IIS Lockdown的用法很簡單。為了保護(hù)IIS服務(wù)器的安全，我們來一起學(xué)習(xí)下IIS Lockdown的知識(shí)吧。默認(rèn)情況下，IIS會(huì)限制對(duì)Web內(nèi)容目錄的匿名訪問，但還應(yīng)該加上一層對(duì)系統(tǒng)工具（如cmd.exe）的保護(hù)，以防止未經(jīng)授權(quán)的用戶在系統(tǒng)安全出現(xiàn)漏洞時(shí)訪問這些工具。

如果選中對(duì)話框中的Running system utilities (for example, Cmd.exe, Tftp.exe)檢查框，IIS Lockdown將修改\%windir%目錄及其子目錄下所有執(zhí)行文件的訪問控制屬性（ACE，Access Control Entry），明確地禁止本地Web匿名用戶組和Web用戶組的運(yùn)行權(quán)限。

如果選中Writing to content directories 檢查框，IIS Lockdown還會(huì)加強(qiáng)所有Web內(nèi)容目錄的安全性，即設(shè)置ACE，禁止本地Web匿名用戶組和We應(yīng)用組的寫入權(quán)限。

窗口底部有一個(gè)Disable Web Distributed Authoring and Versioning（WebDAV）選項(xiàng)，即禁用Web分布式創(chuàng)作和版本控制。WebDAV功能用來支持遠(yuǎn)程Web內(nèi)容創(chuàng)作和管理，如果確實(shí)不必用到該功能，那就可以選中Disable Web Distributed Authoring and Versioning檢查框。

選中該選項(xiàng)之后，IIS Lockdown將設(shè)置httpext.dll（實(shí)現(xiàn)WebDAV功能的執(zhí)行文件）的ACE，禁止將httpext.dll文件裝入inetinfo.exe的進(jìn)程，從而也就禁止了WebDAV功能。

對(duì)話框的“下一步”，IIS Lockdown將詢問是否要安裝URLScan，如圖五。如果要用篩選器來禁止IIS處理某些可能有惡意的URL，即經(jīng)常被黑客用來攻擊系統(tǒng)的URL，那就可以用URLScan作為守衛(wèi)IIS的前門（即篩選器）。

本文不準(zhǔn)備詳細(xì)介紹URLScan，請(qǐng)?jiān)L問http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/urlscan.asp了解更多有關(guān)URLScan的說明。

取消安裝URLScan的選項(xiàng)，點(diǎn)擊“下一步”，IIS Lockdown顯示出一系列將要執(zhí)行的操作。點(diǎn)擊“取消”可以放棄操作，點(diǎn)擊“下一步”則開始執(zhí)行清單中列出的“加鎖”操作。加鎖操作一旦開始，中途不能停止。

依賴于具體的修改操作，IIS Lockdown可能在\%windir%\system32\inetsrv目錄下創(chuàng)建幾個(gè)日志文件和IIS元數(shù)據(jù)備份文件，如表二所示。

雖然沒有人要求我們一定要保證這些IIS Lockdown日志文件和元數(shù)據(jù)備份文件的安全，但如果要手工撤銷IIS Lockdown所做的操作，或者需要重新安裝OS，那就要用到這些文件。因此，最好把這些文件復(fù)制到另一個(gè)磁盤，或者把它們保存到另一個(gè)服務(wù)器。

表二：IIS Lockdown日志和元數(shù)據(jù)備份文件
 

.log或.md0文件 說明  oblt-log.log IIS Lockdown為了提高服務(wù)器安全性而執(zhí)行的一系列操作的清單。  oblt-rep.log 加鎖過程的一個(gè)簡短總結(jié)。加鎖過程結(jié)束后，點(diǎn)擊View Report按鈕可以看到這個(gè)文件。  oblt-undo.log IIS Lockdown為了撤銷加鎖操作而采取的一系列動(dòng)作的清單。  metaback\oblt-mb.md0 IIS元數(shù)據(jù)的備份文件。  metaback\oblt-beforeundo-mb.md0 在IIS Lockdown Undo命令恢復(fù)元數(shù)據(jù)備份之前備份的IIS元數(shù)據(jù)。 如果在正式為用戶提供服務(wù)的機(jī)器上運(yùn)行IIS Lockdown，一定要安排在正常的關(guān)機(jī)維護(hù)期間進(jìn)行。IIS Lockdown開始執(zhí)行修改操作時(shí)會(huì)關(guān)閉Web服務(wù)，安排在正常的維護(hù)期間進(jìn)行修改可以避免給用戶帶來不必要的麻煩。

關(guān)鍵字：備份、IIS Lockdown、日志、元數(shù)據(jù)