Microsoft Web Server Security

Saokim999

I. Giới thiệu :
  
Để một WebServer an toàn trước những tấn công từ bên ngoài thì ta cần có một tường lửa (ISA Server). Theo những gì ta đã biết thì ta cần phải có 2 máy (1 máy làm WebServer, 1 máy làm Firewall), tuy nhiên với mô hình doanh nghiệp vừa và nhỏ ta chỉ có được một Server đặt trên các ISP (FPT, VDC …). Vì vậy trong bài lab này sẽ trình bày cách cài đặt dịch vụ Web Services và ISA trên cùng một Server vật lý.
  
Bài lab bao gồm các bước:


Phần 1 : Cài đặt và cấu hình ISA Server

1. Cài đặt card loopback, cấu hình WebServer lắng nghe trên card loopback
2. Cài đặt ISA Server
3. Tạo Rules và Public các dịch vụ


Phần 2 : Bảo mật WebServer
1. Bảo mật AdminCP với tools IIS Password
2. Bảo mật Webserver với tools ServerMask
3. Hiệu chỉnh Local Security Policy
  
II. Thực hiện:
1.Cài đặt card loopback, cấu hình WebServer lắng nghe trên card loopback

- Bạn đã setup một Website hoàn chỉnh, truy cập http://localhost để kiểm tra

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture001.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Vào Control Panel, Add Hardware, chọn Next

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture002.png"]

                               
Đăng nhập/Đăng ký mở rộng

   
- Chọn Yes, I have already connected the hardware

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture003.png"]

                               
Đăng nhập/Đăng ký mở rộng

   
- Chọn Add a new hardware device

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture004.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Chọn Install the hardare that I manually select from a list (Advanced)

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture005.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Chọn Network Adapters

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture006.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Chọn Microsoft và Microsoft loopback Adapter

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture007.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Chọn Next, Finish

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture008.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Đặt IP cho card loopback 10.10.10.10 , subnet : 255.0.0.0

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture009.png"]

                               
Đăng nhập/Đăng ký mở rộng

   
- Cho Website lắng nghe trên card loopback (10.10.10.10)
- Thay đổi port 80 thành port 1986

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture010.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Truy cập địa chỉ http://10.10.10.10:1986 kiểm tra.

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture011.png"]

                               
Đăng nhập/Đăng ký mở rộng

   
2. Cài đặt ISA Server (trong bài viết này tôi sử dụng ISA Server 2004 SP3)
  
- Disable NetBIOS over TCP/IP trên card WAN : Trong phần chỉnh IP chọn Advance, chọn WINS, chọn Diasble NetBIOS Over TCP/IP
  
[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture012_0.png"]

                               
Đăng nhập/Đăng ký mở rộng

- Chạy file ISAAutorun.exe, chọn Install ISA Server 2004

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture012.png"]

                               
Đăng nhập/Đăng ký mở rộng

- Chọn Next, chọn I Accept

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture012.png"]

                               
Đăng nhập/Đăng ký mở rộng

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture013.png"]

                               
Đăng nhập/Đăng ký mở rộng

   - Chọn Custom

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture014.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Để mặc định, chọn Next

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture015.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Khai báo phạm vi địa chỉ là card loopback

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture016.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Để mặc định các giá trị và next đến khi cài đặt

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture017.png"]

                               
Đăng nhập/Đăng ký mở rộng

     - Quá trình cài đặt hoàn tất

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture018.png"]

                               
Đăng nhập/Đăng ký mở rộng

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture019.png"]

                               
Đăng nhập/Đăng ký mở rộng

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture020.png"]

                               
Đăng nhập/Đăng ký mở rộng

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture021.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Install các Services Pack và Restart lại Server

3. Tạo Rules và Public các dịch vụ
- Mở ISA Management,  R.Click lên Firewall Policy, chọn Web Server Publishing Rule

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture022.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Đặt tên cho rules là : WebServer, chọn Next

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture023.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Action chọn Allow

