W│a£ciwa kontrola dostΩpu do zawarto£ci sieci Web i FTP jest kluczow╣ kwesti╣ dla bezpiecznego uruchamiania serwera sieci Web. Korzystaj╣c z funkcji zabezpiecze± systemu Windows NT i serwera sieci Web mo┐na efektywnie sterowaµ dostΩpem u┐ytkownik≤w do zawarto£ci sieci Web i FTP.
DostΩp anonimowy, preferowana metoda kontroli dostΩpu dla wiΩkszo£ci instalacji serwera sieci Web, umo┐liwia u┐ytkownikom odwiedzanie publicznych witryn sieci Web, zapobiegaj╣c jednocze£nie dostΩpowi nieupowa┐nionych u┐ytkownik≤w do krytycznych funkcji administracyjnych serwera sieci Web. Kiedy serwer sieci Web odbiera ┐╣danie anonimowego zalogowania, serwer pr≤buje zalogowaµ u┐ytkownika z kontem anonimowym lub kontem go£cia, kt≤re jest prawid│owym kontem u┐ytkownika systemu Windows NT. Konto to ma ustawienia zabezpiecze±, okre£lone przez uprawnienia systemu plik≤w Windows NT (NTFS), kt≤re ograniczaj╣ typ zawarto£ci sieci Web, do kt≤rych u┐ytkownicy mog╣ uzyskaµ dostΩp. Na przyk│ad, por≤wnuj╣c serwer sieci Web do muzeum, w│╣czenie dostΩpu anonimowego jest jak zaproszenie publiczno£ci do odwiedzania galerii i wystaw prezentowanych w muzeum. Jednak zapobiegliwy dyrektor muzeum prawdopodobnie zamknie niekt≤re pokoje, takie jak biura czy laboratoria, do kt≤rych publiczno£µ nie powinna wchodziµ. Podobnie, konfiguruj╣c dostΩp anonimowy dla serwera sieci Web, mo┐na u┐yµ uprawnie± NTFS, aby uniemo┐liwiµ zwyk│ym u┐ytkownikom uzyskanie dostΩpu do prywatnych plik≤w i katalog≤w. WiΩcej informacji dotycz╣cych uprawnie± NTFS mo┐na znaleƒµ w paragrafie Uprawnienia systemu plik≤w Windows NT.
Domy£lnie serwer sieci Web loguje wszystkich u┐ytkownik≤w poprzez konto anonimowe. Podczas instalacji serwer tworzy specjalne konto u┐ytkownika anonimowego o nazwie IUSR_nazwakomputera. Na przyk│ad, je£li nazw╣ komputera jest SalesDept1, nazw╣ konta anonimowego bΩdzie IUSR_SalesDept1. Ka┐da witryna sieci Web na serwerze mo┐e u┐ywaµ tego samego lub innych kont logowania u┐ytkownika anonimowego. Za pomoc╣ narzΩdzia Mened┐er u┐ytkownik≤w systemu Windows NT mo┐na utworzyµ nowe Konto "anonimowego logowania". WiΩcej informacji mo┐na znaleƒµ w temacie Konfigurowanie konta dla dostΩpu anonimowego.
DostΩp u┐ytkownika do serwera sieci Web mo┐na kontrolowaµ poprzez w│a£ciwe skonfigurowanie funkcji zabezpiecze± systemu Windows NT i serwera sieci Web. Gdy u┐ytkownik pr≤buje uzyskaµ dostΩp do serwera sieci Web, serwer przeprowadza proces kontroli dostΩpu, aby zidentyfikowaµ u┐ytkownika i okre£liµ dopuszczalny poziom dostΩpu.
Mo┐na skonfigurowaµ uprawnienia dostΩpu do serwera sieci Web, takie jak Odczyt, Zapis czy Wykonanie, dla okre£lonych witryn, katalog≤w i plik≤w. Uprawnienia te odnosz╣ siΩ do wszystkich u┐ytkownik≤w, niezale┐nie od ich specjalnych praw dostΩpu. Mo┐na na przyk│ad wy│╣czyµ uprawnienie Odczyt dla okre£lonej witryny sieci Web, aby uniemo┐liwiµ dostΩp u┐ytkownik≤w podczas aktualizowania zawarto£ci tej witryny. W takim przypadku, gdy u┐ytkownik pr≤buje uzyskaµ dostΩp do witryny, serwer zwraca komunikat o b│Ωdzie “DostΩp zabroniony”. Je£li jednak uprawnienie Odczyt zostanie w│╣czone, wszyscy u┐ytkownicy bΩd╣ mogli ogl╣daµ dan╣ witrynΩ sieci Web, chyba ┐e uprawnienia systemu plik≤w Windows NT (NTFS) ogranicz╣ liczbΩ tych u┐ytkownik≤w. WiΩcej informacji mo┐na znaleƒµ w temacie Ustawianie uprawnie± serwera sieci Web.
Przy zabezpieczaniu poszczeg≤lnych plik≤w i katalog≤w przed nieupowa┐nionym dostΩpem program Personal Web Server opiera siΩ na uprawnieniach systemu plik≤w Windows NT (NTFS). W przeciwie±stwie do uprawnie± serwera sieci Web, odnosz╣cych siΩ do wszystkich u┐ytkownik≤w, uprawnie± NTFS mo┐na u┐yµ do precyzyjnego okre£lenia, kt≤rzy u┐ytkownicy mog╣ uzyskaµ dostΩp do danej zawarto£ci i w jaki spos≤b u┐ytkownicy ci mog╣ manipulowaµ t╣ zawarto£ci╣.
