Content-Security-Policy-Header
Content Security Policy (CSP) ist ein Sicherheitsstandard, den moderne Browser zum Schutz vor Dateninjektionsangriffen wie Cross-Site Scripting (XSS) verwenden. CSP nutzt eine Whitelist, um festzulegen, welche Ressourcen sicher geladen werden dürfen, und ignoriert nicht verifizierte Quellen. Außerdem werden alle Versuche protokolliert, die Sicherheitsrichtlinie zu umgehen. Damit diese Richtlinie verwendet werden kann, muss der Server über einen Content-Security-Policy-HTTP-Header mit einer oder mehreren Direktiven verfügen. Jede Direktive gilt für einen bestimmten Ressourcentyp. Direktiven definieren eine Sicherheitsrichtlinie, indem sie Regeln für Ressourcen festlegen. Um CSP für Ihren Browser einzurichten, fügen Sie den folgenden Code in Ihre Dateiweb.config ein:
web.config an.
Weitere Informationen zum Content-Security-Policy-Header finden Sie auf dieser Website.
HTTP-Strict-Transport-Security-Header
HTTP Strict-Transport-Security (HSTS) beschränkt jede Interaktion zwischen dem Browser und der Website auf eine sichere SSL-Verbindung. Ein Webserver, für den HSTS eingerichtet ist, weist den Browser an, ausschließlich HTTPS zu verwenden, und verbietet die Verwendung von HTTP. HSTS wird in erster Linie eingesetzt, um Abhörangriffe auf Anfragen und Antworten abzuwehren, zum Beispiel MITM-Angriffe (Man-In-The-Middle). Damit Sie diese Sicherheitsrichtlinie verwenden können, müssen Sie URL-Rewrite-Regeln verwenden, um HTTP-Antworten einen Strict-Transport-Security-(STS)-Header hinzuzufügen. Dies ist erforderlich, um unerwünschte HTTP-Anfragen zu verhindern und den gesamten HTTP-Datenverkehr an HTTPS umzuleiten (auf Grundlage der in den Regeln festgelegten Logik). Um die Regeln einzurichten, müssen Sie das Modul URL Rewrite installieren. Weitere Informationen finden Sie auf der Microsoft-Website. Um HSTS für Ihren Browser einzurichten, fügen Sie den folgenden Code in Ihre Dateiweb.config ein:
max-age gibt an, wie lange die Regel in Sekunden gilt. Der Wert 31536000 entspricht einem Jahr.
Weitere Informationen finden Sie unter HSTS in IIS 10 version 1709 in der Microsoft-Dokumentation.
Die Header X-Powered-By und X-AspNet-Version
Neben HTTP-Headern, die für die Verbesserung der Sicherheit Ihres Webservers unverzichtbar sind, gibt es auch optionale Header. Optionale Header unterliegen häufig überhaupt keinem Standard. Sie erhöhen außerdem die Datenmenge jeder HTTP-Anfrage, wodurch bösartige Angriffe erleichtert werden. Im Folgenden sind zwei solche optionalen Header aufgeführt:- X-Powered-By ist ein HTTP-Header, der Informationen über verschiedene vom Webserver verwendete Technologien enthält.
- X-AspNet-Version ist ein HTTP-Header, der Informationen über die ASP.NET-Version enthält, die für die Bereitstellung von Anwendungen auf dem Webserver verwendet wird.
web.config ein:
web.config ein:
X-XSS-Protection-Header
X-XSS-Protection ist ein HTTP-Header, der von Browsern verwendet wird, um Cross-Site-Scripting-Angriffe zu verhindern. Er funktioniert, indem er einen XSS-Filter aktiviert, der unerwünschte Versuche abfängt, schädlichen Code von Drittanbietern in im Browser geöffnete Webseiten einzuschleusen. X-XSS-Protection ist mit den folgenden Browsern kompatibel: Internet Explorer 8+, Chrome und Safari. Die meisten modernen Browser wenden eine strengere Sicherheitsrichtlinie an, etwa Content-Security-Policy. Daher ist dieser Header nur bei einem älteren Browser ohne CSP-Unterstützung erforderlich. Um den X-XSS-Protection-Header für Ihren Browser zu aktivieren, kopieren Sie den folgenden Code in Ihre Dateiweb.config:
Der X-Content-Type-Options-Header
X-Content-Type-Options ist ein HTTP-Header, den Browser verwenden, um Angriffe zu blockieren, die MIME-Schwachstellen (Multipurpose Internet Mail Extensions) ausnutzen. MIME ist ein Internetstandard für Inhalte, die über eine Internetverbindung übertragen werden. Browser verarbeiten jede vom Webserver bereitgestellte Datei entsprechend ihrem MIME-Typ. Sie bestimmen den Ressourcentyp anhand des Content-Type-Antwort-Headers oder durch Prüfen des Ressourceninhalts. Dieser zweite Ansatz ermöglicht es Angreifern, HTML-Dateien als einen anderen Typ zu tarnen. Die einzige für diesen Header verfügbare Direktive ist die Direktivenosniff. Sie weist Browser an, ausschließlich den vom Webserver angegebenen MIME-Typ zu verwenden.
