Автор: Пользователь скрыл имя, 12 Июня 2012 в 15:50, курсовая работа
В IIS 6.0 строгая изоляция была представлена в качестве подхода к осуществлению защиты по умолчанию. Это был существенный шаг в строну по сравнению с другими версиями IIS, которые устанавливали и активировали почти все функции, присутствующие в установочном пакете, в результате чего пользователь получал полностью укомплектованный веб-сервер по умолчанию.
Однако проблемы возникают, когда запрос файла Active Server передается не обработчику, а одному из многих других механизмов, которые поставляются совместно с сервером IIS. Это могут быть также и библиотеки ISAPI. Среди наиболее важных расширений ISAPI — программы ISM, Webhits, WebDAV, а в будущих версиях IIS — и протокол доступа к данным Simple Object Access Protocol (SOAP). В некоторых библиотеках этих расширений ISAPI есть ошибки, которые приводят к получению клиентом необработанного сервером исходного кода сценария ASP. Для запуска одной из этих библиотек достаточно просто запросить файл с состветствующим расширением (например, . htr) или подготовить специальный запрос HTTP.
Кроме ошибок в расширениях ISAPI, существуют и другие возможности доступа к исходному коду. "Особый вклад" в усиление проблемы доступности исходного кода "внесли" Web-службы, поскольку они обычно предназначены для предоставления значительного объема информации клиентам.
Простого исправления этой ошибки оказалось недостаточно. Компания Microsoft выпустила две отдельные заплаты для правильной обработки запросов файлов с расширением .htr, а затем была вынуждена выпустить и третью заплату, когда оказалось, что на серверах с внесенными исправлениями работает еще один вариант этой атаки. Этот вариант также основан на ошибке + .htr, только перед символами + .htr добавляется значение %3f.
1.6.5 DoS-атаки
Целью DoS (Denial of Service) атаки является блокировка каких-то ресурсов атакуемого, чаще всего это входная полоса пропускания, с целью ограничения доступа клиентов к серверу, узлу или сети жертвы. В качестве объекта атаки помимо полосы пропускания может быть вычислительная мощность процессора или информационные ресурсы операционной системы.
Как правило, атакер пытается организовать дело так, чтобы трафик на входе жертвы превосходил его (атакера) выходной трафик. Решить эту задачу он может разными методами. Наиболее распространенным является способ массового взлома машин и использования их для атаки (DDoS – Distributed Denial of Service Attacks). Другим приемом является умножение воздействия за счет других сетевых устройств, например, DNS-серверов (ресурсные запросы) или маршрутизаторов (использование широковещательных IP-адресов). Возможно совмещение нескольких методов DoS-атаки.
Атакеры могут применить различные способы для выявления и получения доступа к машинам-жертвам. Наиболее важными из них являются:
Можно выделить три механизма рассылки вредоносных кодов и построения сетей для атак:
После того как армия атакующих машин сформирована, атакер определяет вид и объект атаки и ждет удобного момента времени. После начала атаки все машины этой армии начинают слать пакеты по адресу машины-жертвы. Объем трафика при этом может быть столь велик, что может быть заблокирован даже шлюз сети, где расположена машина-жертва. Сейчас в Интернет имеется около дюжины программ автоматизации процесса на всех фазах атаки.
Работа машин зомби может
быть автономной или синхронизоваться
атакером (рисунок 27). Для того чтобы скрыть
свой IP-адрес атакер фальсифицирует адрес
отправителя. Помимо описанной выше разновидности
DDoS-атаки существует разновидность DRDoS (
Рисунок 27 – DDoS-атака
DRDoS-атаки более вредоносны и здесь еще труднее выявить первоисточник атаки, так как в процесс вовлечено больше машин (рисунок 28).
Рисунок 28 – DRDoS-атака
CrashIIS является одной из разновидностей DoS-атак. Жертвой атаки CrashIIS обычно является Microsoft Windows IIS Web-сервер. Атакер посылает неверно сформированный GET-запрос, который выводит из строя Web-сервер.
В качестве защиты от DoS-атак Microsoft предлагает расширение Dynamic IP Restrictions Extension, которое интегрируется в IIS 7.0 и доступно как в 32-битном, так и в 64-битном варианте. Оно в первую очередь адресовано тем IT-профессионалам, которые хотят иметь под рукой настраиваемый модуль, способный помочь в блокировке и минимизации последствий DoS-атак, а также в предотвращении попыток взлома паролей через брутфорс. Достигаться это будет за счет временной блокировки IP-адресов, трафик с которых совпадает с имеющимися шаблонами вредоносного трафика. Анализ и блокировка могут осуществляться как в Web Server, так и в Web Site. Данное решение призвано заменить собой интегрированный в IIS 7 сервис IPv4 and Domain Restrictions.
В Microsoft выделяют шесть основных особенностей предлагаемого расширения:
2 Microsoft SQL Server
2.1 Установка Microsoft SQL Server 2008
В данном пункте рассмотрим установку Microsoft SQL Server 2008 на операционную систему Windows Server 2008 R2.
Мастер установки предлагает ознакомиться
с правилами поддержки
Важным этапом установки является
выбор устанавливаемых
Рисунок 29 – Выбор компонентов
Далее предлагается осуществить настройку экземпляра устанавливаемого сервера. Предлагается вариант по умолчанию, либо именованный экземпляр, который можно настраивать. Для настройки доступны имя экземпляра, его идентификатор и корневой каталог. Примененные настройки можно видеть на рисунке 30.
