| |
架設(shè)FTP服務(wù)器，一向是把安全放在首位，特別是利用IIS之類(lèi)工具建立起來(lái)的FTP服務(wù)器更是如此。如果設(shè)置不當(dāng)遭受到惡意攻擊，那造成整個(gè)服務(wù)器系統(tǒng)崩潰也絕不是危言聳聽(tīng)的! 因此，采取合理、周全的安全管理是很有必要的。
我們就從IIS的安全說(shuō)起。
IIS，從NT系統(tǒng)內(nèi)核開(kāi)始成為自帶的重要信息發(fā)布載體，但其不可避免的漏洞也在不少的資料里提及。IIS用作FTP服務(wù)器架設(shè)，主要是其簡(jiǎn)單易懂的設(shè)置贏得不少人青睞；因此，要用好IIS，我們得從下面這些方面來(lái)考慮其安全問(wèn)題：
1．安裝系統(tǒng)補(bǔ)丁。微軟網(wǎng)站經(jīng)常在其官方網(wǎng)發(fā)布最新的系統(tǒng)安全補(bǔ)丁，大家可以用系統(tǒng)自帶的windows update程序隨時(shí)更新。
2．FTP目錄的設(shè)定。比較常見(jiàn)的就是將主目錄指定到邏輯盤(pán)，再對(duì)每個(gè)細(xì)目錄按不同的用戶(hù)設(shè)置不同的訪問(wèn)權(quán)限，并關(guān)閉一些不需要的服務(wù)，這可以對(duì)不良人士利用IIS溢出漏洞訪問(wèn)到系統(tǒng)盤(pán)作個(gè)第一級(jí)防護(hù)。
3．盡量不要使用21這個(gè)默認(rèn)端口號(hào)，并啟用日志，以便FTP服務(wù)出現(xiàn)異常時(shí)檢查。
另一款FTP架設(shè)軟件Serv_U。
軟件界面如下圖所示。感覺(jué)此款軟件在安全性方面做得比較好，其設(shè)置也不易出錯(cuò)，筆者用過(guò)一段時(shí)間感覺(jué)其速度也比IIS要快得多。即使這樣，同樣也應(yīng)注意其正確的配置：
1．有關(guān)域中服務(wù)器密碼設(shè)定。
Serv_U提供了三種安全密碼類(lèi)型：規(guī)則密碼、OTPS/KEY MD4和OTPS/KEY MD5，不言而喻，規(guī)則密碼的安全性是最低的。一般我們?cè)O(shè)置好了有管理權(quán)限的賬戶(hù)后，再在“常規(guī)”選項(xiàng)卡下打開(kāi)“密碼類(lèi)型”下拉框，從中選擇后兩種類(lèi)型相對(duì)要安全得多。
2．選中“攔截FTP_bounce攻擊和FXP”。FXP也稱(chēng)跨服務(wù)器攻擊，簡(jiǎn)單的說(shuō)：
當(dāng)惡意用戶(hù)通過(guò)在PORT命令中加入特定的地址信息，會(huì)使FTP服務(wù)器與其它非客戶(hù)端的機(jī)器建立連接，而如果FTP服務(wù)器有權(quán)訪問(wèn)那些非客戶(hù)端的電腦時(shí)，那就可以通過(guò)FTP服務(wù)器這個(gè)“中介機(jī)構(gòu)”，實(shí)現(xiàn)與目標(biāo)服務(wù)器的連接!
3．跟IIS一樣，最好也將主目錄移到其它分區(qū)，同時(shí)在為用戶(hù)設(shè)置權(quán)限時(shí)最好先設(shè)低點(diǎn)，等需要時(shí)再設(shè)定寫(xiě)入、修改等權(quán)限；并將服務(wù)日志以文件形式保存，以便日后查閱。
說(shuō)了架設(shè)軟件，再來(lái)說(shuō)操作系統(tǒng)本身。
考慮到FTP服務(wù)器的安全性，所以最好是采用Win2000服務(wù)器版、winxp或是Windows2003企業(yè)版，并注意隨時(shí)下載安全補(bǔ)丁升級(jí)。
1．可以用系統(tǒng)自帶的“Internet連接防火墻”功能進(jìn)行安全設(shè)置。打開(kāi)“本地連接”屬性對(duì)話(huà)框，進(jìn)入“高級(jí)”選項(xiàng)卡，將“通過(guò)限制或阻止來(lái)自Internet的對(duì)此計(jì)算機(jī)的訪問(wèn)來(lái)保護(hù)我的計(jì)算機(jī)和網(wǎng)絡(luò)”打勾；然后點(diǎn)右下角的“設(shè)置”按鈕進(jìn)入“高級(jí)設(shè)置”，選中“FTP服務(wù)器”再點(diǎn)編輯，如圖所示，除了IP地址一欄外，其余選項(xiàng)都不能更改。如果你預(yù)先設(shè)置的FTP服務(wù)器端口不是其默認(rèn)的21，請(qǐng)返回上一步在“服務(wù)”選項(xiàng)卡下方點(diǎn)“添加”，輸入服務(wù)器名稱(chēng)和IP地址，并將外部?jī)?nèi)部端口號(hào)填入你的預(yù)設(shè)值即可。
2．“TCP/IP篩選”功能。依次進(jìn)入“本地連接”---“常規(guī)”---“Internet協(xié)議（TCP/IP）”，然后雙擊打開(kāi)，再點(diǎn)“高級(jí)”按鈕，切換到“選項(xiàng)”即可開(kāi)始設(shè)置。如下圖所示，這里我們可以設(shè)置系統(tǒng)只允許開(kāi)放的端口，這種篩選設(shè)置可以有效防止最常見(jiàn)的如１３９端口的入侵，但該方法缺點(diǎn)同樣明顯：功能過(guò)于簡(jiǎn)單，只能設(shè)置允許開(kāi)放的端口，不能自定義要關(guān)閉的端口，如需開(kāi)放多個(gè)端口還要一一手工添加，比較麻煩。
服務(wù)器安全是個(gè)永遠(yuǎn)也說(shuō)不完的話(huà)題，關(guān)鍵還是要大家在實(shí)際管理中多多總結(jié)經(jīng)驗(yàn)，不斷累積。通過(guò)以上的基本管理設(shè)置后，你的FTP應(yīng)該具備了一定的安全保障，可以放心的投入使用了!
|
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
