Tiểu luận môn an toàn thông tin Bảo mật máy chủ IIS - IIS Security

Bảo mật máy chủ IIS server: Đảm bảo cung cấp các dịch vụ Web, các ứng dụng trên máy chủ IIS được bảomật nhất, mỗi ứng dụng từ máy chủ IIS cần phải được bảo mật từ những máyclients có thể

TRƯỜNG ĐẠI HỌC NÔNG NGHIỆP HÀ NỘI

KHOA CÔNG NGHỆ THÔNG TIN

BÀI TẬP LỚN

AN TOÀN THÔNG TIN

Đề tài : Bảo mật máy chủ IIS - IIS Security

Giáo viên hướng dẫn : Nguyễn Văn Hoàng

Nhóm sinh viên thực hiện: Nhóm 20

Vũ Thị Mai Hoa Nguyễn Thị Sen

Hà Nội 2011

PHẦN I: MỞ ĐẦU

I Đặt vấn đề

Internet Information Services là một phần mềm cung cấp các dịch vụ dành chomáy chủ được sử dụng rất rộng rãi trên thế giới được phát triển bởi công ty phầnmềm Microsoft IIS là web server được sử dụng phổ biến thứ hai trên thế giới, chỉđứng sau web server HTTP Apache và theo khảo sát của Netcorft, IIS hiện đangphục vụ cho 24,47% các website trên toàn thế giới Cùng với sự phổ biến này, IIScũng luôn là một mục tiêu tấn công của các hacker nhằm xâm nhập, phá hoại hệthống Ngày 19 tháng 7 năm 2001, hơn 359,000 máy tính sử dụng webserver IIScủa Microsoft đã bị tấn công bởi một con sâu có tên là Code Red Worm, gây nênnhững thiệt hại to lớn Chính vì vậy vấn đề bảo mật cho web server trở nên vô cùngquan trọng đối với các nhà phát triển và quản trị hệ thống Trong bài báo cáo nàychúng ta sẽ cùng tìm hiểu một số kiến thức cơ bản về các thành phần, cách cấu hìnhIIS 6.0 để bảo mật máy chủ IIS trên Windows Server 2003

II Mục đích và yêu cầu

- Tìm hiểu về IIS

- Cài đặt IIS 6.0

- Bảo mật IIS 6.0 với máy chủ Windows Server 2003

PHẦN II: NỘI DUNG

I Tìm hiểu về IIS

1.a.1 Khái niệm về IIS:

IIS là viết tắt của từ (Internet Information Services )

Microsoft Internet Information Services là một phần mềm cung cấp các dịch vụdành cho máy chủ chạy trên nền Hệ điều hành Window nhằm cung cấp và phân táncác thông tin lên Internet Ví dụ: sau khi bạn thiết kế xong các trang Web của mình,nếu bạn muốn đưa chúng lên mạng để mọi người có thể truy cập và xem chúng thìbạn phải nhờ đến một Web Server, ở đây là IIS Nếu không thì trang Web của bạnchỉ có thể được xem trên chính máy của bạn hoặc thông qua việc chia sẻ tệp (filesharing) như các tệp bất kỳ trong mạng nội bộ

IIS được phát triển bởi công ty phần mềm Microsoft để làm việc với MicrosoftWindows, IIS thường đính kèm với các phiên bản của Windows

1.a.2 IIS có thể làm được gì?

Nhiệm vụ của IIS là tiếp nhận yêu cầu của máy trạm và đáp ứng lại yêu cầu đóbằng cách gửi về máy trạm những thông tin mà máy trạm yêu cầu

IIS hỗ trợ nhiều dịch vụ khác nhau cùng với các giao thức tương ứng với từngdịch vụ đó như:

• Web Server, đây là dịch vụ phổ biến nhất của IIS sử dụng giao thức HTTP

để tiếp nhận yêu cầu (Requests) của trình duyệt Web (Web browser) dưới dạngmột địa chỉ URL (Uniform Resource Locator) của một trang Web và IIS phảnhồi lại các yêu cầu bằng cách gửi về cho Web browser nội dung của trang Webtương ứng

