编者按：企业中专用服务器所面对的是一定范围的用户，防范控制相对较易，而Web服务器是面向全球客户的，接入的随意性给安全防范带来很大的压力，因而合理控制Web服务器，保障它在提供服务的前提下安全运行十分重要。在合理控制Web服务器方面，简单原则很有用，即根据本身业务的需求，启用Web服务器上最小服务进程。微软公司对其Web服务器IIS就提供了安全设置的工具LockDown(2001年《电脑报》39期D4版《谨防“尼姆达”蠕虫病毒》一文曾介绍过该软件的下载地址)，通过该工具，Web服务器管理人员可以方便地控制Web服务器上运行的进程，从而达到防范控制的目的。
下文主要从两个方面对Lockdown软件的使用进行说明，一是IIS服务器上可选择的服务类型，二是Lockdown 软件的安装与使用。
IIS服务器上可选择的服务
IIS服务器上可选择的服务包括两部分，一是一些Script对应关系，二是IIS服务器默认安装时，创建的附加事例文件及服务。Script对应关系与IIS服务器上采用的ISAPI接口有关。ISAPI的全称为互联网服务应用程序接口，通过它可以增强Web服务的性能，IIS服务器上一些高级服务就是通过ISAPI实现的。可我们通过中断相应的Script对应关系可屏蔽ISAPI的接口，它被屏蔽后，我们需建立新的对应关系，以便IIS服务器接到服务请求时，反馈用户“file no found”这样的错误提示。IIS中的Script对应关系有以下几种：
●Active Server Pages (.ASP):ASP 是让开发者创建动态页面的技术。IIS服务器上的ASP文件接受到用户请求后，在服务器上执行，生成HTML文件，然后发送给客户。IIS服务器上无ASP文件，应关闭该项Script MAPPING.
●Index Server Web Interface(.IDQ)：该接口允许管理员远程管理索引服务器，并允许客户通过Web创建个性化的查询。禁止该接口，不影响标准的索引服务，但是，客户此时无法创建个性化的查询。
●Server-Side Includes (.SHTML、 .SHTM、 .STM)：该功能使得Web服务器能在向客户发送页面前，将文本，图片及应用程序数据引入页面中。该特性使得Web开发者可将多个页面常用的信息放在独立的文件中，运行时再将它调入。
●Internet Data Connector (.IDC):IDC是一项执行数据库查询并将结果插入HTML页面的技术，该功能现可通过ASP技术来实现。建议屏蔽该功能，如需要则通过ASP来实现。
●Internet Printing (.Printer)：该功能允许客户通过互联网发送和管理打印任务。建议屏蔽该功能，如启用该功能，必须同时启用ASP技术。
●HTR Scripting (.HTR):HTR是第一代描述性语言，其与ASP相似，但功能要比ASP少得多，现应用得最多的地方是通过Web服务器更改登录口令。建议屏蔽该功能，如需要时，采用ASP来代替。IIS默认安装的附加文件和服务下列的服务均可通过Lockdown软件删除和恢复。
●Remove sample Web files:IIS提供一些指导性的页面和Script范例，这些文件是不应出现在正式运行的Web服务器上的。建议删除这些范例文件。
●Remove the Scripts virtual directory：默认情况下，IIS服务器在安装时创建存放Script的虚拟目录。通过删除虚拟目录，IIS服务器的安全性在两方面可以得到加强，一是保障没有缺省的Script被执行，二是防止网上攻击者通过在虚拟目录中放置Script获取其他权限。建议当Web服务器上无Script时不设虚拟目录，当实在需要时，也要将原虚拟目录移至其他地方，增强虚拟目录的安全性。
●Remove the MSADC virtual directoryMSADC：虚拟目录提供通过微软高级数据连接和远程数据服务进行基于Web的数据库操作。建议在不许RDS服务时，屏蔽该功能。
●Disable Distributed Authoring and Versioning (WebDAV):WebDAV是允许作者远程创建，分发和管理Web上内容的协议。
●Set file permissions to prevent the IIS anonymous user account from executing system utilities:IIS对匿名用户采用(IUSR_computername) 账户，它有权接近存放Web内容的目录，但是，当某种异常情况出现时，匿名用户可能利用(IUSR_computername)是EVERYONE用户群一员的关系取得对系统文件的执行权。因而建议屏蔽匿名账户的执行权。
●Set file permissions to prevent the IIS anonymous user account from writing to Web content directories:IIS对匿名用户采用(IUSR_computername) 账户，它有权读取存放Web内容的目录，但是，当某种异常情况出现时，匿名用户可能利用(IUSR_computername)是Everyone用户群一员的关系取得对系统文件的写权限。因而建议屏蔽匿名账户的写权限安装与操作Lockdown软件安装与执行是一体的，安装过程结束，即是执行结束。
其安装提供两种方式。一为快速安装，二为高级安装。
快速安装
快速安装使用软件默认的设置，可提供最大的安全性。运行后，Web服务器只能提供静态HTML页面，而不能提供ASP，动态搜索，互联网上打印等服务。
安装执行过程如下：
1.运行IISLOCKD.EXE;
2.按下一步，选择安装方式；
3.快速安装选择Express Lockdown;
4.单击yes，执行安装运行任务，单击“View Report”可察看详细执行记录；
5.单击下一步，进入结束画面，点击完成，结束安装执行。
高级安装
高级安装使操作者自己选择控制项，按所设Web服务器的实际需求进行配置。安装执行过程如下：
1.启动方式同快速安装，在选择安装方式时，选择Advanced Lockdown。
2.按下一步，进入Script选择页面，选择要禁止的Script对应关系(图1)(
)。
3.然后，单击下一步，进入附加操作页面，选择要删除的内容(图2)(
)。
4.单击下一步，进入后续执行页面，过程同快速安装。
恢复
IISLockDown还提供恢复机制，当用户执行IISLockDown后，如意识到有不妥之处，可利用该恢复机制，将IIS服务器恢复到运行IISLockDown以前的效果。执行方式如下，仍然运行IISLOCKD.EXE程序，偶次运行时，其出现如下画面(图3)(
)。
单击“undo”，进行恢复操作。再单击下一步，进入结束画面，单击完成，结束运行。值得注意的是，IIS LockDown软件只能提供到最近一次的恢复操作，如意识到对IIS安全控制有不妥时，应立即执行恢复操作。
附带说明：IISLockDown软件可应用在WinNT4.0和Win2000上，以上图示是在Win2000上运行的效果。