Creative Commons License

Microsoft .NET

닷넷!시작하기
닷넷! Ver 2.0~
닷넷!스킬업
웹개발
윈폼개발
실용모듈개발
Tip & Tech
하루 한 문법

Microsoft .NET 개발자들을 위한 공간입니다. 기초강의에서 부터 고급 기술 정보 및 팁등을 다루도록 하겠습니다.

.

웹개발

이제 웹 기반 응용개발 지식은 거의 필수적으로 요구되는 시대입니다. 구체적인 웹 사이트 개발은 아니더라도 거시적인 웹 기반 서비스에 대한 지식 배양을 위해 할 것이 참 많네요 ^^

IIS 6.0 보안 특징

작성자 : 박종명
최초 작성일 : 2008-06-18 (수요일)
최종 수정일 : 2008-06-18 (수요일)
조회 수 : 2776

마이크로소프트사는 IIS의 취약점에 대한 악의적인 공격의 패턴을 분석하고 IIS 6.0을 보다 안전하게 만들기 위해서 다양한 예방 수단을 도입했다.

보안 측면에서 IIS 6.0의 특징을 살펴보면 다음과 같이 정리할 수 있다.

① IIS는 Windows Server 2003에 기본적으로 설치되지 않는다. 예상되는 시스템의 공격 요소를 줄이기 위해 IIS 5.0와는 다
   르게 운영체제 설치 시에 기본적으로 설치되지 않는다. 웹 서비스를 제공하기 위해서는 관리자가 직접 IIS 구성 요소를 설치
   해야 한다.

② IIS를 설치하더라도 초기 상태는 잠금 모드이다. 
   즉, 정적인 컨텐츠(.htm, .html)에 대한 기능만 제공되며 ASP나 ASP.NET과 같은 동적인 컨텐츠를 제공하려면 해당 요소를
   활성화 시켜야 한다.

③ 도메인 관리의 그룹 정책을 통해 구성원들이 자신의 컴퓨터에 IIS를 임의로 설치할 수 없도록 지정할 수 있다.

④ IIS 6.0에서 사용자의 요청을 처리하는 작업자 프로세스는 낮은 권한을 가진 NetworkService 계정으로 실행되
   며 이로써 악의적인 공격에 의한 피해를 최소화 할 수 있다.

⑤ IIS 6.0에서는 지정된 파일 확장자에 대한 요청에만 응답하며 인식하지 못하는 파일 확장자에 대한 요청은 거부한다.

⑥ 악의적인 사용자가 웹 서버에 접근하여 웹 사이트의 파일을 훼손하는 것을 막기 위해 웹사용자에게 웹 컨텐츠 파일에 대
   한 쓰기 권한을 부여하지 않는다.

⑦ 서버에 업로드 될 수 있는 데이터의 크기를 제한할 수 있고, 웹 사용자에 대한 응답 시간 제한을 제어함으로써 위험 요소를
    최소화할 수 있다.

⑧ 웹 사용자들에 대하여 명령줄 도구(command line tool)의 접근을 막음으로써 이러한 도구를 이용한 악의적인 공격
    을 막을 수 있다.

⑨ 기존의 IIS의 버퍼 오버플로우 결함을 이용한 공격을 막기 위해 IIS 6.0의 작업자 프로세스는 버퍼 오버플로우가
   발생하면 해당 어플리케이션을 찾아서 종료시킨다.

⑩ 웹 서버 상에서 여러 개의 웹 사이트를 운영할 경우 이들 어플리케이션을 서로 분리된 프로세스에서 실행 될 수
   있도록 함으로써 이전처럼 공격에 의하여 모든 웹 서비스가 중단되는 상황을 막을 수 있다.

⑪ IIS 6.0에는 SSL의 개선된 버전이 포함되어 있다. 이로써 보다 빠른 성능을 얻을 수 있고, SSL 인증서를 원격으로 관리하거
    나 선택적으로 암호화 서비스 공급자를 지정할 수 있다.

⑫ IIS 6.0 인증 기능에 마이크로소프트의 인증 서비스인 Passport를 통합하였다.
    Passport 인증 서비스를 이용해서 확인된 Passport ID를 Active Directory 사용자로 매핑하여 사용할 수 있다


작업자 프로세스 격리 모드: 작업자 프로세스에서 실행 중인 어플리케이션이 기본적으로 NetworkService 계정으로 실
행되므로 보다 높은 수준의 보안을 제공한다.

IIS 5.0 격리 모드: 어플리케이션은 기본적으로 LocalSystem 계정으로실행 된다. 
이 계정을 사용하면 컴퓨터에 있는 거의 모든 리소스를 액세스 및 변경할 수 있으므로 보안에 주의해야 한다.

- 자료 참조 : 안철수 연구소 -

이름
비밀번호
홈페이지
YX <- 왼쪽의 문자를 오른쪽 박스에 똑같이 입력해 주세요