Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

472 Kapitel 17: Schützen von Serveranwendungen
Direkt aus der Praxis: Coole Features in IIS 7.0
Eine der besten Sicherheitsänderungen in IIS 7.0 ist das neue integrierte anonyme Konto
IUSR und die Benutzergruppe IIS IUSRS. In der Vergangenheit funktionierte die XCOPY-
Bereitstellung zwar, war aber nicht völlig transparent – Sie mussten sich noch um die
Zugriffssteuerungslisten (Access Control List, ACL) der Inhalte kümmern, die auf den
IIS-Server kopiert wurden. In IIS 7.0 hat das Produktteam das anonyme Konto in das Betriebssystem
einbauen lassen. Dadurch wird die Abhängigkeit zwischen Benutzerkonto
und Ressourceninhalt entkoppelt, sodass eine vollständige XCOPY-Lösung im Bezug auf
die Zugriffsberechtigungen der Inhalte verfügbar ist. Sie müssen auch weniger Konten
verwalten, weil auf allen IIS 7.0-Computern dieselbe SID für anonyme Benutzer vorhanden
ist. Und Sie brauchen sich nicht mehr so sehr den Kopf über ablaufende Kennwörter
zerbrechen wie beim alten anonymen IUSR -Konto. Außerdem ersetzt
die neue Benutzergruppe IIS IUSRS die alte Benutzergruppe IIS WPG, die in IIS 6.0 mit
bestimmten Privilegien und Rechten zum Starten von Arbeitsprozessen vordefiniert war.
Das bedeutet, dass Sie in IIS 7.0 die Anwendungspoolidentität des Kunden nicht mehr zu
einem Mitglied der Benutzergruppe IIS IUSRS zu machen brauchen. Während der Laufzeit
wird die Gruppen-SID von IIS IUSRS in das Arbeitsprozesstoken eingetragen, wodurch
das Konto implizit zu einem Mitglied der neuen integrierten Benutzergruppe wird.
Diese Mitgliedschaft wird dynamisch eingetragen und ist in IIS 7.0 standardmäßig aktiviert.
Bernard Cheah, Microsoft MVP
Windows Server – IIS
Sicherheitswarnung: Sicherheit, ein Nachzügler im Internet
Als Internet und World Wide Web entstanden, wurden sie entwickelt, um Informationen
offen miteinander zu teilen, sodass jeder vollständigen Zugriff auf die Daten aller anderen
erhielt. Deswegen können Sie feststellen, dass Ihre einfachste und sicherste Konfiguration
darin besteht, Ihren Server so zu konfigurieren, dass er völlig offen arbeitet und die
Informationen an alle ausliefert, die eine Verbindung herstellen.
Verstehen Sie mich nicht falsch, ich will nicht anregen, dass Sie die Geheimnisse Ihres
Unternehmens für alle Welt offen zur Schau stellen. Ich weise nur darauf hin, dass sich
ein Internetserver am einfachsten schützen lässt, wenn er nur öffentliche Informationen
ausliefert oder Dienste öffentlich zur Verfügung stellt, ohne zwischen Clients unterscheiden
oder Aktivitäten aufgrund der Authentifizierung der Clientbenutzer autorisieren zu
müssen.
Ein großer Teil des Internets besteht immer noch aus statischem Inhalt, der in regelmäßigen
Abständen von Menschen aktualisiert wird, die aus dem Bereich innerhalb der Firewall
neuen Inhalt auf den Server hochladen. Solange Benutzer daran gehindert werden,
Daten hochzuladen (und nur Dateien zu sehen bekommen, die aus der veröffentlichten
Datenquelle stammen), bekommen sie niemals etwas zu sehen, das Sie ihnen nicht zeigen
wollen.