IIS rekomendasi keamanan bila Anda menggunakan UNC berbagi dan Username dan Password kredensial

Ada contoh ketika Anda dapat menggunakan Internet Information Server (IIS) sebagai portal ke perangkat lain di jaringan yang berisi penyimpanan yang tersedia. Anda dapat melakukannya dalam snap-in konsol manajemen Microsoft IIS (MMC) dengan memilih Berbagi terletak di komputer lain pilihan di situs Web atau Direktori virtual tab.

IIS dapat mendeteksi ketika jalan lokal atau jarak jauh bahkan ketika membuat jaringan pemetaan drive yang muncul lokal. Oleh karena itu, untuk akses ke diberikan, IIS harus memperoleh kredensial dengan izin untuk berbagi jauh. Surat-surat ini (user ID dan password) akan dienkripsi dan disimpan di IIS metabase, tetapi tersedia melalui Application Programming Interface (API). Jika praktek-praktek normal keamanan tidak diikuti, ini berpotensi dapat menimbulkan risiko untuk mengamankan operasi server.

Administrator server harus tidak pernah membiarkan kode yang tidak dipercaya untuk menjalankan pada server. Potensi kerusakan yang dapat mengakibatkan dari memungkinkan pengguna tidak terpercaya untuk menjalankan kode pada server jauh melampaui insiden khusus ini.

Microsoft menganjurkan bahwa pelanggan berkonsultasi artikel Basis Pengetahuan berikut untuk informasi tentang cara menetapkan izin yang sesuai untuk pengguna Web:Bahkan ketika menetapkan perizinan yang tepat, Microsoft menyarankan bahwa, sesuai dengan rekomendasi keamanan normal, account pengguna yang digunakan untuk mengakses pangsa harus memiliki hak paling sedikit mungkin. Secara khusus, Microsoft menyarankan bahwa account memiliki izin yang sama sebagai IUSR_Machinename account (baca dan mengeksekusi). Dengan mengikuti rekomendasi ini, Anda memastikan bahwa bahkan jika pengguna berbahaya dapat menjalankan kode pada server dan mendapatkan kredensial yang digunakan untuk mengakses UNC saham, mereka tidak dapat memperoleh hak istimewa tambahan dengan demikian.

Untuk setiap situs Web atau direktori virtual dengan berbagi, Microsoft menganjurkan bahwa Anda dengan hati-hati merencanakan izin dan tidak menggunakan account dengan tingkat administrasi izin.

Jika baik keamanan pedoman diikuti, maka ini harus tidak menimbulkan risiko keamanan. Namun, ada kemungkinan bahwa informasi ini dapat diambil dari metabase jika izin keamanan salah ditempatkan pada IIS server.

Informasi di dalam artikel ini diuji dengan Active Server Pages (ASP) dan GetObject metode penyedia IIS. Kerentanan ditemukan dengan metode kode yang benar; Namun, akar penyebab masalah adalah izin keamanan yang salah.

REFERENSI

Untuk informasi tambahan, klik nomor artikel di bawah ini untuk melihat artikel di dalam Basis Pengetahuan Microsoft: