Сторонние средства обеспечения безопасности

Контроль изменений

Многие администраторы IIS допускают ошибку, изменяя параметры функционирующего сервера IIS без выполнения цикла "изучи и примени" и заблаговременного планирования обслуживания.

Предотвращение потенциального ущерба от атак из интернета

Что будет, если, несмотря на все старания, кто-то проникнет в сервер IIS, изменит содержимое и нанесет ущерб сайту? Если атака пройдет незамеченной, то первым, от кого вы узнаете об атаке, будет клиент или пресса, на что, как правило, и направлен расчет злоумышленника. В данном случае понадобится быстрый и простой способ восстановления сайта. Можно восстановить сайт с резервных накопителей, но это, разумеется, выполняется вручную.

Повреждение веб-сайтов отличается от атак других типов, так как высокая степень их видимости привлекает внимание средств массовой информации. При работе небольшого веб-сайта со статическим содержимым можно обслуживать страницы с компакт-диска (или других носителей с доступом только для чтения), однако для больших сайтов это не подходит. Полноценным решением проблемы будет использование разделенных операционных систем с фильтрацией входящего и исходящего трафика, подписью открытого ключа и динамического немедленного восстановления в дополнение к сетевому экрану, блокирующему все порты за исключением порта HTTP 80. Такой подход предназначен лишь для крупнейших организаций, располагающих большим бюджетом безопасности.

Формализованное тестирование, анализ атак и распределение функций являются ключевыми элементами в успешном применении изменений в системе. При четком контроле и фиксации изменений на сервере легче осуществлять восстановление после атак и выявлять проблемы, связанные с безопасностью.

Средства контроля за изменениями можно условно разделить по мерам защиты: предотвращение, быстрое восстановление и обнаружение, а также по способу применения – непосредственно на сервере, на выделенной аппаратной платформе или на отдельном компьютере.

Программы восстановления и резервирования данных

В процессе обслуживания веб-содержимого используется система удаленной проверки с возможностью автоматизированного восстановления или локальная криптографическая проверка.

Многочисленные программные продукты, имеющиеся на современном рынке, быстро восстановят сайт. Компания Lockstep Systems, Inc. (http://www.lockstep.com) производит программный продукт WebAgain (см. рис. 9.5), который автоматически обнаруживает факты взлома веб-сайта и восстанавливает содержимое. Другой продукт компании – программа SiteRecorder – защищает содержимое веб-сайта от случайных изменений сотрудниками организации посредством ведения всеобъемлющего журнала аудита и архивации всех изменений. Это позволяет легко осуществлять откат или восстановление веб-содержимого.

Программа CimTrak Web Security от компании CIMCOR (http://www.cim-cor.com) является аналогичным продуктом, обеспечивающим изоляцию всех измененных файлов для судебных целей.

увеличить изображение
Рис. 9.5. Служба Windows WebAgain работает совместно со средствами публикации для обеспечения круглосуточной защиты сайта от повреждения

Оборудование контроля доступа и производительности

Надеемся, что ваш веб-сайт будет иметь большой успех, однако слишком большой трафик, обрабатываемый сайтом, представляет отдельную проблему безопасности. Произойдет ли на сервере сбой, когда единовременно будет загружаться большое число файлов? Самым лучшим способом проверки сайта на "выносливость" является использование проверочного средства, которое покажет способность сайта к обслуживанию большого числа требовательных клиентов.

Загрузите бесплатную программу Web Application Stress (WAS) с сайта Microsoft по адресу http://webtool.rte.microsoft.com/download.asp или используйте программу Webserver Stress от компании Paessler (www.paessler.com/WebStress/webstress.htm) (см. рис. 9.6). Оба продукта симулируют трафик и загрузку сервера, соответствующую большому числу единовременных пользователей. Это позволяет определить уровень производительности и устойчивости веб-приложения, протестировать поддержку сервером различных уровней загрузки и обработку различных объемов информации.

Моделируя среду, максимально приближенную к реальной, можно обнаружить и исключить проблемы на сайте и сервере IIS перед непосредственной разработкой. Например, если сайт связан с электронной коммерцией, такие тесты выявят тот факт, что управление большим объемом задач через протокол Secure Sockets Layer (SSL) представляет собой сложную проблему. Оно может вызвать перегрузку даже самых мощных серверов, что, несомненно, отразится на общей производительности сервера.

увеличить изображение
Рис. 9.6. Протестируйте уровень производительности сервера и устойчивость веб-приложений

Аппаратные средства поддержки производительности

Помимо увеличения объема оперативной памяти и мощности процессора основательно повысить производительность работы SSL можно за счет передачи управления процессами безопасности ускорителю, что сэкономит вычислительные ресурсы для обработки заказов и транзакций. Применение ускорителя позволит не тратить средства на добавление процессоров общего назначения или даже целых серверов, что выгодно в случае дефицита рабочего пространства. Большая часть ускорителей представляет собой либо карты PCI, либо внешние устройства; ускорители являются модульными устройствами, что позволяет наращивать производительность в нужное время в нужном месте. Некоторые устройства, например, CryptoSwift от компании Rainbow (http://www.rainbow.com), интегрируются в конкретные проекты посредством использования пакетов криптографической разработки.

Ускорители SSL

Число транзакций в секунду (Transactions Per Second, TPS) используется для определения производительности ускорителей SSL, однако имейте в виду, что не существует единого стандарта определения TPS. Большая часть производителей использует значение TPS для измерения числа операций RSA с секретным ключом, осуществляемых на ключе длиной в 1024 бита. Другой характеристикой является число запросов в секунду (Requests Per Second, RPS); запросом здесь является команда HTTP GET с полной процедурой рукопожатия SSL. Тем не менее, ни одно из этих значений не отображает реальной производительности, так как большей части запросов HTTP не будет предшествовать полное рукопожатие RSA. Пропускная способность и время ответа лучше отражают производительность при исследовании ускорителей.

Ниже приведены основные производители ускорителей SSL:

• nCipher – ускорители nForce Secure SSL (http://www.ncipher.com);
• Rainbow – ускорители CryptoSwift и NetSwift SSL (http://www.rainbow.com).