Подготовка и укрепление веб-сервера

План работы

Как и для любого проекта, следует заранее спланировать установку и настройку безопасности веб-сервера. Разделите этот процесс на несколько этапов.

• Определение и сбор необходимых компонентов установки. Обеспечьте оборудование, программы, персонал, поддержку, время и другие ресурсы, которые понадобятся для успешного выполнения установки. Нужен компьютер, который станет веб-сервером, а также защищенное место, в котором он будет расположен. Понадобятся программные продукты Microsoft и лицензии, сетевое оборудование для подключения сервера к сети, а также достаточное количество времени для настройки всех этих компонентов. Количество затрачиваемого времени зависит от вашего опыта. Если вы новичок, отведите для настройки сервера два дня и не спешите при выполнении процедур.
• Установка и настройка компонентов. Выполните инсталляцию. Для Microsoft IIS установку можно производить с компакт-диска непосредственно на сервере либо через сеть с сервера, на дисках которого находятся исполняемые файлы, либо выполнять установку, комбинируя два метода. Для максимальной безопасности установите особую конфигурацию вместо конфигурации по умолчанию посредством выбора нужных компонентов. В данной лекции приводятся инструкции о том, какие компоненты следует выбирать, и на что влияет наличие или отсутствие отдельных компонентов.
• Укрепление системы. Устраните слабые места, чтобы не стать жертвой хакера. Укрепление системы включает в себя отключение или удаление служб, которые не должны запускаться в выбранной конфигурации, а также правильную настройку политик, прав и разрешений.
• Включение аудита и возможностей по восстановлению. Защищенные вычислительные системы, такие как Windows 2000 и IIS, комплектуются набором системных журналов и журналов событий. Их нужно правильно сконфигурировать для определения фактов нарушения защиты и обеспечения возможности восстановления повреждений.

Процесс инсталляции и конфигурации всегда должен завершаться тестированием. Процедуры тестирования описываются в лекции 7.

Требования к безопасной установке

У каждой организации имеется свой набор требований. Некоторые организации используют веб-сервер для распространения информации, для них безопасность не является основным вопросом. Другим требуется защита даже во внутренней интранет-сети, так как их сайты используются для управления информацией о сотрудниках и их заработной плате. Третьи имеют сайты в интернете для осуществления маркетинга, электронной коммерции и поддержки продукции. Каждому случаю соответствуют свои требования к настройке и защите систем.

Важно. Компьютер, на который инсталлируется IIS, ни в коем случае не должен подключаться к интернету до полного завершения установки и подтверждения защищенности сервера. Будем считать, что сервер расположен в защищенной интранет-среде (не в интернете) или вовсе не подключен к сети при установке.

Основные рекомендации

Многие обычно пренебрегают планированием и сразу приступают к делу. Имейте в виду, что стоит допустить лишь одну неточность – и вся защита рухнет. Работа по плану снизит вероятность ошибки. Перед началом работы ознакомьтесь с рекомендациями по установке защищенного веб-сервера.

• Располагайте сервер в безопасном месте. Многие технические меры безопасности окажутся бесполезными, если злоумышленник получит физический доступ к серверу.
• По возможности сделайте веб-сервер монофункциональным сервером. Иными словами, не пытайтесь разместить веб-сервер на компьютере, который является также файловым сервером или другим компонентом. Чем больше функций имеет сервер, тем больше его уязвимость из-за ошибок конфигурации или наличия определенных программных компонентов. С увеличением комплексности сервера увеличивается риск нежелательных последствий в случае нарушения безопасности. Самым безопасным вариантом считается тот, когда сервер предназначен для выполнения одной цели.
• Ни при каких обстоятельствах не устанавливайте Microsoft IIS на контроллере домена сети. Контроллер домена сети Windows осуществляет управление безопасностью учетных записей для всего сетевого домена Windows. Уязвимость веб-сервера используется для перехвата управления веб-сервером, что предоставит хакеру доступ к контроллеру домена и сети.
• Используйте две карты сетевого интерфейса. Одну карту сетевого интерфейса соедините с сетью интернет, а другую подключите к внутренней сети. Вы сможете использовать интерфейс внутренней сети для управления сервером и обеспечить доступ интернет-трафика к компьютеру через другой интерфейс. С помощью интерфейса интранет-сети вы будете выполнять задачи по управлению сайтом в процессе его работы. Никогда не пытайтесь управлять работающим сервером через интерфейс, используемый интернет-трафиком.
• Если веб-сервер расположен в интернете, разработайте план его изоляции от интранет-сети. Не устанавливайте веб-сервер в рабочей группе или доверяемом домене. Не включайте маршрутизацию между двумя интерфейсами на сервере. Используйте маршрутизатор и/или сетевой экран для фильтрации трафика между веб-сервером и интранет-сетью (см. "Особенности процесса разработки" ).
• Установите на веб-сервере несколько дисков или разделов, чтобы располагать веб-папки не на системном диске. Это уменьшит вероятность успеха атак с использованием уязвимости стандарта Unicode (см. "Удаление, повреждение и отказ в доступе к данным" ). В случае осуществления атаки на прохождение каталогов ее воздействие распространится на остальные диски. Рекомендуется устанавливать большее количество дисков или создавать больше разделов, чем требуется, так как наличие дополнительного диска может оказаться полезным.
• Используйте файловую систему NTFS на всех жестких дисках IIS. Устройства Windows 2000 с файловой системой NTFS имеют большой набор возможностей по обеспечению безопасности. Файловые системы FAT32 и FAT16 не обеспечивают такие возможности, поэтому не используйте их на жизненно важных системах, особенно на тех, которые являются частью сети интернет.
• Не устанавливайте на веб-сервере приложения или средства разработки. Средства разработки обеспечивают широкие возможности по управлению данными и обладают высокими системными привилегиями. Если хакер сможет проникнуть в систему и запустить средство разработки, то он нанесет серьезный ущерб системе. Осуществляйте разработку веб-страницы и ее тестирование на другом компьютере и по окончании работы перепишите результат на веб-сервер.
• Не устанавливайте принтер на компьютер с сервером IIS. Переполнение буфера печати является классическим слабым местом. Эта атака популярна среди хакеров, так как она позволяет получить администраторские привилегии управления. Так как принтер на сервере не приносит никакой реальной пользы посетителям сайта, нет причин для его установки. Не стоит идти на неоправданный риск.
• Создайте список пользователей, которые получат доступ системного уровня к серверу для обновления содержимого сайта и резервирования данных. Обдумайте, кому еще следует разрешить создание и управление учетными записями пользователей на сервере. Не предоставляйте пользователям больше полномочий, чем необходимо. Далеко не каждому из них потребуются администраторские привилегии!