Основные рекомендации
Многие обычно пренебрегают планированием и сразу приступают к делу. Имейте в виду, что стоит допустить лишь одну неточность – и вся защита рухнет. Работа по плану снизит вероятность ошибки. Перед началом работы ознакомьтесь с рекомендациями по установке защищенного веб-сервера.
- Располагайте сервер в безопасном месте. Многие технические меры безопасности окажутся бесполезными, если злоумышленник получит физический доступ к серверу.
- По возможности сделайте веб-сервер монофункциональным сервером. Иными словами, не пытайтесь разместить веб-сервер на компьютере, который является также файловым сервером или другим компонентом. Чем больше функций имеет сервер, тем больше его уязвимость из-за ошибок конфигурации или наличия определенных программных компонентов. С увеличением комплексности сервера увеличивается риск нежелательных последствий в случае нарушения безопасности. Самым безопасным вариантом считается тот, когда сервер предназначен для выполнения одной цели.
- Ни при каких обстоятельствах не устанавливайте Microsoft IIS на контроллере домена сети. Контроллер домена сети Windows осуществляет управление безопасностью учетных записей для всего сетевого домена Windows. Уязвимость веб-сервера используется для перехвата управления веб-сервером, что предоставит хакеру доступ к контроллеру домена и сети.
- Используйте две карты сетевого интерфейса. Одну карту сетевого интерфейса соедините с сетью интернет, а другую подключите к внутренней сети. Вы сможете использовать интерфейс внутренней сети для управления сервером и обеспечить доступ интернет-трафика к компьютеру через другой интерфейс. С помощью интерфейса интранет-сети вы будете выполнять задачи по управлению сайтом в процессе его работы. Никогда не пытайтесь управлять работающим сервером через интерфейс, используемый интернет-трафиком.
- Если веб-сервер расположен в интернете, разработайте план его изоляции от интранет-сети. Не устанавливайте веб-сервер в рабочей группе или доверяемом домене. Не включайте маршрутизацию между двумя интерфейсами на сервере.
Используйте маршрутизатор и/ или сетевой экран для фильтрации трафика между веб-сервером и интранет-сетью (см. лекции 6). - Установите на веб-сервере несколько дисков или разделов, чтобы располагать веб-папки не на системном диске. Это уменьшит вероятность успеха атак с использованием уязвимости стандарта Unicode (см. лекции 2). В случае осуществления атаки на прохождение каталогов ее воздействие распространится на остальные диски. Рекомендуется устанавливать большее количество дисков или создавать больше разделов, чем требуется, так как наличие дополнительного диска может оказаться полезным.
- Используйте файловую систему NTFS на всех жестких дисках IIS. Устройства Windows 2000 с файловой системой NTFS имеют большой набор возможностей по обеспечению безопасности. Файловые системы FAT32 и FAT16 не обеспечивают такие возможности, поэтому не используйте их на жизненно важных системах, особенно на тех, которые являются частью сети интернет.
- Не устанавливайте на веб-сервере приложения или средства разработки. Средства разработки обеспечивают широкие возможности по управлению данными и обладают высокими системными привилегиями. Если хакер сможет проникнуть в систему и запустить средство разработки, то он нанесет серьезный ущерб системе. Осуществляйте разработку веб-страницы и ее тестирование на другом компьютере и по окончании работы перепишите результат на веб-сервер.
- Не устанавливайте принтер на компьютер с сервером IIS. Переполнение буфера печати является классическим слабым местом. Эта атака популярна среди хакеров, так как она позволяет получить администраторские привилегии управления. Так как принтер на сервере не приносит никакой реальной пользы посетителям сайта, нет причин для его установки. Не стоит идти на неоправданный риск.
- Создайте список пользователей, которые получат доступ системного уровня к серверу для обновления содержимого сайта и резервирования данных. Обдумайте, кому еще следует разрешить создание и управление учетными записями пользователей на сервере.Не предоставляйте пользователям больше полномочий, чем необходимо. Далеко не каждому из них потребуются администраторские привилегии!
