Какая роль делает “Идентификационные данные Пула приложений”, играют для Пула приложений?
Легкий ответ на это, не используют пароли!!!
Вы можете:
- используйте ssh ключи. Зашифруйте их для дополнительной безопасности
- используйте генератор одноразового пароля как Мобильный-OTP
- используйте kerberos
Если необходимо использовать пароли, позволить им только от подсетей, Вы доверяете, не целый Интернет. Кроме того, это помогает выполнить Вашего ssh демона на некотором порте кроме 22. Обычно я не предлагаю такие вещи, но если это уменьшает объем нападений, Вы видите, тем лучше.
В ответах на Ваши определенные проблемы:
- Я видел эти виды нападений на любой хост, который я выполняю, который имеет общедоступный ssh сервер.
- Я подозреваю, что они используют словарь имен пользователей / пароли, разработанные из прошлого опыта с какой работы. Например, мои журналы имеют
- 18 попыток против пользователя "ftp"
- 23 попытки против пользователя "форум"
- 3 для пользователя "bernard"
- 1 для пользователя "bret"
- Я также видел этот вид нападения, где они использовали фактические сайт-специфичные логины, но они были, вероятно, отобраны с широко открытого ldap сервера того сайта (университеты, должен любить их!)
- Эти нападения, вероятно, прибывают из компьютеров зомби, которые имеют некоторое впечатляющее централизованное управление.
- эти нападения происходят в уровень одного каждые 1 - 5 минут, весь день, каждый день
- Я просто попытался связать sshd, чтобы видеть, тривиально ли это для сбора пароля, взломщик пробует, и похоже, что необходимо было бы исправить код.
- эти люди сделали просто это и нашли, что пароли часто были перестановками имени пользователя или известного пароля, такими как sql или администратор.
Много перегруженных условий здесь и изменение между IIS 7 и 7.5.
Идентификационные данные пула приложений по сравнению с учетной записью пула приложений
Давайте запустимся с идентификационных данных Пула приложений (нижний регистр I, иначе Учетная запись Пула приложений):
Путем я говорю это, Учетная запись Пула приложений является учетной записью, используемой для начальной загрузки Пула приложений и идентификационных данных, которые принимает Пул приложений, когда это не исполняет роль никого больше.
Так безотносительно идентификационных данных Вы даете Пул приложений, они испытывают необходимость, чтобы смочь считать файлы в папке содержания: особенно {но не ограниченный} любые web.config файлы (которые являются частью конфигурации IIS и управляют тем, что Пул приложений будет выполнением).
Если это не может получить доступ к папке, это предположит, что мог бы быть важный (меняющий правила игры) web.config файл там и отобразить ошибку. Таким образом, для Учетной записи Пула приложений нужен Доступ для чтения ко всем папкам содержания.
ApplicationPoolIdentity
Почему дифференцируют Учетную запись Пула приложений (идентификационные данные пула приложений) от Идентификационных данных Пула приложений? Поскольку special-capitals-used ApplicationPoolIdentity является новым типом учетной записи - управляемой сервисной учетной записью - представленное и сделанное значение по умолчанию в IIS 7.5 / Windows 2008 R2, и доступный из Windows 2008 SP2 также (но не значение по умолчанию).
Посмотрите идентификационные данные пула приложений на IIS.Net
Когда Вы создаете веб-сайт под R2 с помощью GUI:
- Пул приложений будет создан для хостинга того веб-сайта, и
- типом учетной записи будет ApplicationPoolIdentity, вместо Сетевой службы (значение по умолчанию 2008 года), Локальная служба или Локальная Система.
С 2008 RTM учетной записью Пула приложений по умолчанию была Сетевая служба плюс уникальный пул приложений identity/uniquifier; новый тип учетной записи R2/SP2 AppPoolIdentity является подобной Сетевой службе учетной записью (т.е. компьютер при соединении вне поля), но предотвращает олицетворение другого Пула приложений в том же поле.
Назад к исходному вопросу:
Учетная запись пула приложений определяет, кто Ваше выполнение приложения как тогда, когда она не исполняет роль никого больше
Метод аутентификации описывает, как Вы собираетесь аутентифицировать клиенты (для исполнения роли их),
Учетная запись Анонимного пользователя определяет, кого Вы собираетесь выполнить, исполняя роль пользователя для запроса, который не аутентифицируется - IUSR является таким пользователем.
Кстати, с IIS 7.5, можно установить учетную запись Анонимного пользователя, чтобы быть Идентификационными данными Пула приложений (свойства метода Анонимной аутентификации), который мог бы сделать это более простым, чтобы изолировать и защитить содержание для данного веб-сайта.
Полномочия набора с помощью IIS AppPool\YourSiteName для формата имени. (см. также это сообщение),
Существует два контекста аутентификации в действии. Процесс веб-сервера (который обрабатывает Ваши веб-запросы), выполнения как пользователь Идентификационных данных Пула приложений. Когда запрос наталкивается на Ваш виртуальный хост, пул приложений исполняет роль пользователя, перечисленного в "Учетных данных Анонимной аутентификации определенного сайта" - по умолчанию IUSR.
