Sicurezza IIS: come rafforzare un server Web IIS Windows in 10 passaggi
Microsoft Internet Information Server (IIS) è ampiamente utilizzato nelle aziende, nonostante una reputazione non proprio eccezionale per la sicurezza. In effetti, per molti la "sicurezza IIS" è una contraddizione di termini, anche se in tutta onestà, la soluzione server Web di Microsoft è migliorata in modo significativo nel corso degli anni. IIS 8.5 per il server 2012 R2 e IIS 10 per il 2016 sono stati rafforzati e non presentano più le pericolose configurazioni predefinite delle iterazioni IIS precedenti, ma possono comunque essere ulteriormente rafforzati. Seguendo questi 10 passaggi, è possibile aumentare notevolmente la sicurezza delle app Web e dei server IIS.
1. Analizzare le dipendenze e disinstallare i moduli IIS non necessari dopo l'aggiornamento.
Se si prevede di eseguire l'aggiornamento da una versione precedente di IIS, tenere presente che le informazioni sullo stato e la metabase dell'installazione precedente verranno trasferite nella nuova installazione. Assicurarsi di disabilitare e/o disinstallare tutti i componenti e le funzionalità IIS inutilizzati per ridurre al minimo la superficie di attacco del server Web. Anche se non è stato eseguito l'aggiornamento, assicurarsi che siano presenti solo i moduli necessari.
UpGuard garantisce che i moduli IIS siano corretti su un numero qualsiasi di server, trasformando una configurazione nota su uno dei server in documentazione eseguibile rispetto alla quale gli altri possono essere testati regolarmente.
2. Configurare correttamente gli account utente/gruppo del server Web
IIS include account utente e di gruppo integrati dedicati al server Web. Ad esempio, è possibile creare account di amministratore di sistema e di applicazione separati per un accesso a livello più granulare. Gli amministratori di sistema possono quindi concedere agli amministratori delle applicazioni i diritti per apportare modifiche alla configurazione a livello di applicazione senza la necessità di concedere loro l'accesso amministrativo al server. Questi account devono essere controllati su base continuativa per garantire che siano configurati in modo sicuro.
UpGuard tiene traccia e visualizza quali utenti eseguono quali servizi e testa i server rispetto agli standard per far emergere eventuali configurazioni utente che potrebbero rappresentare potenziali problemi di sicurezza. Oops, sembra che questo sia in esecuzione come Local System, un account con privilegi elevati:
3. Utilizzare le restrizioni CGI/ISAPI di IIS 7
CGI e ISAPI sono due modi comuni per sviluppare IIS, sia per la generazione di contenuto dinamico che per l'estensione delle funzionalità native di IIS. Sfortunatamente, anche i file CGI (.exe) e le estensioni ISAPI (.dll) sono comunemente sfruttati negli attacchi web e dovrebbero essere limitati se non utilizzati. Ad esempio, se si utilizza PHP o ColdFusion per creare contenuto dinamico con IIS, l'uso di CGI e di altre estensioni ISAPI potrebbe non essere necessario. Analogamente ai moduli IIS, queste configurazioni devono essere disinstallate a meno che non vengano utilizzate in modo specifico.
UpGuard gestisce i moduli e le configurazioni IIS allo stesso modo, consentendo di differenziare rapidamente un set di server IIS e vedere quali moduli sono installati correttamente. Utilizzare i criteri per mantenere i moduli IIS coerenti nel tempo, visualizzando immediatamente eventuali modifiche che violano le configurazioni previste.
4. Configurare le opzioni di filtro delle richieste HTTP
UrlScan era un'estensione che fungeva da strumento di sicurezza per limitare le richieste HTTP. La funzionalità UrlScan è ora incorporata in IIS e deve essere configurata in modo appropriato. Le richieste HTTP potenzialmente dannose non raggiungono il server tramite il filtro basato su regole. Queste opzioni sono fondamentali per mitigare minacce come SQL injection, tra le altre, e devono essere usate insieme all'applicazione Web basata su IIS.
UpGuard scopre su quali dei tuoi server è installato il modulo di filtraggio delle richieste e verifica che sia configurato correttamente. Non è più necessario stabilire se i server IIS tra produzione e sviluppo siano gli stessi.
5. Utilizzare le restrizioni IP dinamiche
Le restrizioni degli indirizzi IP dinamici utilizzano gli indirizzi IP e il nome di dominio di un richiedente per determinare se limitare o meno l'accesso. Si tratta essenzialmente di una whitelist, "allowUnlisted", utilizzata da IIS per impedire l'accesso non autorizzato. Pertanto, in caso di attacchi Denial of Service (DoS) e di forza bruta, il modulo Dynamic IP Restrictions (DIPR) di IIS può bloccare temporaneamente gli indirizzi IP che effettuano richieste insolite.
