Проектирование защиты Web-сервера

Web-сервера в корпоративных сетях часто становятся первым объектом для атаки, потому как они доступны не только внутренним пользователям, но и из внешнего Интернета. Поэтому нужно уделять особое внимание проектированию их защиты. Во-первых, нужно стараться, чтобы Web-сервер не выполнял никаких других серверных ролей, в полном объеме использовать принцип наименьших привилегий, и использовать на этом сервере только необходимые приложения и службы.

В дальнейшем рассмотрим базовые принципы защиты Web-сервера под управлением WS2003, созданного на базе технологии IIS 6.0. Для того чтобы свести к минимуму возможность атаки Web-сервера необходимо отключить ряд служб операционной системы, в частности:

Отключение указанных служб позволит сократить количество открытых портов в системе и уменьшить количество работающих процессов, что, в общем, повысит уровень безопасности сервера. Аналогичных рекомендаций нужно придерживаться при выборе наполнения самой службы IIS.

Необходимо ограничить набор функций, устанавливаемых на Web-сервер по умолчанию. Например, если Web-сервер не выполняет других серверных ролей, то можно не устанавливать консоль Сервер приложений (ее заменит Диспетчер IIS, а если администрировать Web-сервер предполагается удаленно, можно не устанавливать и его). Если на сервере нет распределенных приложений, можно не устанавливать Поддержку объектов COM+. Таким образом, однозначно установленными и включенными должны быть: служба Интернета и служба доступа к общим файлам..

Для ограничения доступа к размещенным на сервере Web-сайтам и прочим ресурсам можно ограничивать по IP-адресам и доменным именам. Это актуально для пользователей беспроводных сетей, которым, вполне возможно, потребуется запретить доступ к корпоративному сайту. При проектировании Web-сайта необходимо пользоваться следующими рекомендациями:

Из последнего элемента списка следует, что при определении действующих разрешений для пользователя при доступе к Web-сайтам используются не только разрешения файловой системы NTFS (на томе которой расположен сайт), но и Web-разрешения. Как и при доступе к общим папкам действуют самые жесткие разрешения из пересечений разрешений указанных двух видов.

Данные Web-сервера также нуждаются в защите при передаче. В зависимости от типа канала их можно защищать с помощью SSL, IPSec, VPN. SSL использует сертификаты для аутентификации и шифрования данных, передаваемых между клиентами сервера. Если в организации внедрена система Открытых ключей, SSL рекомендуется для защиты клиент-серверных приложений (например, взаимодействие между SQL Server и IIS) или для создания прямого туннеля между IIS-сервером и брандмауэром, который будет передавать Web-данные клиенту. Для защиты канала связи, который использует администратор для управления Web-сервером, применяют IPSec. В случае если корпоративная сеть имеет несколько географически удаленных сегментов с распределенными по ним web-серверами для доступа к корпоративным клиентов к web-серверу компании выгодно использовать VPN. В этом случае можно будет организовать аутентификацию пользователей средствами активного каталога и безопасную передачу данных через туннель.

Технологии IIS поддерживают несколько методов аутентификации пользователей:

В случае если для сайта назначены несколько методов аутентификации, IIS выберет самый защищенный. Однако если в числе прочих выбран анонимный доступ, он будет использоваться в первую очередь, а если выбрана аутентификация по паспорту .NET, другие методы будут недоступны.

Если Web-сервис требует надежной аутентификации, можно настроить службы IIS на использование сертификатов. Службы IIS имеют собственные хранилища сертификатов. Каждый Web-сайт располагает собственным списком доверенных сертификатов. Поэтому при использовании системы открытых ключей для доступа к web-сайту, для каждого из размещенных на сервере сайтов необходимо устанавливать свои сертификаты и управлять их списками отдельно. А вот список отозванных сертификатов в IIS общий.

В случае если доступ к Web-сайту осуществляется посредством VPN или по коммутируемой линии, для аутентификации применяют технологию RADIUS. При использовании этой технологии нужно пользоваться следующими рекомендациями:

Мониторинг web-сервера должен быть основан на базовых принципах мониторинга производительности и безопасности для серверов. Количество записей в журнале безопасности на этом сервере, как и на любом другом, зависит от его загруженности и действующей политики аудита. Однако необходимо учесть, что служба IIS ведет собственные файлы журналов, для работы с которыми встроенной группе SYSTEM необходимо дать Полный доступ, Администраторам – разрешение на чтение, изменение и удаление, а группе Все полностью запретить доступ.