Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

476 Kapitel 17: Schützen von Serveranwendungen
Auch wenn die verteilte Konfiguration in IIS 7.0 es schwieriger macht, die Gesamtkonfiguration
Ihres Webservers an einer einzigen Stelle zu ermitteln, können Sie eine falsche Konfiguration
des Webservers verhindern, indem Sie die Vererbung der Einstellungen erzwingen,
von denen Sie nicht wollen, dass sie geändert werden.
TCP/IP-Sicherheit
Das Basisprotokoll, über das Webverkehr läuft, ist HTTP (Hypertext Transfer Protocol).
HTTP wird im Allgemeinen über TCP/IP geleitet, das Standardinternetprotokoll in den meisten
Umgebungen. IIS 7.0 unterstützt HTTP über TCP/IP Version 4 (IPv4), das verbreitetste
Protokoll im heutigen Internet. Dieses Protokoll der Netzwerkschicht wurde auch schon von
allen bisherigen IIS-Versionen unterstützt. IIS 7.0 fügt außerdem Unterstützung für HTTP
über TCP/IP Version 6 (IPv6) hinzu, die Protokollversion für die nächste Generation der
Internetunterstützung.
IP-Adressensicherheit
Wenn Sie Zugriff blockieren oder zulassen wollen, müssen Sie zuerst festlegen, ob die beabsichtigten
Benutzer Verkehr zu und von Ihren Servern weiterleiten können. Wenn Sie eine
intern weitergeleitete IP-Adresse verhindern, hilft das, Außenstehende daran zu hindern, auf
eine Intranetsite zuzugreifen. Sofern die Router Ihrer Organisation richtig konfiguriert sind,
kann eine intern weitergeleitete IP-Adresse als Beweis betrachtet werden, dass der Client,
der eine Verbindung anfordert, sich innerhalb Ihrer Organisation befindet. Externe IP-Adressen
sollten Sie nur bedingt einsetzen, um Clients zu identifizieren, weil es viele Möglichkeiten
gibt, wie sie die Position eines Clients verfälschen können. Eine externe IP-Adresse
könnte gestern dem einen Benutzer gehört haben, aber heute gehört sie einem anderen.
Externe IP-Adressen werden von mehreren Benutzern gemeinsam genutzt, wie im Fall eines
Anonymisierungsproxys, der mit dem Ziel entworfen wurde, die Identität eines Clients zu
verschleiern.
Whitelisting anhand der Quell-IP-Adresse (das heißt Zurückweisen aller Verbindungen, die
nicht von Adressen bekannter Partner stammen) ist meist recht zuverlässig, weil es sehr
schwierig ist, eine TCP-Verbindung zu fälschen, wenn damit etwas Komplexeres als ein
Denial-of-Service-Angriff erreicht werden soll. Blacklisting anhand der Quell-IP-Adresse
(das heißt Annehmen aller Verbindungen, die nicht von bekanntermaßen böswilligen Hosts
stammen) ist im Allgemeinen nicht erfolgreich, weil Angreifer oft auf einen neuen Host
wechseln können, der noch nicht in der Liste verzeichnet ist.
Wenn Sie einschränken wollen, welche IP-Adressen eine Verbindung zu Ihrem Webserver
herstellen dürfen, können Sie dazu das Feature Einschränkungen für IPv4-Adressen und
Domänen verwenden oder die IP-Sicherheitseinstellungen in der XML-Konfigurationsdatei
applicationHost.config im folgenden Abschnitt bearbeiten: