4.3 Проверка уязвимостей в Internet Information Server

Выявление уязвимостей в Internet Information Server (IIS), IIS Scanner, IIS Security Audit, NIIS Security Scanner, TrustSight Security Hardening Tool, IIS Lockdown Tool

IIS - это компонент операционной системы Windows, поэтому его проверку вполне можно производить стандартными сканерами уязвимостей/патчей операционной системы (например, Microsoft Baseline Security Analyzer или GFI Languard Security Scanner). Однако есть и специальные средства для сканирования безопасности в IIS.

Первое средство - для обнаружения серверов IIS в организации (например, если вы узнали о новой уязвимости и вам необходимо найти все установленные серверы IIS). Это средство называется IIS Scanner и, как и все утилиты из этого раздела, находится в каталоге IIS Protection\Security Scanners. Эта программа обнаруживает все домены и все компьютеры в вашей сети и проверяет наличие на них IIS. В случае необходимости (и при наличии соответствующих прав) она может остановить службы IIS на этих компьютерах.

Второе средство - IIS Security Audit - проверяет Web-сервер на наличие наиболее популярных уязвимостей (в RDS, ODBC, ISAPI фильтрах и т.п.) и выдает рекомендации относительно их устранения. В справке к этой программе находится достаточно подробное описание этих уязвимостей.

Еще один сканер безопасности - NIIS Security Scanner - пытается найти уязвимости IIS из списка более чем в 750 известных. К сожалению, это средство уже сильно устарело.

И, наконец, универсальное средство для Web-серверов (IIS, Apache и т.п.) - это TrustSight Security Hardening Tool. Оно "заточено" под наиболее популярные надстройки Web-серверов (такие, как PHP) и ищет уязвимости именно в них.

Для более старых версий IIS (4.0 и 5.0) настоятельно рекомендуется запустить IIS Lockdown Tool от Microsoft. Это средство позволяет автоматически отключить лишние компоненты IIS и привести уровень безопасности Web-сервера в соответствии с рекомендациями Microsoft. В IIS 6.0 все подобные действия проведены по умолчанию.

Есть и другие средства, например, для проверки системы аутентификации, разрешений, работы SSL, но они будут рассмотрены ниже в соответствующих модулях. В целом для важных Web-серверов (особенно тех, которые будут работать в Интернете) лучше произвести анализ уязвимостей всеми возможными средствами - и универсальными, такими, как MBSA и GFI, и специализированными.

Получить учебные материалы по этому курсу