Любые скрипты, запущенные из Вашего веб-сайта, будут работать как IUSR, но вход и определенные другие функции будут работать как Пользователь Пула приложений (Сетевой службой по умолчанию - хотя это было изменено недавно для использования специального пользователя пула виртуального приложения). Идентификационные данные Пула приложений (Сетевая служба) должны смочь перечислить файлы в Вашем каталоге, поскольку определенные проверки сделаны в стопке запроса, прежде чем управление будет передано к Вашему сценарию.
Это - хорошая практика, чтобы выполнить один сайт на пул и установить Идентификационные данные Пула приложений для выполнения как тот же пользователь как Анонимный пользователь веб-сайта. Возможно убежать из контекста Анонимного пользователя (IUSR) и поднять полномочия до тех из самих Идентификационных данных Пула приложений.
Вы видите две вещи, которые обычно путают в ASP.NET:
- «идентификация пользователя» - Аутентификация учетной записи пользователя не имеет ничего общего с учетной записью или идентификатором, который фактически запускается. как под II, так и под ASP.NET. Анонимная аутентификация позволяет любому пользователю получить доступ к любому общедоступному контенту, не запрашивая имя пользователя и пароль для браузера клиента. Анонимная учетная запись IUSR, которая по умолчанию аутентифицируется в IIS, просто применяет доступ к общедоступному содержимому веб-сайта. Это не влияет на процессы или ресурсы, используемые базовыми II или службами ASP.NET.
- «идентификатор приложения» - это фактическая учетная запись «WindowsIdentity» на сервере, которая фактически работает за IIS и ASP.NET, которые - это учетная запись Application Pool Identity, назначенная пулу II и предоставленная ASP.NET. Ваш процесс ASP.NET по умолчанию выполняется под этой учетной записью Application Pool Identity (называемой виртуальной учетной записью в IIs версии 7.5+).
Explanation: Во-первых, «аутентификация» в ASP.NET - это просто событие, обычно настраиваемое в Интернете. config, который регистрируется в данной учетной записи пользователя, которая передается как токен пользователя II в ASP.NET как простой объект HttpContext ... то есть текущий сеанс или контекст текущего пользователя. Фактически он не меняет WindowsIdentity, на котором запущен процесс ASP.NET, просто передает ему токен идентификатора пользователя. Используя HttpContext, ваш код может использовать этот идентификатор или имя для хранения прав базы данных в различных разделах вашего веб-сайта. Но это не повлияет на доступ к файлам в ASP.NET, поскольку не влияет и не изменяет идентичность фактической учетной записи «процесса» приложения, которая запускает ASP.NET под II.
Этого не произойдет, пока вы не выполните «Олицетворение» сообщает ASP.NET олицетворять любой токен, переданный ему II, а затем запускаться под этим идентификатором учетной записи. Вы можете установить олицетворение в своем web.config. Когда вы активируете олицетворение в ASP.NET, тогда WindowsIdentity действительно изменяется в рабочем процессе на любую аутентифицированную учетную запись, переданную в ASP.NET из IIS, и затем вы можете получить доступ к файлам, конечно, в зависимости от того, какие права вы назначаете этой учетной записи пользователя. Важно отметить, что когда это происходит, это временно, и ASP.NET может вернуться к своему идентификатору процесса по умолчанию, который в текущих версиях IIs снова является учетной записью идентификатора пула приложений, назначенной данному пулу приложений.
Когда IIs просто использует простой анонимный учетная запись пользователя без явной аутентификации, установленной в ASP.NET, IIs запускает по умолчанию назначенную веб-сайту учетную запись пула приложений пула приложений и передает ее в ASP.NET и выполняющий ее рабочий процесс. Эта учетная запись удостоверения пула приложений обрабатывает все запросы для IIS и запускает ASP.NET для этого сайта.
Когда IIs запускается в этой настройке и к нему обращается пользователь, он фактически аутентифицируется за кулисами по умолчанию анонимной учетной записи IUSR, которая определяет доступ на веб-страницы и другие основные ресурсы. Но эта учетная запись НЕ передается в ASP.NET. И это не влияет на идентификацию пула приложений IIS и под которой работает ASP.NET.
Если вы установите Impersonate на «true», скажем, в вашем web.config, И вы используете анонимную учетную запись IUSR по умолчанию в II для общего доступа , И вы явно установили значение true для свойства anonymousAuthentication в файле web.config (вместо использования Windows или другой учетной записи), объекты II будут отбрасывать идентификатор пула приложений, а объекты II и ASP.NET теперь будут запускать процессы своих приложений в качестве анонимная учетная запись с аутентификацией и олицетворением IUSR.
Когда вы это сделаете, ASP.NET и его процессы теперь будут работать под учетной записью IUSR .... то есть процесс приложений ASP.NET будет запускать свою учетную запись WindowsIdentity как учетную запись IUSR. Теперь вы можете применить доступ для чтения / записи к этой анонимной учетной записи IUSR и к папкам, к которым эта учетная запись должна иметь доступ. (Примечание: не забудьте, однако, добавить учетную запись процесса по умолчанию, учетную запись пула приложений для пула, а также права на эти папки. Это соответствует рекомендации Microsoft)
Удачи!