[윈도우/서비스 관리] IIS 웹서비스 정보 숨김 (W-59)

IIS 웹서비스 정보 숨김

 

취약점 개요

■ 위험도
- 중

■ 점검 목적
- IIS 웹서비스 운용 시 에러 페이지, 웹 서버 종류, 사용 OS, 사용자 계정 이름 등 웹 서버와 관련된 불필요한 정보가 노출되지 않도록 하기 위함

■ 보안 위협
- IIS 웹서비스 정보 숨김 설정이 적용되지 않은 경우 악의적인 사용자에게 불 필요한 정보가 노출되어 외부 공격을 위한 기초 자료로 이용될 수 있음

점검 및 조치 방법

■ 판단 기준
- 양호 : 웹 서비스 에러 페이지가 별도로 지정되어 있는 경우
- 취약 : 웹 서비스 에러 페이지가 별도로 지정되지 않아 에러 발생 시 중요 정보 가 노출되는 경우

■ 조치 방법
- 발생 가능한 각 에러에 대한 별도의 웹 서비스 에러 페이지를 지정함

■ 점검 및 조치 사례
Windows NT, 2000, 2003
Step 1) 인터넷 정보 서비스(IIS) 관리> 속성> [사용자 지정 오류] 탭에서 400, 401, 403, 404, 500 등 웹 서비스 에러에 대해 별도의 페이지를 지정

 

Windows 2008, 2012, 2016, 2019
Step 1) 오류 페이지 설정 편집
제어판> 관리 도구> IIS(인터넷 정보 서비스) 관리자> 해당 웹 사이트> [오류 페이지] > [작업] 탭에서 [기능 설정 편집]> “서버 오류 발생 시 다음 반환“ 항목을 ”사용자 지정 오류 페이지“로 설정

■ 스크립트

echo. W-59 START
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo [ W-59 "IIS 웹 서비스 정보 숨김" ]                                                               >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
type [RESULT]_%COMPUTERNAME%_IIS7_Security_Policy.txt | findstr /I "statusCode="                >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo.                                                                                           >> [RESULT]_%COMPUTERNAME%_WINSVR.txt 2>&1
echo    @ IIS 7.0                                                                               >> [RESULT]_%COMPUTERNAME%_WINSVR.txt 2>&1
TYPE [RESULT]_%COMPUTERNAME%_IIS7_Security_Policy.txt | findstr /I "error statusCode"           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo W-59 END                                                                                   >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo ======================================================================================     >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt