Windows /安全配置手册中建立服务器安全基准部分。MSBP 设置确保了在企业 IIS 服务器中统一配置正确事件日志设置。4.5. 系统服务为了让 IIS 向 Windows Server 中添加 Web 服务器功效,则必需启用以下三种服务。增量式 IIS 组策略确保了这些服务被配置为自动开启。注意:MSBP 禁用了多个其它 IIS 相关服务。FTP、SMTP 和 NNTP 就是 MSBP 所禁用部分服务。
15、假如想要在本手册所定义任何一个环境下 IIS 服务器上启用这些服务,必需更改增量式 IIS 组策略。4.5.1. HTTP SSL表 2:设置服务名组员服务器默认值旧用户端企业用户端高安全性HTTPFilter手动自动自动自动HTTP SSL 服务可让 IIS 实施安全套接字层 (SSL) 功效。SSL是建立加密通信渠道一个开放标准,以预防诸如信用卡号等关键信息被中途截获。首先,它使得在万维网上进行安全电子金融事务成为可能,当然也可用它来实现其它 Internet 服务。假如 HTTP SSL 服务停止,IIS 将无法实施 SSL 功效。禁用此服务将造成任何明确依靠它服务全部无法实现。您能够使
16、用组策略来保护和设置服务开启模式,只许可服务器管理员访问这些设置,从而预防未经授权或恶意用户配置或操作该服务。组策略还能够预防管理员无意中禁用该服务。所以,在本手册所定义全部三种环境下,针对 IIS 服务器需要将“HTTP SSL”设置配置为“自动”。4.5.2. IIS Admin 服务表 3:设置服务名组员服务器默认值旧用户端企业用户端高安全性IISADMIN没有安装自动自动自动“IIS Admin 服务”许可对 IIS 组件进行管理,比如文件传输协议 (FTP)、应用程序池、Web 站点、Web 服务扩展,和网络新闻传输协议 (NNTP) 和简单邮件传输协议 (SMTP) 虚拟服务器。“
17、IIS Admin 服务”必需运行,方便让 IIS 服务器能够提供 Web、FTP、NNTP 和 SMTP 服务。假如禁用此服务,则无法配置 IIS,而且对站点服务请求将不会成功。您能够使用组策略来保护和设置服务开启模式,只许可服务器管理员访问这些设置,从而预防未经授权或恶意用户配置或操作该服务。组策略还能够预防管理员无意中禁用该服务。所以,在本手册所定义全部三种环境下,我们针对 IIS 服务器需要将“IIS Admin 服务”设置配置为“自动”。4.5.3. 万维网公布服务表 4:设置服务名组员服务器默认值旧用户端企业用户端高安全性W3SVC没有安装自动自动自动“万维网公布服务”经过 IIS
18、 管理单元提供网络连通性和网站管理。“万维网公布服务”必需运行,方便让 IIS 服务器经过 IIS 管理器提供网络连通性和管理。您能够使用组策略来保护和设置服务开启模式,只许可服务器管理员访问这些设置,从而预防未经授权或恶意用户配置或操作该服务。组策略还能够预防管理员无意中禁用该服务。所以,在本手册所定义全部三种环境下,我们针对 IIS 服务器需要将“万维网公布服务”设置配置为“自动”。4.6. 其它安全设置安装 Windows Server 和 IIS 以后,默认情况下,IIS 仅传输静态 Web 内容。当 Web 站点和应用程序包含动态内容,或需要一个或多个附加 IIS 组件时,每个附加
19、IIS 功效必需逐一单独启用。不过,在该过程中必需谨慎,以确保在您环境中将每个 IIS 服务器受攻击面降至最小。假如您组织 Web 站点只包含静态内容而无需其它任何 IIS 组件,这时,默认 IIS 配置足以将您环境中 IIS 服务器受攻击面降至最小。经过 MSBP 应用安全设置为 IIS 服务器提供大量增强安全性。不过,还是应该考虑部分其它注意事项和步骤。这些步骤不能经过组策略完成,而应该在全部 IIS 服务器上手动实施。4.6.1. 仅安装必需 IIS 组件除“万维网公布服务”之外,IIS6.0 还包含其它组件和服务,比如 FTP 和 SMTP 服务。您能够经过双击“控制面板”上“添加/删
20、除程序”来开启 Windows 组件向导应用程序服务器,以安装和启用 IIS 组件和服务。安装 IIS 以后,必需启用 Web 站点和应用程序所需全部必需 IIS 组件和服务。您应该仅启用 Web 站点和应用程序所需必需 IIS 组件和服务。启用无须要组件和服务会增加 IIS 服务器受攻击面。相关 IIS 组件位置和提议设置指导,请参阅怎样识别 Windows Server 中 IIS 6.0 组件。4.6.2. 仅启用必需 Web 服务扩展很多运行于 IIS 服务器上网站和应用程序含有超出静态页面范围扩展功效,包含生成动态内容能力。经过 IIS 服务器提供功效来产生或扩展任何动态内容,全部是
21、经过使用 Web 服务扩展来实现。IIS 6.0 中增强安全功效许可用户单独启用或禁用 Web 服务扩展。在一次新安装以后,IIS 服务器将只传输静态内容。可经过 IIS 管理器中 Web 服务扩展节点来启用动态内容功效。这些扩展包含 ASP.NET、SSI、WebDAV 和 FrontPage Server Extensions。启用全部 Web 服务扩展可确保和现有应用软件最大可能兼容性。不过,这可能带来部分安全性风险,因为当全部扩展被启用时,同时也启用了您环境下 IIS 服务器所不需要功效,这么 IIS 受攻击面就会增加。为了尽可能降低 IIS 服务器受攻击面,在本手册所定义三种环境下,
22、只应该在 IIS 服务器上启用必需 Web 服务扩展。仅启用在您 IIS 服务器环境下运行站点和应用软件所必需 Web 服务扩展,经过最大程度精简服务器功效,能够降低每个 IIS 服务器受攻击面,从而增强了安全性。相关 Web 服务扩展指导,请参阅怎样识别 Windows Server 中 IIS 6.0 组件。4.6.3. 在专用磁盘卷中放置内容IIS 会将默认 Web 站点文件存放到 inetpubwwwroot,其中 是安装 Windows Server 操作系统驱动器。在本手册所定义三种环境下,应该将组成 Web 站点和应用程序全部文件和文件夹放置到 IIS 服务器专用磁盘卷中。将这些
23、文件和文件夹放置到 IIS 服务器一个专用磁盘卷 不包含操作系统磁盘卷 有利于预防目录遍历攻击。目录遍历攻击是指攻击者对在 IIS 服务器目录结构之外一个文件发送请求。比如,cmd.exe 在于 System32 文件夹中。攻击者可能请求访问以下位置:.Windowssystemcmd.exe,企图调用命令提醒假如 Web 站点内容在一个单独磁盘卷上,这种类型目录遍历攻击将无法成功,原因有二。首先,cmd.exe 权限已经作为 Windows Server 基础结构一部分进行了重设,从而将对它访问限制在很有限用户群中。其次,完成该更改以后,cmd.exe 不再和 Web 根目录处于同一磁盘卷,
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 中国移动 WEB 服务器 安全 配置 手册 模板
![提示](https://www.zixin.com.cn/images/bang_tan.gif)
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【天****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【天****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。