安在校园网维护中，管理校园Web服务器是网管的主要工作之一。Web站点的建立、规划设计以及资源更新并不复杂，但关键的安全问题却时常让人防不胜防。
当然，提高Web服务器安全的方法很多，比如可以借助限制端口、停止部分服务，以及安装防火墙等来实现。笔者和大家探讨一下如何通过安全策略设置来加固Web服务器的安全，经笔者多方实践，感觉效果非常显著，而且实施起来也不复杂。
IP安全策略
IPSec策略（IPSecurity）即IP安全机制是抵御内部、专用网络及外部安全攻击的关键防线。IPSec使用加密的安全服务来提供数据完整性、数据身份验证、数据机密性和TCP/IP通讯重放等多种级别的保护。
在网络上传输数据的时候，通过创建IP安全策略，利用点到点的安全模型，能够安全有效地把源计算机的数据传输到目标计算机。那么，我们如何来创建IP安全策略呢？这里就以Windows2003为例来说明。
运行Gpedit.msc，打开“组策略”对话窗口，依次展开“计算机配置→Windows设置→安全设置→IP安全策略，在本地计算机”，在其右侧窗口中就有系统内置的三条安全策略：安全服务器（要求安全设置）、客户端（只响应）、服务器（请求安全设置）。利用IP安全策略只允许访问80端口，就可以保障Web服务的绝对安全。
在其右侧窗口中右击鼠标，在弹出的快捷菜单中选择“创建IP安全策略”，打开“IP安全策略向导”对话框，单击“下一步”，然后输入策略名称（比如WWW）和策略描述。单击“下一步”，不勾选“激活默认响应规则”复选项，单击“下一步”，再点击“完成”就完成了IP安全策略的创建工作。
在此安全策略中创建两条IP安全规则“denyall”和“allowtcp80”，在弹出的“WWW属性”对话框中的“规则”选项页中不勾选“使用‘添加向导’”复选项，然后点击“添加”来创建新规则。先要创建一个筛选器，在“IP筛选器列表”选项页中点击“添加”，给筛选器取个名称（denyall），再点击“添加”打开“筛选器属性”对话框（如图），在“寻址”选项页中的“源地址”中选择“任何IP地址”，“目标地址”指定为“我的IP地址”。
然后切换到“协议”选项页，在“选项协议类型”中选择“任意”，依次点击“完成”，返回“新规则属性”对话窗口，在“IP筛选器列表”选定“denyall”，再在“筛选器操作”选项页添加一个过滤操作，将“安全措施”设置为“阻止”，并选定它。返回到“WWW属性”对话框，勾选“denyall”复选项，此安全规则的作用就是是禁止任何计算机访问本机。
我们还得为访问者开放80端口，同样建议“allowtcp80”，将其筛选器属性设置为从“所有IP地址”到“我的IP地址”，协议为“TCP”，设置IP协议端口从任意端口到80端口，将该筛选器的“安全设置”指定为“许可”，该IP安全规则的功能就是允许网络中的计算机访问本机的WWW服务。
设置好IP安全规则后，在“WWW属性”对话框的“IP安全规则”列表中一起勾选“denyall”和“allowtcp80”，点击“关闭”返回。最后要做的是指派该策略，只有指派后它才起作用。右击刚刚配置好的策略，在弹出的快捷菜单中选择“指派”命令启用策略。这样，任何计算机只能用访问TCP的80端口，而Ping包、UDP等均不响应。
安全审核策略
Windows2000/XP/2003的安全审核可以审核多个对象与事件，例如可以使用审核跟踪用于访问文件或其他对象的用户账户、登录尝试、系统关闭或重新启动以及类似的事件，而审核文件和NTFS分区下的文件夹可以保证文件和文件夹的安全。
安全审核策略在默认情况下是没有启用的，因此，首先必须要开启审核功能。这里以Windows2003为例说明，打开“控制面板”，双击进入“管理工具”，运行“本地安全策略”，打开“本地安全设置”对话窗口。在左边的窗格中依次展开“安全设置→本地策略→审核策略”，系统提供了九类可以审核的事件，对于每一类都可以指明是审核成功事件、失败事件，还是两者都审核。
如要审核对特定文件、文件夹和打印机的成功访问，在其右侧窗格中双击“审核对象访问”策略，弹出其属性设置对话框，选中“成功”复选框；如果同时还要审核这些对象的失败访问，请勾选“失败”复选框，点击“确定”返回，最后重新启动计算机即可生效。
小提示：必须是管理员组成员或者被授权有“管理审核和安全日志”权限的用户可以审核文件或文件夹。
打开审核后，当有人尝试对你的系统进行某些方式（如尝试用户密码，改变账户策略，未经许可的文件访问等等）入侵的时候，都会被安全审核记录下来，存放在“事件查看器”中的安全日志中。
另外，在“本地安全策略”中还可开启账户策略，如在账户锁定策略中设定，账户锁定阀值为三次（那么当三次无效登录将锁定），然后将账户锁定时间设定为30分钟，甚至更长。这样，黑客想要攻击你，一天24小时试密码也没什么机会，而且还要冒着被记录追踪的危险。
这里就以审核文件、文件夹和打印机为例。先找到要审核的文件、文件夹或者打印机，然后打开其“属性”对话框，接着点击切换到“安全”选项页，单击其下面的“高级”按钮，打开该对象的高级安全设置对话框，进入“审核”选项页，就可以设置审核项目了。
如果要对一个新组或用户设置审核，单击“添加”按钮，打开“选择用户或组”对话框，在“输入要选择的对象名称”框中，键入要审核其访问的用户或用户组的名称（小提示：可以通过单击高级，然后在“选择用户和组”对话框中单击立即查找，以浏览到计算机中的这些名称），点击“确定”，打开其审核项目对话框。在“访问”列表选择要审核的项目，如果要审核所有的项目，请选中“完全控制”后面的“成功”和“失败”复选项。接下来就是要设置审核应用的范围，在“应用到”下拉列表中的七个范围中根据自己的需要选择即可，一般选择“该文件夹，子文件夹及文件”，然后点击“确定”完成添加并返回。
小提示：如果在“审核项目”对话框中的“访问”之下的复选框变成灰色，或在“访问控制设置”对话框中“删除”按钮不可用，说明已经继承了来自父文件夹的审核。
如果想要查看或更改原有的组或用户审核,在“审核项目”中选择用户名，然后单击“编辑”，单击“删除”即可去除审核项目。
当设置了审核后，审核所产生的结果都被记录到安全日志中，使用“事件查看器”可以查看安全日志的内容或是在日志中查找指定事件的详细信息。在“管理工具”中双击打开“事件查看器”，选择“安全性”，审核结果就出现在面前了。
事实表明，在网络管理过程中恰当得实施一定的安全策略，有时真的可以让我们的网管工作一劳永逸。CCE
|
