Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

TCP/IP-Sicherheit 479
Portsicherheit
In der Standardeinstellung läuft HTTP über Port 80, aber weil URLs die Portnummer enthalten
können, ist es nicht ungewöhnlich, wenn Webserver über andere Ports als Port 80 arbeiten.
Das Protokoll HTTPS (TP über SSL/TLS) ist standardmäßig an Port 443 gebunden.
Aus Sicht der Sicherheit kann diese Verwendung von Ports nützlich sein, um den Zugriff an
der Firewall einzuschränken. Falls ein Server so konfiguriert wurde, dass er eingehende
Anforderungen an Port 8080 entgegennimmt und ausschließlich Intranetinhalt hostet, besteht
eine offensichtliche Sicherheitsmaßnahme darin, eine Firewall (entweder auf dem
Host, zwischen Host und Internet oder beides) so zu konfigurieren, dass sie Zugriff auf diesen
Port nur von IP-Adressen erlaubt, die bekanntermaßen im Intranet liegen.
Hostheadersicherheit
Hinter derselben Kombination aus IP-Adresse/Port können sich mehrere Websites befinden.
Das ist möglich, indem der Hostheader ausgewertet wird, der in den HTTP- oder HTTPS-
Anforderungen der Clients enthalten ist. Daraufhin wird die Anforderung an die Website
geleitet, die im Hostheader angegeben ist.
Das ist eigentlich keine Sicherheitsmaßnahme. Wie beim Verlegen Ihrer Website auf einen
anderen IP-Port handelt es sich um eine Verschleierungsmaßnahme (engl. obscurity measure).
Das kann zwar simple, opportunistische oder zufällige Angriffe auf Ihre Sites verhindern,
aber es sollte eigentlich als Komfortmerkmal verstanden werden, das es Ihnen erlaubt,
mehrere Websites unter derselben IP-Adresse mit der Standardportzuweisung zu hosten.
Die IP- und Portbindungen oder die Hostheaderbindung können Sie nur auf der Websiteebene
ändern. Die Bindungen sind in der XML-Datei applicationHost.config gespeichert,
wie im folgenden Beispiel zu sehen:
Für das Element binding sind unter anderem folgende Attribute verfügbar:
protocol ist normalerweise "http" oder "https". Es kann auch andere Protokolldefinitionen
enthalten (zum Beispiel das Protokoll "ftp", falls der IIS 7.0-FTP-Server installiert
ist).
bindingInformation ist eine Kombination aus IP-Adresse, Port und Hostheader, die
durch Doppelpunkte getrennt werden. Sie können einen Stern (*) verwenden, der für
»alle IP-Adressen« steht. Falls Sie zum Beispiel eine Bindung für das Protokoll HTTP
erstellen wollen, die auf allen IP-Adressen unter Port 80 mit dem Hostheader »Marketing«
arbeitet, lautet der bindingInformation-String "*:80:marketing".