• FTP Server, dịch vụ chia sẻ file dữ liệu thông qua giao thức FTP(FileTransfer Protocol) Cho phép người ở xa có thể truy xuất database của máychủ (gọi là Database remote access)

• Dịch vụ gửi thư trên Internet, nó sử dụng SMTP( Simple Mail TransferProtocol) giao thức gửi thư điện tử của tầng ứng dụng SMTP truyền các thôngđiệp( thư) từ mail server của người gửi đến mail server của người nhận

• Dịch vụ truy cập thư trên Internet, sử dụng giao thức lấy thư POP3( Post

dùng truy nhập vào hòm thư của họ thì POP3 hay IMAP sẽ được kích hoạt vàchuyển thư tới người dùng đó.

II Bảo mật IIS trong windows server 2003:

1 Bảo mật máy chủ IIS server:

Đảm bảo cung cấp các dịch vụ Web, các ứng dụng trên máy chủ IIS được bảomật nhất, mỗi ứng dụng từ máy chủ IIS cần phải được bảo mật từ những máyclients có thể kết nối vào chúng Ngoài ra Web site và các ứng dụng trên máy chủIIS cũng cần phải được bảo mật từ chính bên trong mạng Intranet(mạng nội bộ) củadoanh nghiệp hay tổ chức ấy

Trong mức độ nào đó thì việc này nhằm ngăn chặn những kẻ phá hoại, mặc địnhIIS không được cài đặt trên Windows Server 2003 IIS khi được cài đặt sẽ ở trongchế độ bảo mật cao "high secure" hay gọi là "locked mode"

Ví dụ: IIS cài đặt mặc định sẽ chỉ có vài nội dung được cài đặt kèm Tính năng

như ASP, ASP.NET, Server Side Includes (SSI), Web Distributed Authoring and

Versioning (WebDAV) hay Microsoft FrontPage Server Extensions sẽ không

hoạt động cho đến khi người quản trị kích hoạt nó Tính năng và dịch vụ có thể

được kích hoạt là Web Service Extensions và IIS Manager

IIS Manager là một giao diện đồ hoạ được thiết kế để quản trị IIS Nó quản lý tàinguyên các file, directory, và các thiết lập cho các ứng dụng như về security,performance, và các tính năng khác

2 Các thiết lập nâng cao tính bảo mật cho máy chủ IIS server

Dưới đây là chi tiết các thiết lập nhằm nâng cao bảo mật cho IIS Server, đảm bảotính bảo mật cao nhất khi dùng IIS Server làm máy chủ cho các ứng dụng Web

b Audit Policy Settings:

Thiết lập Audit Policy trên máy chủ IIS Server đảm bảo toàn bộ thông tin củangười dùng khi login, logoff hệ thống sẽ đều được ghi lại Và tất cả những dữ liệuđược người dùng truy cập cũng được lưu lại

*Audit log on và Audit Objects Access:

Cách thiết lập

Audit log on và Audit object access trong group policy như sau:

Mở cửa sổ Group Policy Object Editor (Start -> Run, nhập gpedit.msc, OK), vàoComputer Configuration -> Windows Settings -> Security Settings -> LocalPolicies –>

1 Audit logon events đặt chế độ success và fails

2 Audit Policy chọn Audit object access đặt chế độ success và fails

Kiểm tra các thông tin login, logoff của mỗi user sau khi sử dụng hệ thống nhưsau: click chuột phải vào My Computer-> manage ->System Tools -> Event Viewer->security

Ví dụ: Sau khi logon vào máy tính mở event viewer ra xem và tôi phát hiện ra hệ

thống đã lưu lại như hình vẽ sau:

Vậy ý nghĩa của việc xem lại log này là gì: bạn hãy tưởng tượng một dữ liệutrong máy của bạn đã bị mất và trong log ghi lại là đã được xoá lúc 12h đêm vậybạn cần quy trách nhiệm đó cho ai, bạn cần biết trong thời điểm đó những ai đangonline và logon, logoff trong thời gian đó.