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture024.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Define Webserver to Publish : điền vào IP 10.10.10.10

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture025.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Public Name Details chọn Accept requests for : Any domains name

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture026.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Web Listener chọn vào nút  NEW

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture027.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Đặt tên là Port 80

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture028.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Cho lắng nghe ở External, chọn next

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture029.png"]

                               
Đăng nhập/Đăng ký mở rộng

  - Enable HTTP ở port 80, chọn next, chọn finish

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture030.png"]

                               
Đăng nhập/Đăng ký mở rộng

[/URL][URL="http://msopenlab.com/lab/WebServerSecurity/ISA/picture031.png"]

                               
Đăng nhập/Đăng ký mở rộng

Saokim999

- Chọn Port 80 cho  Web Listerner, chọn next

                               
Đăng nhập/Đăng ký mở rộng

  - Để All Users, chọn Next, chọn Finish

                               
Đăng nhập/Đăng ký mở rộng

                               
Đăng nhập/Đăng ký mở rộng

   - R.click lên Rules WebServer, chọn Bridging, đổi port 80 thành port 1986

                               
Đăng nhập/Đăng ký mở rộng

  - Chọn tab To, check vào Forward the original host header instead of the actual one
- Chọn Requests appear to come from the original client
- Chọn Finish

                               
Đăng nhập/Đăng ký mở rộng

  - Enable dịch vụ Remote Desktop

                               
Đăng nhập/Đăng ký mở rộng

  - R.Click trên Firewall Policy, chọn New, chọn Server Publishing Rule

                               
Đăng nhập/Đăng ký mở rộng

  - Đặt tên cho Rules là Remote Desktop

                               
Đăng nhập/Đăng ký mở rộng

   Điền IP của card WAN là 222.222.222.222

                               
Đăng nhập/Đăng ký mở rộng

  - Protocol chọn RDP (Terminal Services) Server

                               
Đăng nhập/Đăng ký mở rộng

  - Cho lắng nghe trên External

                               
Đăng nhập/Đăng ký mở rộng

   
- Chọn Finish

                               
Đăng nhập/Đăng ký mở rộng

  - Để Server có thể lên trang Microsoft cập nhật các bản vá lỗi thì ta cần tạo rule ra Internet
- R.Click lên Firewall Policy, chọn New, chọn Access Rules

                               
Đăng nhập/Đăng ký mở rộng

   
- Đặt tên cho Rules là Internet

                               
Đăng nhập/Đăng ký mở rộng

  - Action : chọn Allow
  

                               
Đăng nhập/Đăng ký mở rộng

- Protocols chọn All outbound traffic
  

                               
Đăng nhập/Đăng ký mở rộng

- Source : Internal và Localhost

                               
Đăng nhập/Đăng ký mở rộng

  - Destination chọn New, chọn URL Set

                               
Đăng nhập/Đăng ký mở rộng

- Đặt tên là Trusted Sites và cho truy cập các trang :
  + http://microsoft.com/*
  + http://*.microsoft.com/*

  

                               
Đăng nhập/Đăng ký mở rộng

   - Chọn Trusted Sites

                               
Đăng nhập/Đăng ký mở rộng

   
  - User sets : chọn All Users

                               
Đăng nhập/Đăng ký mở rộng

   - Chọn Finish
   

                               
Đăng nhập/Đăng ký mở rộng

  - Sắp xếp các rules theo thứ tự
  + Webserver
  + Remote Desktop
  + Internet
  - Và Apply

   

                               
Đăng nhập/Đăng ký mở rộng

  Kiểm tra :
   
  - Trên Webserver, truy cập vào trang Microsoft Update

                               
Đăng nhập/Đăng ký mở rộng

   
  - Trên máy Client, truy cập trang web qua địa chỉ http://222.222.222.222

                               
Đăng nhập/Đăng ký mở rộng

   
  - Kiểm tra Remote Desktop

   

                               
Đăng nhập/Đăng ký mở rộng

   
  Phần 2 : Bảo mật WebServer
  1. Bảo mật AdminCP với tools IIS Password
Website của bạn là một website tin tức, do đó sẽ có tài khoản để admin viết bài (tạm gọi là Admin1). Website của bạn sẽ có một nơi đăng nhập của admin, bạn cần bảo mật nơi đăng nhập đó bằng một lớp username/password nữa (tạm gọi là Admin2), nếu hacker biết được username/password admin1 của bạn củng không thể đăng nhập vào được.

Để chứng thực khi vào đường dẫn Admin bạn có thể kết dùng quyền NTFS và IIS Basic Authentication, ở đây tôi không dùng 2 cách này mà dùng tool IIS Password .Nếu tôi dùng cách NTFS và IIS Basic Authentication thì khi bị sniff cũng sẽ lộ username/password của windows, còn IIS Password sẽ tạo ra một username/password riêng không phụ thuộc vào Windows để chứng thực khi người dùng khi truy cập vào link đã chọn.
   
  - Đây là Website http://222.222.222.222/admin chưa được bảo vệ

                               
Đăng nhập/Đăng ký mở rộng

   
  - Cài đặt IIS Password , để option theo mặc định, next theo hướng dẫn đến khi hoàn tất

                               
Đăng nhập/Đăng ký mở rộng

                               
Đăng nhập/Đăng ký mở rộng

                               
Đăng nhập/Đăng ký mở rộng

   - Mở Internet Information Services, trên Default Web Site, R.click chọn properties, chọn tab IISPassword

                               
Đăng nhập/Đăng ký mở rộng

   
   - Chọn nút Add, thêm vào username/password

                               
Đăng nhập/Đăng ký mở rộng

   - Đặt title là Amin Zone, chọn apply

                               
Đăng nhập/Đăng ký mở rộng

   
   - Trên máy client, truy cập lại địa chỉ http://222.222.222.222/admin thì đòi Username/password

                               
Đăng nhập/Đăng ký mở rộng

   - Nhập username/password ở trên thì truy cập thành công.

                               
Đăng nhập/Đăng ký mở rộng

   2. Bảo mật Webserver với tools ServerMask
Trước khi tấn công Website của bạn, các hacker thường dùng các thao tác Footprinting và Scanning, khi có đủ thông tin cần thiết, hacker sẽ chọn cách đánh vào website của bạn hay Server chứa website của bạn. Để giảm thiểu và gây lạc hướng các hacker khi tiến hành Footprinting và Scanning tôi sẽ che Server Header lại, không cho hacker biết tôi đang dùng IIS 6.

  - Đây là website chưa che Server Header, tôi dùng trình duyệt Firefox với addon ServerSpy thì dễ dàng nhận thấy được Web Server đang sử dụng IIS (Internet Information Services)

                               
Đăng nhập/Đăng ký mở rộng

   - Download và cài đặt ServerMask theo mặc định

                               
Đăng nhập/Đăng ký mở rộng

                               
Đăng nhập/Đăng ký mở rộng

   
   - Khởi động ServerMask, chọn tab Server Header, bạn có thể chọn một Server Header cố định hoặc tạo một Server Header cho riêng bạn.

                               
Đăng nhập/Đăng ký mở rộng

   - Ở đây tôi check vào dấu Randominze Server header among common non-IIS servers với giá trị là 500 requests, điều này có nghĩa là server sau khi nhận 500 request thì sẽ tự đổi 1 Server Header mới.

                               
Đăng nhập/Đăng ký mở rộng

   
  - Trên máy Client, truy cập vào http://222.222.222.222 kiểm tra

                               
Đăng nhập/Đăng ký mở rộng

   
3.Hiệu chỉnh Local Security Policy
  - Rename tài khỏan Administrator thành tên khác
   

                               
Đăng nhập/Đăng ký mở rộng

  - Chỉnh các policy :

  + Interactive logon: Display user infomation when the session is locked > Do not display user infomation
  + Interactive logon: Do not display last user name > enabled
  + Network access: Sharing and security model for local accounts > Guest only

(Nguồn: Mr Đào Duy Hiếu - MSOpenLab)