Security Operation Center

Size: px

Start display at page:

Download "Security Operation Center"

部铄狄
6 years ago
Views:

1 IIS 與 SQL Server 安全敦陽科技

2 大綱前言入侵過程分析安裝 IIS 6.0 目錄安全設定 IIS 應用程式設定安裝 UrlScan 安裝 SQL Server 2000 移除範例資料庫移除不必要的預存程序

3 大綱建立 Public 使用者設定 Public 角色使用者問題與討論

4 前言

5 關於我吳東霖, Alex 現任敦陽科技資安服務處資安顧問經歷多次政府金融電信教育企業單位之滲透測試服務資安事件處理與蒐證資安設備規劃與建置

6 聲明本系列課程內容, 僅用於瞭解攻擊手法以利進行防禦部署, 若有任何學員以之進行非法活動, 一切行為與本人及敦陽科技無關, 由學員自行負責

7 刑法第三十六章妨害電腦使用罪第 358 條入侵電腦或其相關設備罪第 359 條破壞電磁紀錄罪第 360 條干擾電腦或其相關設備罪第 361 條對公務機關, 加重其刑至 1/2 第 362 條製作犯罪電腦程式罪第 363 條 358 ~ 360 須告訴乃論 7

8 資安領域概述通訊安全存取控制資料安全內容管理安全監控資安稽核安全管理

9 入侵過程分析

10 一般入侵過程資訊收集弱點探測侵入系統提升權限收集資料植入後門

11 資訊收集主機搜尋 ICMP TCP Zone Transfer Google / Search Engine 服務掃描 ( Port Scan ) nmap Superscan amap etc FIN, Xmas, or Null scan 網路架構探測 traceroute tcptraceroute etc 作業系統判斷由 TCP Fingerprint 辨識系統 xprobe p0f nmap

12 弱點探測服務弱點掃描工具 Nessus ISS Internet Scanner Foundstone FoundScan etc 網頁弱點掃描工具 HP WebInspect IBM Rational AppScan Acunetix Web Vulnerability Scanner 人為判斷

13 侵入系統利用 Web 應用程式的漏洞 SQL Injection Code/Command Injection Remote File Inclusion Upload File Mis-Handling 利用服務程式 (Daemon) 的弱點 Remote Buffer Overflow Design Error Brute Force Attack Sniff Man-in-the-Middle / Session Hijacking

14 駭客會去的網站 - milw0rm 14

15 Adobe Acrobat Reader EXP 15

16 Milw0rm - platforms 16

17 Milw0rm 17

18 駭客會去的網站 - sebug 18

19 Sebug - vuldb 19

20 一定要去看的網站 - 資安之眼 20

21 資安之眼 - TW 網站淪陷資料庫 21

22 安裝 IIS 6.0

23 安裝 IIS 6.0 建議針對網站勾選所需的服務, 不要勾選不必要的服務, 方能減少攻擊面積 23

24 移除預設的網站 24

25 新增網站建議輸入網站域名, 避免淪為攻擊者的釣魚網站 25

26 新增網站建議網站主目錄建立在獨立的磁碟區, 不要建立在系統磁碟區備份磁碟區 Log 紀錄磁碟區中, 避免攻擊者以目錄跳脫的弱點, 取得伺服器詳細資訊, 做進一步的攻擊 26

27 建議如網站需要提供動態服務只需勾選讀取執行指令碼, 不要勾選執行寫入瀏覽權限 27

28 Checklist 安裝新增 IIS 網站 IIS 安裝未勾選 ASP ASP.NET 以外的子元件 IIS 安裝完成後進行 Windows Update 移除 IIS 預設網站網站建立時有確實輸入主機標頭網站主目錄建立在獨立的磁碟區, 同時無其他資料存放網站權限只有讀取執行指令碼 28

29 目錄安全設定

30 新增 Windows 匿名存取帳戶建議帳號名稱不要使用網站域名, 避免攻擊者取得使用者清單後, 得知該伺服器有其他網站, 做進一步的攻擊行為如果有建立多個 Windows 匿名存取帳戶, 建議不要使用相同相似的密碼, 同時也要避免和 Administrator 等管理帳號的密碼相似, 避免攻擊者得知密碼的規律性, 取得系統最高權限 30

31 Checklist 新增 Windows 匿名存取帳戶匿名存取帳戶的成員隸屬的清單中, 只有 Guests 成員, 沒有其他成員匿名存取帳戶的終端機服務設定檔, 有勾選拒絕這個使用者權限登入任何終端機伺服器匿名存取帳戶的撥入, 有選擇拒絕存取 31

