IIS - Управление безопасностью WebDAV
В этом разделе приведены рекомендации по настройке безопасной удаленной публикации. Здесь рассказывается о том, как защитить сервер и содержимое, управляя различными аспектами безопасности как единым целым. В число этих аспектов безопасности входят:
Проверка подлинности клиентов
IIS обеспечивает следующие уровни проверки подлинности:
- Анонимная
- Обычная
- Встроенная Windows
- Краткая
То, какой способ настройки каталога WebDAV является лучшим, зависит от типа публикации. При создании виртуального каталога в IIS 5.0 будут включены анонимная и встроенная проверка подлинности. Хотя эта стандартная конфигурация хорошо подходит для клиентов, подключающихся к серверу, считывающих содержимое веб-страницы и запускающих сценарии, она не очень пригодна для клиентов, выполняющих публикацию данных в каталог и оперирующих содержащимися в нем файлами.
Анонимный доступ предоставляет доступ к каталогу всем пользователям, поэтому для каталога WebDAV его нужно отключить. Если контроль доступа к каталогу отсутствует, то его содержимое смогут испортить клиенты, оставшиеся неизвестными. Дополнительные сведения см. в разделе Анонимная проверка подлинности.
Обычная проверка подлинности пересылает по соединению пароли обычным текстом. Так как простой текст легко перехватить и прочитать, обычную проверку подлинности следует использовать только в случае, когда пароли защищаются с помощью Secure Sockets Layer (SSL). Дополнительные сведения см. в разделах Обычная проверка подлинности и Установка SSL на сервере.
Встроенная проверка подлинности лучше всего подходит при размещении каталога WebDAV в интрасети. Дополнительные сведения см. в разделе Встроенная проверка подлинности.
Краткая проверка подлинности является лучшим вариантом для опубликования информации на сервере по Интернету и через брандмауэры. Дополнительные сведения см. в разделе Краткая проверка подлинности.
Управление доступом
В этой части рассказывается об управлении доступом к каталогу WebDAV путем согласования разрешений IIS 5.0 и Windows 2000, а также о том, как можно защитить файлы сценариев.Задание веб-разрешений
Ниже приведены несколько рекомендуемых способов настройки веб-разрешений в зависимости от предназначения публикуемого материала.
- Разрешены чтение, запись и обзор каталогов Такая конфигурация разрешений позволяет клиентам просматривать список ресурсов, изменять ресурсы (за исключением тех, которые не имеют разрешения на запись), публиковать свои собственные ресурсы и выполнять операции с файлами.
- Запись разрешена, чтение и обзор каталогов запрещены Если нужно позволить клиентам опубликовывать в каталоге конфиденциальные сведения, и в то же время запретить остальным пользователям просматривать опубликованные материалы, установите разрешение на запись, но не устанавливайте разрешения на чтение и просмотр каталогов. Эта конфигурация прекрасно подходит для случаев, когда клиенты участвуют в тайном голосовании или заполняют опросные анкеты.
- Чтение и запись разрешены, обзор каталогов запрещен Эту конфигурацию можно использовать, если в качестве средства безопасности служат трудные для подбора и угадывания имена файлов. Однако следует иметь в виду, что такая защита не очень надежна, так как взломщик может рано или поздно подобрать или угадать имя файла.
- Индексация каталога включена Если нужно разрешить клиентам выполнять поиск в каталогах, включите службу индексирования.
Дополнительные сведения о веб-разрешениях см. в разделе Задание разрешений для веб-сервера.
Управление доступом с помощью списка доступа к каталогу
При размещении каталога WebDAV на диске с файловой системой NTFS Windows 2000 Server по умолчанию предоставляет всем пользователям полный доступ к нему. Измените разрешения так, чтобы все пользователи получили только разрешение на чтение. Затем дайте разрешения на запись отдельным пользователям или группам.
Дополнительные сведения о разрешениях NTFS см. в разделе Разрешения NTFS.
Защита исходных текстов сценариев
Если в каталоге для публикации имеются файлы сценариев, к которым клиенты не должны иметь доступ, можно легко запретить доступ к ним, отменив разрешение Доступ к тексту сценария. Сценарии включают файлы с расширениями, которые присутствуют в списке сопоставления приложений. Все остальные исполняемые файлы, включая файлы с расширением .exe, будут рассматриваться как файлы статического HTML, пока для каталога не будет задано разрешение Сценарии и исполняемые файлы.
Чтобы запретить загрузку и просмотр .exe-файлов как HTML-файлов, но одновременно разрешить их запуск, в окне свойств Виртуальный каталог каталога публикации установите разрешение на запуск Сценарии и исполняемые файлы. Этот уровень разрешений позволит настроить поведение всех исполняемых файлов в соответствии с правом доступа Доступ к тексту сценария. Другими словами, если право доступа Доступ к тексту сценария выбрано, то клиенты, имеющие разрешение «Чтение», смогут видеть все исполняемые файлы, а клиенты с разрешением «Запись» — редактировать и изменять их.
Имея следующие разрешения, клиенты смогут выполнять запись в исполняемые файлы, которые не указаны в списке сопоставления приложений:
- Разрешение «Запись».
- Разрешение на запуск Только сценарии.
Имея следующие разрешения, клиенты смогут также выполнять запись в исполняемый файл:
- Право доступа Доступ к тексту сценария.
- Разрешение на запуск Сценарии и исполняемые файлы.
Ограничения
Копирование в каталог WebDAV больших файлов может привести к переполнению жесткого диска. Чтобы ограничить этот объем, можно установить квоту на использование дискового пространства. Сведения о квотах на использование дискового пространства см. в документации по Windows 2000 Server.
Дополнительные сведения о безопасности см. в разделе Контрольный список действий по обеспечению безопасности IIS.