Безопасность FTP, NNTP и других служб IIS

Служба SMTP (Simple Mail Transport Protocol)

SMTP (простой протокол передачи сообщений электронной почты) представляет собой основной протокол, используемый для передачи сообщений электронной почты через интернет. IIS обеспечивает его поддержку посредством службы SMTP, которая устанавливается в качестве дополнительного компонента. Однако не думайте, что это полнофункциональная почтовая система, как, например, Microsoft Exchange. Служба SMTP не поддерживает протоколы POP3 или IMAP, которые позволяют пользователям хранить сообщения в нескольких частных расположениях. Так как SMTP лишь отправляет электронную почту с одного сервера на другой, ни SMTP, ни IIS не могут обрабатывать входящую почту и помещать ее в почтовые ящики для чтения пользователями. Так зачем же устанавливать службу SMTP, если она не обеспечивает функциональность почтового ящика? Эта служба облегчает приложениям доступ к сервису электронной почты и может пригодиться, если вам понадобится простой почтовый SMTP-сервер.

Важно. Windows 2000 устанавливает SMTP по умолчанию, когда сервер переходит в статус Domain Controller (Контроллер домена), так как SMTP является дополнительным транспортным методом, используемым для передачи информации между контроллерами доменов. Если контроллер домена не настроен непосредственно на использование SMTP, отключите службу SMTP, если она не используется еще где-нибудь.

Если сайт требует наличия SMTP, необходимо выполнить настройку параметров безопасности. Работа SMTP на сервере IIS делает его уязвимым к атакам на отказ в обслуживании, атакам с произвольным кодом, массовым рассылкам, программам прослушивания сети, перехватывающим сообщения при их маршрутизации с одного сервера SMTP на другой. Как и для FTP-сервера, настройте SMTP-сервер для обеспечения минимального количества необходимых служб.

Обеспечение безопасности SMTP-сервера

Управление сервером SMTP осуществляется из консоли ISM Management, поэтому для изменения его параметров нужно быть членом локальной группы Administrators (Администраторы). Чтобы открыть диалоговое окно Properties (Свойства) (см. рис. 10.12), щелкните правой кнопкой мыши на сервере SMTP и в появившемся меню выберите Properties. Необходимо сразу же настроить параметры соединения и включить ведение журнала. Можно использовать такие же настройки журнала, что и для IIS.

Рис. 10.12. Окно SMTP Server Properties (Свойства сервера SMTP) содержит свой собственный набор вкладок

Вспомнив, как установлены ограничения на подключение к FTP-серверу, нужно ограничить максимальное число подключений к серверу SMTP, чтобы ни один отдельный домен не смог полностью контролировать входящие и исходящие подключения службы SMTP. Нажмите на кнопку Connection (Подключение) на вкладке General (Общие) и установите число соединений и временные периоды на нужные значения.

Контроль доступа

Вкладка Access (Доступ) позволяет настраивать четыре основных параметра, используемых для предотвращения несанкционированного использования SMTP-сервера и для обеспечения безопасности входящих подключений (см. рис. 10.13).

• Контроль доступа.
• Безопасное соединение.
• Контроль подключения.
• Ограничения ретрансляции.

Рис. 10.13. Контролируйте входящую почту с помощью вкладки Access (Доступ) и исходящую почту – с помощью вкладки Delivery (Доставка)

Аутентификация. Включите обязательную аутентификацию клиентов и серверов перед получением доступа к службам SMTP. Для настройки аутентификации входящих подключений SMTP-службы имеются три параметра: Anonymous (Анонимная), Basic (Базовая) и Windows security services (Службы безопасности Windows). Параметром по умолчанию является Anonymous Access (Анонимный доступ), используемый клиентами интернета и не требующий ввода имени пользователя и пароля. Этот параметр необходим для реализации интернет-сервера, выполняющего функции главного почтового сервера. Базовая аутентификация требует от клиента отправки корректных имени пользователя и пароля, которые проверяются в домене, указанном в поле Default Domain (Домен по умолчанию). Как и в базовой системе аутентификации в IIS, пароль передается в открытом виде, однако здесь можно применить шифрование TLS (Transport Layer Security). TLS требует наличия соответствующего сертификата сервера, так же как и SSL. Параметр Windows Security Package (Пакет безопасности Windows) не требует непосредственной отправки паролей, так как он использует интерфейс Windows 2000 Security Support Provider Interface (SSPI) для выполнения Win2K-аутентификации переданных имен пользователей и паролей (Kerberos или NTLM). Почтовые клиенты типа Microsoft Outlook Express не требуют поддержки данного метода аутентификации.