32 設定 IIS 匿名存取帳戶 32

33 Checklist 設定 IIS 匿名存取帳戶網站有個別設定匿名存取帳戶 33

34 設定 NTFS 存取權限設定網站磁碟區存取權限 34

35 設定 NTFS 存取權限設定網站資料夾存取權限 35

36 Checklist 設定 NTFS 存取權限網站主目錄的磁碟區, 在安全性清單中已移除 Everyone Users 網站主目錄已個別設定匿名存取帳戶網站主目錄的匿名存取帳戶, 沒有寫入權限, 只有讀取清單資料夾內容讀取及執行的權限只有網頁應用程式需要具有寫入權限的目錄檔案, 設定寫入權限 36

37 IIS 應用程式設定

38 網站主目錄應用程式設定此項設定可避免攻擊者繞過檔案上傳限制, 上傳網頁後門等其他檔案, 甚至可避免攻擊者繞過防毒軟體的掃描規則 38

39 Checklist 網站主目錄應用程式設定網站主目錄應用程式, 只留下網頁應用程式所需的副檔名對應 39

40 關閉 ASP 詳細錯誤訊息如果應用程式確實存在 SQL Injection 弱點, 即使關閉詳細錯誤訊息, 攻擊者也能以 Blind SQL Injection 方式進行攻擊, 建議盡速修補應用程式漏洞, 避免機密資料遭攻擊者竊取 40

41 Checklist 關閉 ASP 詳細錯誤訊息網站已關閉 ASP 詳細錯誤訊息 41

42 網站子目錄應用程式設定避免攻擊者利用目錄跳脫繞過檔案上傳限制, 任意新增執行惡意的應用程式網頁後門等 42

43 Checklist 網站子目錄應用程式設定網站子目錄的靜態檔案資料夾, 已設定為無執行權限 43

44 自訂網站錯誤訊息 44

45 Checklist 自訂網站錯誤訊息已設定自訂網站錯誤訊息, 發生錯誤時導向網站首頁 45

46 安裝 UrlScan

47 下載 UrlScan UrlScan v3.1 (x86) : ils.aspx?familyid=ee41818f e &displaylang=en UrlScan v3.1 (x64) : ils.aspx?familyid=361e5598-c1bd-46b8- B3E7-3980E8BDF0DE&displaylang=en 47

48 設定 UrlScan 設定檔存放於 "%SystemRoot%\system32\inetsrv\urlsca n\urlscan.ini 建議非必要情況下, 不要任意更改 UrlScan 設定檔 48

49 移除 ServerHeader 將 ServerHeader 移除, 可降低攻擊者對伺服器版本的辨識率, 同時可以混淆常見的攻擊掃描工具 49

50 自訂 ServerHeader 50

51 Checklist 設定 UrlScan 已移除 ServerHeader, 並自訂 ServerHeader 51

52 安裝設定 SQL Server 2000

53 安裝設定 SQL Server 2000 驗證模式請選混合模式密碼請設定八字元以上, 包含英文數字符號, 請勿使用空白密碼 53

54 SQL Server 2000 Service Pack 4 ils.aspx?familyid=8e2dfc8d-c20e A9- B7F0213F8BC5&displaylang=en 54

55 Checklist 安裝設定 SQL Server 2000 安裝目的磁碟區格式為 NTFS 驗證模式為混合模式密碼大於八個字元以上, 包含英文數字符號安裝 Service Pack 4 執行 Windows Update 更新 55

56 移除範例資料庫

57 移除範例資料庫 57

58 Checklist 移除範例資料庫移除 northwind pubs 範例資料庫 58

59 移除範例資料庫

60 移除不必要的預存程序移除預存程序 60

61 復原預存程序復原 sp_addextendedproc 復原 xp_execresultset 復原其它預存程序 61

62 建立 Public 使用者

63 建立 Public 使用者帳號建議網站前台與網站後台, 個別為兩個 Public 帳號, 避免惡意使用者透過 SQL Injection 取得後台帳號密碼等資訊 63

64 Checklist 建立 Public 使用者帳號驗證方式為 SQL Server 的帳戶驗證密碼長度大於八個字元, 包含英文數字符號登入的預設資料庫為目標資料庫該帳號未勾選任何伺服器角色資料庫存取只勾選該資料庫, 資料庫角色只勾選 public 64

65 設定 Public 角色使用者

66 Public 角色使用者設定 66

67 Checklist Public 角色使用者設定資料庫角色權限只勾選 Public 依照帳號需求, 只勾選所需權限 67

68 問題與討論

Security Operation Center

Security Operation Center UNIX 伺服器系統安全敦陽科技大綱前言入侵過程及事後處理 General System Security Harden UNIX System Harden Windows System Q & A 前言前言關於我資安領域概述 Trade-Off 防禦的訣竅迷思妨害電腦使用罪關於我劉俊雄現任敦陽科技資安服務處資安顧問經歷 2007/2008/2009