W systemie NTFS istnieje piΩµ standardowych typ≤w uprawnie±:
Do zdefiniowania listy uprawnie±, nazywanej czΩsto list╣ kontroli dostΩpu (ACL), dla poszczeg≤lnych plik≤w i katalog≤w, mo┐na u┐yµ Ekploratora Windows NT. Definiuj╣c tΩ listΩ, nale┐y zaznaczyµ okre£lone konto u┐ytkownika lub grupΩ u┐ytkownik≤w systemu Windows NT, a nastΩpnie podaµ uprawnienia dostΩpu dla wybranego u┐ytkownika lub grupy. W poni┐szej tabeli przedstawiono zawarto£µ przyk│adowej listy uprawnie± dla pliku o ograniczonym dostΩpie:
| Konto u┐ytkownika lub grupy u┐ytkownik≤w systemu Window NT | Uprawnienia |
|---|---|
| M╙JSERWER\Administratorzy | Pe│na kontrola |
| M╙JSERWER\JanKowalski | Zmiana |
| M╙JSERWER\Go£cie | Brak dostΩpu |
Poza kontem administratora, tylko konto o nazwie JanKowalski ma uprawnienie do wprowadzania zmian w tym pliku. Zwykli u┐ytkownicy, zalogowani jako cz│onkowie grupy Go£cie systemu Windows NT nie maj╣ dostΩpu do tego pliku.
Po ustawieniu uprawnie± NTFS, serwer sieci Web musi mieµ jaki£ spos≤b identyfikowania, lub uwierzytelniania, u┐ytkownik≤w przed przyznaniem dostΩpu do plik≤w o ograniczonym dostΩpie. Funkcje uwierzytelniania serwera mo┐na skonfigurowaµ na ┐╣danie, aby u┐ytkownicy logowali siΩ z prawid│ow╣ nazw╣ i has│em konta u┐ytkownika systemu Windows NT. WiΩcej informacji mo┐na znaleƒµ w temacie Uwierzytelnienie - informacje.
Informacje proceduralne mo┐na znaleƒµ w tematach Zabezpieczanie plik≤w poprzez NTFS i Ustawianie uprawnie± dostΩpu dla katalogu lub pliku.
Prawdopodobie±stwo, ┐e serwer sieci Web bΩdzie nara┐ony na z│amanie zabezpiecze±, mo┐na zmniejszyµ, trzymaj╣c siΩ kilku podstawowych zasad. Zasady te, je£li zostan╣ zaimplementowane wraz z rozs╣dnymi za│o┐eniami kontroli dostΩpu i w│a£ciwie skonfigurowanymi funkcjami zabezpiecze±, pomog╣ uzyskaµ solidn╣ konfiguracjΩ zabezpiecze±.
Notka W przypadku aplikacji, kt≤rych zabezpieczenie jest bardzo istotne, takich jak aplikacje dla instytucji finansowych i bank≤w, nale┐y zwr≤ciµ siΩ o pomoc do profesjonalnej firmy konsultingowej zajmuj╣cej siΩ zabezpieczeniami. Firma taka mo┐e pom≤c w ustawieniu w│a£ciwych za│o┐e± i procedur zabezpiecze±.
Aby w│a£ciwie zabezpieczyµ zawarto£µ serwera sieci Web, nale┐y kierowaµ siΩ nastΩpuj╣cymi wskaz≤wkami:
Nieupowa┐nieni osobnicy mog╣ uzyskaµ dostΩp do serwera sieci Web poprzez kradzie┐ has│a konta u┐ytkownika lub odgadniΩcie go. Trzeba mieµ pewno£µ, ┐e wszystkie has│a, zw│aszcza te u┐ywane do ochrony przywilej≤w administratora, s╣ trudne do odgadniΩcia. Aby wybraµ bezpieczne has│o nale┐y przestrzegaµ nastΩpuj╣cych zasad:
Nale┐y ograniczyµ dostΩp do grupy Administratorzy serwera sieci Web. Cz│onkowie grupy Administratorzy maj╣ pe│n╣ kontrolΩ nad ca│ym serwerem sieci Web i jego funkcjami zabezpiecze±. Nale┐y przestrzegaµ poni┐szych zasad kontroli dostΩpu do grupy Administratorzy:
Nale┐y u┐yµ Mened┐era u┐ytkownik≤w systemu Windows NT, aby okre£liµ za│o┐enia praw u┐ytkownika dla grup u┐ytkownik≤w systemu Windows NT. Za│o┐enia praw u┐ytkownika definiuj╣ dzia│ania administracyjne zwi╣zane z serwerem sieci Web, jakie u┐ytkownik mo┐e przeprowadziµ. Mo┐na na przyk│ad ustanowiµ za│o┐enia, kt≤re zapewni╣, ┐e u┐ytkownicy publiczni nie bΩd╣ mieli prawa do zdalnego zamykania serwera sieci Web. Z zasady nale┐y ustanawiaµ bardzo restrykcyjne za│o┐enia praw u┐ytkownika, aby unikn╣µ przypadkowego umo┐liwienia u┐ytkownikom dokonywania zmian zasob≤w serwera sieci Web.