1、站点的Web匿名访问用户的权限设置，遵循“最小权限满足最大安全”的准则。

    ● 只读的目录只给read权限

    ● 需要上传图片的目录和Access数据库文件存放的目录，以及任何需要写入文件的地方，给read和write权限

    ● 严禁给Execute权限

    ● 一般情况下不给list权限

    2、IIS里面删除所有不需要的扩展名映射（例如。idq、。ida等等）

    3、每个站点自定义Web匿名访问用户，该用户从属于guest组，且除了相应的NTFS权限以外，无任何额外的登陆、执行权限。

    4、对SQL Server数据库，严禁在Web程序中使用sa以及其他系统管理员组中的用户登录；

    5、SQL Server数据库中该删除的危险的扩展存储过程一定要删除；

    6、日志、Web根目录、数据库文件夹所在位置自定义；

    7、对于只需要Web匿名访问用户读写但不需要进行http访问的文件、文件夹，放置到web目录以外。

    8、修改站点文件的时候，禁止将。bak文件传到文件夹中。

    9、对于管理目录或者企业机密目录，放置robot.txt文件与搜索引擎直接对话，禁止搜索引擎搜索。

    10、根据需要设置IIS允许的带宽、最大连接数、最大CPU占用等等。

    11、可以考虑采用 ISAPI_Rewrite 实现传参过程的隐蔽。再结合Web反相代理（例如：Squid、ISA Server）设置缓存策略。可以在响应效率、安全性上有很大的提升。

    12、对于上传目录，将IIS中执行许可中的脚本执行改为无。

    13、视情况设置允许、拒绝访问的IP地址或IP段。

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。