Безопасное соединение. Можно обеспечить шифрование входящих данных посредством включения обязательного использования TLS при обмене между серверами. Компьютеры клиентов будут использовать TLS для отправки зашифрованных сообщений, которые дешифровываются службой SMTP. Можно повысить надежность соединений посредством использования 128-битного шифрования (по умолчанию используется 40-битное), если серверы, требующие подключения к серверу, также используют 128-битное шифрование.

Контроль подключения. Можно ограничить доступ к SMTP-серверу, указав IP-адрес удаленного компьютера или доменное имя DNS. Данные параметры следует настроить так же, как и службу FTP. Обратитесь к нижеприведенной "Проблеме", чтобы узнать, как с помощью контроля подключения защитить сервер Microsoft Exchange.

Ограничения ретрансляции. Если служба SMTP принимает сообщение для удаленного домена, то она перенаправляет его на указанный конечный домен. SMTP-серверы, принимающие и перенаправляющие сообщения на непроверенные почтовые домены, называются открытыми ретрансляторами почты. Спаммеры (пользователи, занимающиеся нелегальной массовой рассылкой) используют открытые ретрансляторы для отправки тысяч нелегальных сообщений, вызывая перегрузку сервера и получение нежелательной почты. Открытый ретранслятор используется хакерами для реализации атаки на другой сайт через отправку большого количества электронных сообщений. В этом случае все выглядит так, словно нелегальная почта отправлена с сервера с открытой ретрансляцией, поэтому компании, обеспечивающей работу этого сервера, могут быть предъявлены обвинения в рассылке спама или в выполнении атак на отказ в обслуживании. Это приводит к потере репутации и другим нежелательным последствиям, так как многие организации блокируют серверы, от которых исходят нелегальные массовые рассылки. Необходимо настроить SMTP-сервер на контроль и блокировку сторонних почтовых ретрансляторов; в противном случае любой пользователь сможет отправлять сообщения на сервер, который, в свою очередь, осуществит их обработку и доставку. По умолчанию служба SMTP настроена на прием только тех входящих сообщений, которые направлены на локальные домены, расположенные на самом сервере.

Совет. Можно выяснить, настроен ли сервер на ретрансляцию внешних сообщений электронной почты, посетив сайт http://mail-abuse.org/tsi/ar-test.html или загрузив утилиту rlytest с сайта http://www.unicom.com/sw/#rlytest.

Если возникнет необходимость в перенаправлении сообщений, вызванная особенностями вашего бизнеса, можно указать исключения двумя способами. Первый способ – указание исключений при помощи IP-адресов или доменных имен DNS компьютеров, которым перенаправляются сообщения. Второй способ – указание удаленных доменов, на которые перенаправляется поступающая почта, если соответствующий домен является пунктом назначения того или иного сообщения независимо от исходного IP-адреса или имени домена DNS.

Сообщения

Параметры, указываемые на вкладке Messages (Сообщения), предотвращают нецелевое использование системы как внутренними, так и внешними пользователями; тем не менее, некоторые из этих параметров не являются принудительными.

Ограничение размера сообщения и сеанса. Лимит размера сообщения представляет собой предельный размер получаемого SMTP-службой сообщения, этот параметр не является принудительным. При подключении SMTP-клиента или сервера к IIS предел размера сообщения передается удаленному компьютеру через команду Size. Однако IIS принимает и обрабатывает сообщения, большие по размеру, чем полученное предельное значение.

Максимальный сеансовый размер является принудительным значением, и, если удаленная SMTP-система отправляет сообщение большего размера, IIS закрывает соединение и обрывает сообщение в процессе передачи. Будьте внимательны при установке этого параметра, так как удаленная система, скорее всего, повторно отправит сообщение при следующем соединении, что вызовет цикл, повторяющийся до достижения предельного числа повторных попыток.