c Thiết lập User Rights Assignments:

Chúng ta phải chọn cách thiết lập "Deny access to this computer from thenetwork", với thiết lập này sẽ quyết định những users nào bị cấm truy cập tới máychủ IIS từ mạng, và cấm một số các giao thức mạng: Server Message Block (SMB),NetBIOS, Common Internet File System (CIFS), Hypertext Transfer Protocol(HTTP) và Component Object Model Plus (COM+) Với thiết lập này tài khoảnngười dùng sẽ bị hạn chế và đảm bảo tính bảo mật cao hơn

d Thiết lập Security Option:

Bạn cần phải phân tích các yêu cầu của doanh nghiệp từ đó đưa ra những cấuhình tuỳ biến thích hợp nhất

Cách thiết lập:

Mở cửa sổ Group Policy Object Editor (Start -> Run, nhập gpedit.msc, OK), vàoComputer Configuration -> Windows Settings -> Security Settings -> LocalPolicies -> Security Option

e Event Log Settings:

Bạn phải thiết lập trên IIS Servers trong các cấu hình khác nhau, quan trọng nhấtcủa nó là bạn phải lưu lại toàn bộ các sự kiện theo một thể thống nhất với các tham

số bạn cần cấu hình tuỳ vào yêu cầu, nhưng có hai yêu cầu cần ghi lại đó là ghi lạiquá trình đăng nhập hệ thống (kể cả lỗi hay không có lỗi xảy ra trong quá trình đăng

nhập) ghi lại những đối tượng được truy cập (kể cả lỗi hay không có lỗi xảy ra trongquá trình đăng nhập)

Cách thiết lập:

Mở cửa sổ Group Policy Object Editor (Start -> Run, nhập gpedit.msc, OK), vàoComputer Configuration -> Windows Settings -> Security Settings -> LocalPolicies –>

1 Audit logon events đặt chế độ success và fails

2 Audit Policy chọn Audit object access đặt chế độ success và fails

f System services:

Dưới đây là những thành phần trong Microsoft Windows Server 2003, với cácdịch vụ buộc phải kích hoạt Trong đó có các services cần phải để chế độautomatically

Các services có ba trạng thái là Disable, Enable, và Automatically - đây là trạngthái khi hệ thống khởi động sẽ khởi động luôn cả service này

HTTP SSL

Service HTTP SSL được kích hoạt trong IIS để thực hiện Secure Sockets Layer(SSL) SSL là một chuẩn để thiết lập kênh truyền dẫn bảo mật khi những thông tinnhạy cảm được truyền đi ví như thông tin của Credit Card( thẻ tín dụng) chẳng hạn.Với mục đích chính là kích hoạt nó cho ứng dụng giao dịch điện tử thông quaWorld Wide Web, và được thiết kế để làm việc cùng với nhiều dịch vụ khác trênInternet

Nếu khi HTTP SSL bị tắt thì IIS sẽ không làm việc với SSL Việc Disableservice này dẫn tới một số service khác phụ thuộc vào nó ảnh hưởng Sử dụngGroup Policy để bảo mật và thiết lập trạng thái hoạt động và những điều kiện có thểtruy cập vào service này, với thiết lập chỉ có Administrator mới có khả năng truycập vào service này đảm bảo người bình thường sẽ buộc phải thực hiện giao dịchbảo mật, và không thể chỉnh sửa được Service này cần phải được thiết lập ở chế độAutomatic

IIS Admin Service

IIS Admin Service cho phép quản trị các thành phần trong IIS như FTP,Application Pools, Web Sites, Web Service Extensions và cả NNTP và SMTP.IIS Admin Service cần phải hoạt động để cung cấp Web, FTP, NNTP và SMTP.Nếu service này bị disable, IIS sẽ không thể cấu hình , tất cả những yêu cầu cho tớidịch vụ Web đều bị ngưng chệ Sử dụng Group Policy để đảm bảo rằng việc khởiđộng của Service này không bị ảnh hưởng từ các user khác, chỉ user Administratormới có khả năng điều khiển service này và cấu hình service này đều để ở chế độAutomatic