Рисунок 30 – Настройка экземпляра
Далее настраивается конфигурация сервера. Окно состоит из двух вкладок. На первой нужно настроить учетные записи, которые получат доступ к соответствующим службам сервера (рисунок 31).
Рисунок 31 – Конфигурация учетных записей служб сервера
На вкладке «Параметры сортировки»
нужно выбрать компонент
Рисунок 32 – Параметры сортировки конфигурации сервера
Далее настраивается компонент Database Engine. Здесь настраивается режим проверки подлинности. Был выбран смешанный режим, так как он считается более безопасным и является более удобным (описание в пункте 2.2). Для смешанного режима нужно задать пароль и учетную запись администратора. Все настройки приведены на рисунке 33.
Рисунок 33 – настройка компонента Database Engine
Далее производится настройка служб Analysis Services. Необходимо добавить пользователей, которые смогут настраивать эти службы (рисунок 34).
Рисунок 34 – Настройка служб Analysis Services
Далее происходит настройка работы служб Reporting Services (рисунок 35). Для целей данной курсовой работы необходимо выбрать «Установить конфигурацию по умолчанию для работы в собственном режиме».
Рисунок 35 – Настройка служб Reporting Services
Далее проверяется, удовлетворяет ли настройка всех пунктов, предъявляемым требованиям (рисунок 36).
Рисунок 36 – Правила установки
Далее происходит установка. В результате получается установленный Microsoft SQL Server 2008.
2.2 Аутентификация пользователя в MS SQL Server
При попытке подключения к серверу БД сначала проверяется, какой метод аутентификации определен для данного пользователя.
При соединении с сервером MS SQL используются два типа аутентификации (рисунок 37):
1) аутентификация средствами СУБД (MS SQL). На MS SQL Server этот режим определяется как смешанный режим Mixed Mode (Windows NT Authentication and SQL Server Authentication). При использовании смешанного режима аутентификации средствами SQL Server проводится последовательная проверка имени пользователя (login) и его пароля (password); если эти параметры заданы корректно, то подключение завершается успешно, в противном случае пользователь также получает сообщение о невозможности подключиться к SQL Server. В случае смешанного режима часть пользователей может быть подключена к серверу с использованием стандартного режима, а часть с использованием интегрированного режима;
2) интегрированный режим аутентификации, называемый Windows Authentication Mode (Windows Authentication). Интегрированный режим предполагает, что для пользователя задается только одна учетная запись в операционной системе, как пользователя домена, а SQL Server идентифицирует пользователя по его данным в этой учетной записи. В этом случае пользователь задает только одно свое имя и один пароль. В данном варианте на сервере должны быть добавлены пользователи операционной системы.
Если определен Windows Authentication Mode, то далее проверяется, имеет ли данный пользователь домена доступ к ресурсу SQL Server, если он имеет доступ, то выполняется попытка подключения с использованием имени пользователя и пароля, определенных для пользователя домена; если данный пользователь имеет права подключения к SQL Server, то подключение выполняется успешно, в противном случае пользователь получает сообщение о том, что данному пользователю не разрешено подключение к SQL Server.
2.3 Олицетворение SQL Server
SQL Server и Microsoft Windows могут быть настроены таким образом, чтобы дать возможность экземпляру SQL Server выполнять соединение с другим экземпляром SQL Server в контексте пользователя Windows, прошедшего проверку подлинности. Это называется олицетворением или делегированием.
При использовании делегирования экземпляр SQL Server, к которому подключается пользователь Windows с проверкой подлинности Windows, выполняет олицетворение этого пользователя при обмене данными с другим экземпляром SQL Server или поставщиком SQL Server. Этот второй экземпляр или поставщик могут располагаться на том же компьютере или на удаленном компьютере в том же домене Windows, что и первый экземпляр.
Делегирование учетных записей может быть необходимым при обращении к поставщикам на различных компьютерах для выполнения распределенных запросов. Включение делегирования для распределенных запросов требует изменения конфигурации SQL Server и Active Directory.
SQL Server поддерживает явное олицетворение другого участника с помощью автономной инструкции EXECUTE AS, а также неявное олицетворение с помощью предложения EXECUTE AS в модулях. Олицетворение участников уровня сервера и имен входа выполняется с помощью автономной инструкции EXECUTE AS путем использования инструкции EXECUTE AS LOGIN. Олицетворение участников уровня базы данных и имен пользователей выполняется с помощью автономной инструкции EXECUTE AS путем использования инструкции EXECUTE AS USER.
Неявные олицетворения, выполняемые через предложение EXECUTE AS в модулях, олицетворяют указанного пользователя или имя учетной записи на уровне базы данных или сервера. Олицетворение зависит от уровня модуля: это либо модуль уровня базы данных (например, хранимая процедура или функция), либо модуль уровня сервера (например, триггер уровня сервера).
При олицетворении участника с помощью инструкции EXECUTE AS LOGIN или с помощью предложения EXECUTE AS внутри модуля области сервера областью олицетворения является весь сервер. Это означает, что после смены контекста становится доступен любой ресурс внутри сервера, к которому имеет доступ олицетворенное имя входа учетной записи.
Однако при олицетворении
Информация о работе Построение защищенных Web-приложений на основе IIS и MS SQL Server