Gli IP dinamici sono solo un altro modulo all'interno di IIS. UpGuard ti aiuta a tenere traccia di dove è installato e può avvisarti in modo proattivo se è stato modificato. Se un server di produzione viene distribuito senza questo modulo, le richieste Web diventano un serio vettore di attacco, a seconda del tipo di codice disponibile.
6. Incorporare l'autorizzazione URL nell'applicazione
L'autorizzazione URL concede l'accesso agli URL all'interno di un'applicazione IIS in base ai nomi utente e ai ruoli, anziché agli account del server o del sistema. In questo modo è più facile limitare i contenuti in base all'appartenenza al gruppo. Le regole di autorizzazione URL possono essere associate a un server, un sito o un'applicazione.
L'appartenenza al gruppo è un altro aspetto importante dello stato del sistema gestito da UpGuard. Ad esempio, se si desidera monitorare il gruppo di amministratori, UpGuard potrebbe avvisare l'utente quando viene aggiunto un nuovo utente o viene rimosso un utente previsto.
7. Utilizzare l'autenticazione basata su moduli crittografati
L'autenticazione basata su moduli consente la gestione della registrazione e dell'autenticazione dei client a livello di applicazione, anziché a livello di account Windows. Poiché questo meccanismo di autenticazione passa i valori del modulo come testo non crittografato, è necessario installare SSL per crittografare i dati sensibili.
IIS considera i meccanismi di autenticazione come funzionalità, quindi monitorarli con UpGuard è facile. Assicurati che siano installati solo i meccanismi di autenticazione che stai utilizzando e assicurati che siano installati ovunque con pochi clic.
8. Utilizzare le identità del pool di applicazioni
Questa funzionalità di IIS consente una sicurezza più granulare eseguendo pool di applicazioni con account univoci, ignorando la creazione/gestione di domini o account locali. Utilizzando un account con privilegi limitati, ovvero ApplicationPoolIdentity, è possibile isolare più set distinti di contenuto anonimo del sito Web senza dover creare un account univoco per ogni sito Web.
Si tratta di un'operazione chiave, in quanto un'applicazione Web sfruttata avrà solo i diritti dell'utente che esegue il pool di applicazioni, quindi limitarla e segregarla può ridurre drasticamente i danni.
9. Isolere/segregare le applicazioni Web
Utilizzando una combinazione delle funzionalità IIS precedenti, è possibile ottenere un isolamento e una segregazione più sicuri per le applicazioni Web. In generale, è necessario prendere in considerazione le seguenti raccomandazioni in materia di sicurezza:
- Ogni pool di applicazioni deve essere assegnato a un singolo sito Web.
- Il pool di applicazioni deve essere assegnato a un utente dedicato.
- Le identità utente anonime devono essere configurate per l'utilizzo del pool di applicazioni.
10. Correggi le vulnerabilità critiche di IIS
Ultimo ma non meno importante, le vulnerabilità critiche di IIS devono essere corrette o risolte. Come per tutti gli aggiornamenti Microsoft, tenere sotto controllo le patch e i service pack consente di garantire che il server sia il più protetto possibile. La maggior parte degli exploit prende di mira vulnerabilità che hanno più di un anno e hanno patch rilasciate, quindi un po' di manutenzione regolare fa molto. Le patch devono essere distribuite in un ambiente di test prima della produzione e ogni aggiornamento deve essere considerato e approvato, se possibile, prima di essere autorizzato nell'organizzazione.
>UpGuard aiuta a garantire che i livelli di patch siano gli stessi su tutti i server IIS. Creando una policy UpGuard da un server con un livello di patch adeguato, è possibile confrontare altri server con essa per individuare eventuali valori anomali. La correzione può quindi essere monitorata man mano che i server diventano conformi all'interno di UpGuard.
Conclusione
In breve, la natura modulare di IIS consente un controllo più granulare sulle risorse e sulla sicurezza del server Web. Tuttavia, questo può rendere le applicazioni Web più o meno sicure, a seconda della persona o del gruppo responsabile della sicurezza. Meccanismi di sicurezza più profondi e granulari richiedono una gestione più attenta di tali risorse; fortunatamente, questi processi ardui possono essere gestiti automaticamente con la piattaforma di UpGuard per il rilevamento e il monitoraggio delle vulnerabilità. I criteri di sicurezza di Windows e IIS possono analizzare automaticamente l'ambiente alla ricerca di vulnerabilità critiche e lacune di sicurezza.
Sei a rischio di violazione dei dati?
UpGuard è in grado di monitorare continuamente la superficie di attacco interna e di terze parti per aiutare le organizzazioni a scoprire e rimediare ai rischi residui derivanti dall'esposizione dei dati sensibili.
UpGuard supporta anche la conformità in una miriade di framework di sicurezza, inclusi i nuovi requisiti stabiliti dall'ordine esecutivo sulla sicurezza informatica di Biden.
Clicca qui per una prova GRATUITA di UpGuard oggi stesso!