World Wide Web Publishing Service

Service này cung cấp kết kết nối Web và quản trị Web site qua IIS Snap-in

Service này buộc phải chạy trên IIS Server để cung cấp kết nối Web và quản trịtrên IIS Manager Sử dụng Group Policy để bảo mật các thiết lập về quá trình khởiđộng của Service này Ngăn cấm những người không phải Administrator có khảnăng truy cập vào Service này để điều khiển quá trình hoạt động của nó Cấu hìnhchỉ cho phép administrator có quyền điều khiển service này mà thôi WWW cầnphải hoạt động trên máy chủ IIS Server và để chế độ Automatic

1.f.1 Cấu hình các thành phần của IIS service đảm bảo tính bảo

mật cao nhất:

Khi cài đặt IIS Service, muốn bảo mật IIS Server cần phải hiểu các Components(thành phần) của nó hoạt động có chức năng ra sao, và khi nào cần thiết phải cài đặt,khi nào không cần thiết Điều này cũng là một cách bảo mật máy chủ IIS Servertránh xảy ra những lỗ hổng không cần thiết

Sau khi cài đặt Windows Server 2003 và IIS, IIS với mặc định chỉ hỗ trợ Webtĩnh Khi các trang web và ứng dụng cần những và nội dung Web động, hay cầnthêm những thành phần của IIS, mỗi khi thêm các tính năng cho IIS bạn phải kíchhoạt nó hoạt động Tuy nhiên trong quá trình thực hiện việc đó phải đảm bảo cácyếu tố bảo mật có thể ảnh hưởng tới toàn bộ IIS Server Nếu trang web của tổ chức

bạn là Web tĩnh thì bạn không cần phải thêm bất kỳ một tính năng nào cho IISServer, với các thiết lập mặc định của IIS sẽ giảm thiểu được các vấn đề về bảo mậtcho tổ chức của bạn Để tối ưu hoá việc thêm các thành phần cho IIS Server, vànâng cao tính bảo mật cho hệ thông, toàn bộ quá trình thực hiện đều không thựchiện được trên Group Policy mà bạn cần phải trực tiếp làm việc với IIS Servers.Như vậy chỉ nên cài đặt những components cần thiết cho IIS.

3.1 Các bước cài đặt IIS 6.0:

1 Trên Control Panel, chọn Add or Remove Programs.

2 Chọn Add/Remove Windows Components

3 Trong danh sách Components chọn Application Server, tiếp đó chọn

Internet Information Services (IIS) :

- Để lựa chọn các components cần thiết để thêm vào trong IIS bạn chỉ cần lựachọn trong dấu check box, để remove nó đi bạn chỉ cần bỏ dấu check box đó ra

6 Chọn OK trở lại Windows Component Wizard.

7 Chọn Next, sau đó là Finish.

3.2 Cấu hình cho các Components của Application Server:

Hình 1: Các subcomponents trong Application Server

Dưới đây là ý nghĩa của các Subcomponents được miêu tả chi tiết trongApplication Server cung cấp giải pháp được khuyến cáo bởi nhà sản xuất

Application Server Console - Disabled (mặc định)

Cung cấp một snap-in trong Microsoft Management Console (MMC) cho phépquản trị toàn bộ các thành phần và các dịch vụ trên Web Application Server, ứngdụng này mặc định không được cài đặt bởi trên IIS đã cung cấp khả năng quản trịrồi

ASP.NET - Disabled (mặc định)

Cung cấp khả năng hỗ trợ các ứng dụng ASP.NET, với việc kích hoạt thành phầntrên khi máy chủ IIS Server chạy các ứng dụng ASP.NET

Enable Network COM+ Access - Enabled (mặc định)

