네트워크/서버

 > 

웹 서버

Microsoft IIS Lockdown Tool 1.0

[다운로드]  [제작사 다운로드]

IIS는 다양한 기능을 제공하는 웹서버인 만큼 여러가지 개방된 서버 구조를 가지고 있는데, 이러한 구조를 악용하여 Code Red와 같은 각종 웹서버 공격이나 해킹을 받고 있는 것이 사실입니다.

하지만 이런 강력한 기능의 상당수는 실제 서비스를 위해 필요하지 않은 기능이기 때문에 이들 기능을 사용하지 않는다면 잠재적인 보안 위협에 대처할 수 있습니다.

Microsoft IIS Lockdown Tool은 이런 목적을 위해 IIS의 다양한 기능 중 해킹에 노출될 수 있는 기능들을 간단한 마법사 형태의 선택을 통해 필요없는 기능을 사용하지 않게 해주는 일종의 IIS 설정 프로그램입니다.

프로그램은 크게 Express Lockdown과 Advanced Lockdown의 두가지로 선택이 가능한데, 가능한한 서버 관리자라면 Advanced Lockdown을 선택하여 실제 사용하지 않는 서비스를 직접 체크하는 것이 바람직합니다.

만일 Express 모드로 설정할 경우 꼭 필요한 기능이 Disable 될 수 있기 때문에 Advanced 모드로 설정하되, 셋팅 후에는 모든 웹서비스의 기능이 이전과 같이 정상 작동하는지를 다시 한 번 확인하는 것도 매우 중요합니다.

이 프로그램은 Script Mapping에 대한 옵션을 처음에 지정하게 합니다.
잠재적인 프로그램 실행을 서버 레벨에서 가능하게 하는 스크립트 기능을 종류별로 지정 가능한데, 다음과 같은 것들을 선택적으로 지원을 제거할 수 있습니다.

• Active Server Pages (.asp)
  
• Server Web Interface (.idq, .htw, .ida)
  
• Server Side Includes (.shtml, .shtm, .stm)
  
• Internet Data Connector (.idc)
  
• Internet Printing (.printer)
  
• .HTR Scripting (.htr)

추가적으로는 기타 액션에 대한 지정이 가능한데, 기본으로 포함된 샘플 웹 파일의 삭제나 가상 디렉토리인 /Scripts 폴더의 삭제, /MSADC 가상 폴더의 삭제와 같은 필요없거나 보안상 노출 가능한 알려진 가상 폴더의 삭제 기능을 제공합니다.

그밖에 Distributed Authoring and Versioning 기능인 WebDAV 기능을 Disable 하는 기능, cmd.exe나 tftp.exe와 같은 시스템 프로그램을 익명 사용자가 실행할 수 있는 기능을 Disable 하는 기능, 그리고 컨텐트 디렉토리에 익명 사용자가 파일을 쓸 수 있는 기능을 함께 제공하고 있습니다.

잘 찾아보면 일일히 설정 가능한 것들이긴 하지만, 주요한 보안 문제에 노출된 기능을 하나의 프로그램에서 간단히 체크하는 것만으로 설정을 변경할 수 있게 해주는 웹서버 관리자에게는 매우 유용한 프로그램입니다.