windows - 在 IIS 中禁用匿名访问是否会带来安全风险？

Question

如果我取消 IIS 中的“启用匿名访问”复选框，以便用密码保护站点，即通过限制对指定 Windows 帐户的读取访问，会生成随后显示的密码对话框对于所有匿名 http 请求，是否存在安全风险，因为它(表面上)提供了无限次的猜测​​任何 Windows 帐户密码的尝试？

编辑:好的，到目前为止还没有太多的乐趣，所以我附上了赏金。只是50分对不起，我是一个谦虚的人。澄清我的问题:在 IIS 中禁用匿名访问是否为公众提供了以前不存在的密码猜测机会，或者浏览器的用户凭据对话是否可以通过在直接 http 请求，并且响应将指示组合是否正确，即使该页面无论如何都对匿名用户开放？此外，通过 http 提交的不正确密码尝试是否遵循对内部登录强制执行的相同锁定策略，如果是这样，这是否代表一个非常容易故意锁定已知用户名的机会，或者，如果没有，是否有任何可以做的事情减少这种无限制的密码猜测机会？

Answer 1

对您的问题的简短回答是肯定的。任何时候您授予对网络上任何资源的任何远程访问权，都会带来安全风险。你最好的选择是关注 IIS best practices然后自己采取一些预防措施。 Rename your built in administrator account .实现强密码策略。 Change the server header .删除匿名访问虽然存在密码猜测风险，但如果与适当的分层安全模型一起使用，是一种非常易于管理的方法。