Cho phép máy chủ IIS làm máy chủ cung cấp các ứng dụng COM+, cần thiết chocác dịch vụ như FTP, BITS, World Wide Web, và IIS Manager

Enable Network DTC Access - Disable (mặc định)

Cho phép máy chủ IIS host các ứng dụng cụ thể qua Distributed TransactionCoordinator (DTC) Tắt tính năng này khi không cần thiết chạy các ứng dụng cầnthiết trên IIS Server

IInternet Information Services - IIS - Enable (mặc định)

Cung cấp các dịch vụ cơ bản: Web, FTP Services Thành phần này là cần thiếtcho IIS Servers

Message Queuing - Disable (mặc định)

Chú ý một điều là khi thành phần này không được kích hoạt thì toàn bộ cácsubcomponents của nó cũng bị disabled

3.3 Cấu hình cho các Components của IIS:

Hình 2: các subcomponents của IIS

Dưới đây là miêu tả chi tiết từng component trong IIS

Background Intelligent Transfer Service (BITS) server extension - Enable (mặc định)

BITS là một giao diện cung cấp khả năng truyền File sử dụng bởi WindowsUpdate and Automatic Update, thành phần này được cài đặt là một yêu cầu nhằmđáp ứng khả năng hỗ trợ Automatic Update và sử dụng để cung cấp các giải phápupdate cho toàn bộ hệ thống

Common Files - Enable (mặc định)

IIS Cần thiết sử dụng các Files nên component này được kích hoạt mặc định

File Transfer Protocol (FTP) - Disabled (mặc định)

Cho phép IIS Server cung cấp dịch vụ FTP Dịch vụ này không nhất thiết đượccài đặt trên IIS Servers

FrontPage 2002 Server Extensions - Disabled (mặc định)

Cung cấp hỗ trợ FrontPage, quản trị và public Web sites Disable là mặc địnhtrên máy IIS Server khi Web Sites không sử dụng FrontPage extensions

Internet Information Service Manager - Enabled (mặc định)

Cung cấp giao diện quản trị cho IIS

Internet Printing - Disabled (mặc định)

Cung cấp nền tảng web cho việc quản trị máy in và cho phép chia sẻ tài nguyênmáy in qua HTTP, nó không phải là một component được cài đặt mặc định trên IISServer

World Wide Web Service - Enable (mặc định)

Cung cấp dịch vụ Web: tĩnh hay web động Thành phần này mặc định buộc phảicài đặt trên IIS Servers

3.4 Cấu hình cho các Components của Message Queuing:

Hình 3: các subcomponent của Message Queuing và cài đặt theo khuyến

cáo của nhà sản xuất (default)

Dưới đây là ý nghĩa của từng subcomponents:

Active Directory Integration - Disabled (mặc định)

Cung cấp giải pháp kết hợp với Active Directory khi một máy chủ IIS thuộc mộtdomain Thành phần này cần thiết khi Websites và các ứng dụng chạy trên IISServer sử dụng Microsoft Message Queuing (MSMQ)

Common - Disabled (mặc định)

Cần thiết bởi MSMQ Thành phần này cần thiết khi web site và application chạytrên IIS Server và sử dụng MSMQ

Downlevel Client Support - Disabled (mặc định)

Cung cấp truy cập tới Active Directory và các trang web cho các clients Thànhphần này cần thiết khi máy chủ IIS với website và application sử dụng MSMQ

MSMQ HTTP Support - Disable (mặc định)

Cung cấp khả năng gửi và nhận tin từ giao thức HTTP Thành phần này cần thiếtkhi IIS Server có website và application sử dụng MSMQ

Routing Support - Disable - (mặc định)

Cung cấp khả năng lưu trữ và forward thư cho MSMQ Thành phần này cần thiếtkhi Website application chạy trên IIS Server sử dụng MSMQ

3.5 Cấu hình cho các Components của Background Intelligent Transfer

Service (BITS) Server Extensions:

Hình 4: các subcomponent trong Background Intelligent Transfer Service