Internet-Information-Server

Transkript

1 Internet-Information-Server Sicherheitstage WS 2007/2008 Hergen Harnisch

2 Hergen Harnisch IIS Folie 2 Einleitung Firewall IIS Securing & Auditing Einschätzung/Empfehlung Zusatz: WebDAV

3 Einleitung Regionales Rechenzentrum für Niedersachsen Hergen Harnisch IIS Folie 4 To help protect against malicious users and attackers, the default configuration for members of the Windows Server 2003 family does not install IIS. When it is installed, IIS is configured in a highly secure, locked mode. For example, in its default state IIS will only serve static content. (Windows Server 2003 Security Guide, Chapter 9) Beachte Obiges gilt (angeblich) für IIS 6.0 auf Windows 2003 SP1/2, IIS 5 oder älter nicht mehr einsetzen! Selbst wenn Webserver-Daemon ansich sicher, er muss auch sicher konfiguriert sein Inhalte müssen sicher sein Rechner als ganzes muss sicher sein

4 Firewall Regionales Rechenzentrum für Niedersachsen Hergen Harnisch IIS Folie 6 bei Windows 2003 muss die Firewall aktiviert werden ICMP echo-request zulassen reinkommend Port 80, 443 zulassen, ggf. auch in FW IP-Bereich einschränken heute keine Gefahr (ping of death) mehr guter Ton bei Webservern generell Erleichterung bei Problemen

5 Hergen Harnisch IIS Folie 7 Firewall Firewall erst aktivieren

6 Hergen Harnisch IIS Folie 8 Firewall Firewall IIS

7 Hergen Harnisch IIS Folie 9 Firewall Firewall IP-Bereich

8 Hergen Harnisch IIS Folie 10 Firewall Firewall ping

9 Hergen Harnisch IIS Folie 12 IIS Installation Über Serverassistenten oder gezielt über Systemsteuerung/Software, Windows-Komponenten

10 Hergen Harnisch IIS Folie 12 IIS Installation Über Serverassistenten oder gezielt über Systemsteuerung/Software, Windows-Komponenten

11 Hergen Harnisch IIS Folie 13 IIS Konfiguration Webseite Standardwebseite ist bereits vorbereitet, ASP.Net, WebDAV etc. nach Installation zunächst aus

12 Hergen Harnisch IIS Folie 14 IIS Eigenschaften Webseite

13 Hergen Harnisch IIS Folie 14 IIS Eigenschaften Webseite

14 Hergen Harnisch IIS Folie 15 IIS Verzeichnissicherheit Bündelt http-authentifizierung/ntfs-zugriff, IP-Filterung, SSL-Einstellungen

15 Hergen Harnisch IIS Folie 16 IIS Authentifizierung/NTFS-Zugriff Anonymen Zugriff wird Windowsnutzer zugeordnet (IUSR_*), HTTP-Authentifizierung immer als Windowsnutzer

16 Hergen Harnisch IIS Folie 16 IIS Authentifizierung/NTFS-Zugriff Anonymen Zugriff wird Windowsnutzer zugeordnet (IUSR_*), HTTP-Authentifizierung immer als Windowsnutzer

17 Hergen Harnisch IIS Folie 17 IIS IP-Adressen-Filter

18 Hergen Harnisch IIS Folie 19 Securing & Auditing SSL Server-Zertifikat einbinden

19 Hergen Harnisch IIS Folie 19 Securing & Auditing SSL SSL erzwingen, Clientzertifkatbehandlung

20 Hergen Harnisch IIS Folie 20 Securing & Auditing Logging W3C-Format der Quasi-Standard, Logging sehr weitreichend konfigurierbar

21 Hergen Harnisch IIS Folie 21 Securing & Auditing Absicherung Microsofts Best-Practise wenig hilfreich Nutzerkonfiguration, NTFS-Rechte Gruppenrichtlinien Standard-Tools zu Absicherung & Prüfung Microsoft Baseline Security Analyzer (MSBA) Security Configuration Wizard (SCW) evt. einige ISAPI-Filter IIS-Lockdown-Tool & URLScan in IIS 6.0 überflüssig

22 Einschätzung/Empfehlung Regionales Rechenzentrum für Niedersachsen Hergen Harnisch IIS Folie 23 Benutzen Sie lieber ein Unix-System mit Apache, es sei denn Sie brauchen IIS für ein MS-Produkt (z.b. WSUS) Sie nutzen eine fertige ASP.Net-Applikation Sie haben Windows-Fileservices und wollen WebDAV nutzen Begründung: schlechte Erfahrungen mit alten IIS-Versionen 5.1 HTTP-Nutzer = (evt. reglementierter) Windows-Nutzer, keine zusätzliche Nutzerverwaltung unübersichtliche Konfiguration Verwundbarkeit des Betriebssystems selbst, viele Dienste & GUI haben auf Server nichts zu suchen 1 persönliche Meinung 1 Soll in Server 2008 besser werden

23 Hergen Harnisch IIS Folie 25 Zusatz: WebDAV WebDAV-Dienst aktivieren... und verknüpftes Verzeichnis anlegen

24 Hergen Harnisch IIS Folie 26 Zusatz: WebDAV HTTP-User=Windows-User ausnahmsweise sinnvoll

25 Hergen Harnisch IIS Folie 27 Zusatz: WebDAV Mehr als Lesen notwendig

26 Hergen Harnisch IIS Folie 28 Zusatz: WebDAV WebDAV-Erfahrung... aber funktioniert hat es bei mir nicht auf Anhieb: habe es local auf dem Rechner versucht ( auf Windows Server 2003 muss man als WebDAV-Client erst noch WebClient-Dienst starten Zwar funktionierte das Verbinden danach, aber eine Authentisierung war nicht möglich.