让 IIS Web 服务器看起来运行 Apache 会提高安全性吗？

信息安全 网络服务器 安全剧院
2021-09-03 13:51:55

正如您从标签中看到的那样，我知道默默无闻的安全并不是真正的安全。

因此，请考虑仅在电信提供商的拨号范围内的固定 IP 地址的端口 443 (SSL) 上可用于 Internet 的服务器。当 https'ed 时，它会显示一个IIS 8欢迎页面。只能通过 IP 地址访问服务器，没有 DNS 条目（ip-<ip>.customers.provider.com为提供商范围内的每个 IP 地址设置的常规条目除外）。IP 地址存储在 Windows Phone、iOS 和 Android 设备的邮件帐户中，并从具有 Google、Bing和 Yahoo 自动搜索功能的浏览器输入，因此在技术上为 Google、Apple、Yahoo 和 Microsoft 以及可能的其他第三方所知方应用程序供应商，如果他们可以从他们的应用程序访问邮件帐户设置。

而且它是用来浏览互联网和写电子邮件的，并且存储在许多服务器日志中等等，尤其是在需要登录的站点上，例如Stack Exchange，你可以很容易地看到它是一个固定 IP 地址，因为过去两年 IP 地址一直与同一个用户名绑定。

在该 IIS 服务器上，OWA 和ActiveSync正在运行。两者都需要从任何地方访问邮件。这些是我希望在 IIS 服务器上使用的应用程序，当我看到 IIS 欢迎页面时首先尝试。

除了定期进行 Windows/Exchange 更新、使用硬密码、向所有员工介绍网络钓鱼和社会工程的概念，并希望我们的电子邮件不够有趣，不足以证明针对我们的全面攻击是合理的之外，是否有意义通过将“裸”HTTPS 请求返回的页面更改为与“它可以工作！”无法区分的页面（包括所有标头）来“保护”服务器。阿帕奇页面？

我可以使用一些很好的论点，让最初提出这个想法的 CEO 可以理解。

编辑：不，我不需要获得最高管理层对安全性的支持。CEO 似乎已经很在意安全了，否则他不会想出这样的“改进”想法。我不是一个有证书的安全人员，只是一个关心的公民，主要是开发人员，兼职服务器管理员。我们公司没有真正的保安人员；我们现在是四个人。

由于我兼职做服务器管理，我被要求更换服务器。但在我深入了解如何更改 IIS 中的默认标头的信息之前，我想质疑整个“项目”......

4个回答

您不需要可检测到 DNS 名称。

可以在不到一天的时间内扫描整个 IPv4。它已经完成了。它仍在继续。

因此，您必须假设您的 IP 地址已被发现。

-> 做一个很好的演示。下载 25 GB 的转储文件并向您的 CEO 展示您公司的证书在其中。

进一步阅读

这可能会让非常随意的冲浪者继续前进，但是任何在您的服务器上运行任何类型扫描的人都会发现操作系统、Web 服务器版本和正在运行的软件。

例如，nmap http-enum NSE脚本应该检测到 Outlook Web Access 正在运行，如果有人愿意针对您的服务器运行它。

是的，无论如何都要用其他东西替换主页。我不会选择任何“默认”，即使是另一个操作系统或 Web 服务器平台，因为默认可能会说“我们刚刚设置了它，我们不知道我们在做什么安全方面”，所以它可能会鼓励脚本小子之类的枚举它。

创建您自己的标准索引页面几乎没有实施成本，而且它可能会让一小部分网络绊脚石转向更有趣的事情。但是，正如您所描述的，您在保护服务器方面所做的大部分工作都应该围绕着强化。

我同意您的观点，即隐匿安全永远不应成为主要防御措施，但我也同意您永远不应该让攻击者轻松检测到您正在运行的服务。

攻击者可能会首先尝试通过抓取横幅来确定您的 Web 服务器的版本。因此，您应该确保 IIS 不会以这种方式泄露此类信息。

当然，隐藏或替换默认的欢迎页面是有意义的。我不会称之为保护服务器，而是让攻击者更难检测到您正在运行的服务的版本/类型。

通过扫描开放端口，攻击者将能够找到并可能指纹您正在运行的其他服务，并由此得出您必须运行 IIS 的结论，但您不应轻易泄露此类信息。

至少您的服务器不会出现在只寻找这些欢迎页面的简单邪恶爬虫中。

或者，如果您将自己伪装成 Apache，那么自动攻击可能会失败。

因此，对于对您的服务器的专门攻击，这可能会使它变得更加困难。但是对于自动攻击，这可能会有所不同。

其它你可能感兴趣的问题
上一篇如何在创建新密码时安全地阻止用户在旧密码中添加一个数字？ 下一篇sha-1 哈希总是一样的吗？