Вопросы Теги

Как безопасно разрешить IIS выполнять исполняемый файл с потенциальные уязвимости?

У нас есть приложение IIS, которому необходимо выполнить исполняемый файл с потенциально вредоносным вводом. В этом пуле приложений работает несколько приложений, и я хотел бы максимально ограничить наш риск. Сам исполняемый файл является доверенным, но вполне может содержать уязвимости (например, ImageMagick). Возможно через переполнение буфера каким-то другим механизмом, что злоумышленник может получить контроль и выполнить с теми же привилегиями (т.е. пользователем пула приложений), что и исходный исполняемый файл.

Я полагаю, что самым безопасным способом было бы создать пользователя, у которого есть разрешение только на выполнение этого исполняемого файла, читать и писать в одну конкретную папку, но трудно найти руководство, как это сделать.

1
задан 14 November 2017 в 17:54
1 ответ

Если вы действительно не доверяете системе, вы должны изолировать ее. Используйте отдельный сервер для ваших данных, базы данных и всего остального, что вы хотите уберечь от ненадежного сервера IIS.

ПРИМЕЧАНИЕ. Для объяснения каждой из этих строк могут потребоваться целые статьи. Усиление защиты сервера IIS, подключенного к Интернету, может оказаться долгим.

  1. Используйте последнюю версию Windows и IIS
  2. Создайте подсеть DMZ и VLAN
  3. Поместите сервер IIS в DMZ
  4. Никогда не присоединяйтесь к серверу IIS в домен
  5. Поместите обратный прокси-сервер с брандмауэром веб-приложений в DMZ
  6. Маршрутизируйте весь входящий и исходящий трафик через брандмауэр с возможностями IPS
  7. Перенаправляйте весь трафик на обратный прокси-сервер из Интернета, чтобы этот трафик никогда не идет напрямую на сервер IIS
  8. Установите пакет программного обеспечения безопасности, который включает в себя брандмауэр хоста и аналитику поведения
  9. Установите Microsoft EMET: https://support.microsoft.com/en-us/help/ 2458544 / the-Enhanced-mitigation-experience-toolkit
  10. Разверните AppLocker, чтобы контролировать, какой исполняемый файл может запускаться: https://technet.microsoft.com/en-us/library/dd759117%28v=ws.11% 29.aspx
  11. Отключить NetBIOS и SMB

-ИЛИ-

  1. Разместите приложение в облаке Azure и позвольте Microsoft беспокоиться о том, что произойдет, когда оно будет взломано .
  2. По-прежнему проводите некоторые работы по усилению защиты самого сервера, но теперь вам не нужно защищать сеть вокруг него.
2
ответ дан 3 December 2019 в 20:17

Теги

Похожие вопросы