Um den X-Content-Type-Options-Header für Ihren Browser zu aktivieren, fügen Sie den folgenden Code in Ihre Datei web.config ein:
Server-Header
Der Server-Header ist ein Antwort-Header, der die Anwendung beschreibt, die der Quellserver zur Verarbeitung einer Anfrage verwendet hat, einschließlich ihrer Versionsnummer. Die Offenlegung dieser Informationen gegenüber Dritten stellt ein Sicherheitsrisiko dar. Löschen Sie daher den Inhalt des Server-Headers. Um den Inhalt des Server-Headers zu löschen, fügen Sie den folgenden Code in Ihre Dateiweb.config ein:
Diese Einstellungen setzen das Modul URL Rewrite voraus.
X-Frame-Options-Header
Standardmäßig können Websites anderer Unternehmen ABBYY FlexiCapture Web Stations in einen iFrame einbetten. Wenn Framesniffing ein Problem darstellt, blockieren Sie domainübergreifendes Framing.Domainübergreifendes Framing verhindern
1
Die Site auswählen
Erweitern Sie im Bereich Connections auf der linken Seite den Ordner Sites und wählen Sie die Site aus, die Sie schützen möchten.
2
HTTP Response Headers öffnen
Doppelklicken Sie in der Funktionsliste in der Mitte auf das Symbol HTTP Response Headers.
3
Einen Header hinzufügen
Klicken Sie im Bereich Actions auf der rechten Seite auf Add.
4
Den Wert für X-Frame-Options festlegen
Geben Sie im sich öffnenden Dialogfeld im Feld Name X-Frame-Options und im Feld Value SAMEORIGIN oder DENY ein.
Schwachstelle durch langsame HTTP-POST-Anfragen
Die Schwachstelle durch langsame HTTP-POST-Anfragen ist eine Variante eines langsamen HTTP-Denial-of-Service-Angriffs (DoS), auch als Slowloris-HTTP-Angriff bezeichnet. Bei einem langsamen HTTP-POST-Angriff kündigt der Angreifer für eine HTTP-POST-Anfrage eine große Datenmenge an und überträgt diese dann sehr langsam. Um die Schwachstelle zu schließen, richten Sie Web Limits in den IIS-Konfigurationen auf jedem Computer ein, auf dem der Application Server ausgeführt wird. Legen Sie Limits für die folgenden Parameter fest:ConnectionTimeoutMinFileBytesPerSec
HTTPS statt HTTP verwenden
HTTP bietet keine Möglichkeit zur Datenverschlüsselung. HTTPS verwendet ein digitales SSL- oder TLS-Zertifikat, das die Kommunikation zwischen Server und Client absichert. Erzwingen Sie, dass der gesamte Datenverkehr zwischen dem Browser des Benutzers und dem Webserver über HTTPS erfolgt. HTTP verwendet standardmäßig Port 80. Schließen Sie diesen Port daher, um seine Nutzung zu verhindern.Verwenden Sie eine aktuelle TLS-Version und starke Chiffren
TLSv1.1 ist ein schwaches Verschlüsselungsprotokoll. Angreifer können es ausnutzen, um vertrauliche Kommunikation mitzulesen oder Nachrichten zu manipulieren. Verwenden Sie stets die neueste verfügbare TLS-Version und ausschließlich starke Chiffren. Eine Liste geeigneter Chiffren finden Sie im Mozilla-Wiki unter server side TLS.Reihenfolge der SSL-Cipher-Suites per Gruppenrichtlinie konfigurieren
1
Den Gruppenrichtlinien-Editor öffnen
Geben Sie an einer Eingabeaufforderung
gpedit.msc ein. Der Group Policy Object Editor wird angezeigt.2
Die SSL-Konfigurationseinstellungen öffnen
Erweitern Sie Computer Configuration, Administrative Templates und Network und klicken Sie dann auf SSL Configuration Settings.
3
Die Reihenfolge der Cipher Suites öffnen
Klicken Sie unter SSL Configuration Settings auf die Einstellung SSL Cipher Suite Order.
4
Zu den Anweisungen scrollen
Scrollen Sie im Bereich SSL Cipher Suite Order nach unten bis zum Ende.
5
Die Einstellung ändern
Folgen Sie den Anweisungen mit der Bezeichnung How to modify this setting.
Schutz vor Distributed-Denial-of-Service-Angriffen
Ein Distributed-Denial-of-Service-Angriff (DDoS) überlastet eine Anwendung mit HTTP-Anfragen. Das Datenverkehrsaufkommen steigt stark an, und die Anwendung wird für legitime Benutzer unzugänglich. Solche Angriffe sind unter Umständen schwer zu erkennen, da sich legitimer und bösartiger Datenverkehr oft nur schwer voneinander unterscheiden lassen. Konfigurieren Sie IIS so, dass ein Client blockiert wird, wenn er entweder die zulässige Anzahl von Anfragen innerhalb eines Zeitraums oder die zulässige Anzahl gleichzeitiger Anfragen überschreitet.Clients blockieren, die Anfragelimits überschreiten
1
IP Address and Domain Restrictions öffnen
Starten Sie IIS Manager, wählen Sie Ihre Website in der Baumansicht aus und doppelklicken Sie auf der Startseite der Website auf das Symbol IP Address and Domain Restrictions.
2
Die Einstellungen für dynamische Einschränkungen bearbeiten
Klicken Sie im Bereich Actions auf Edit Dynamic Restriction Settings.
3
Eine Sperrmethode auswählen
Wählen Sie im sich öffnenden Dialogfeld eine von zwei Methoden aus:
- Deny IP Address based on the number of concurrent requests
- Deny IP Address based on the number of requests over a period of time
4
Die Einstellungen speichern
Klicken Sie auf OK.
Zugriff von bestimmten IP-Adressen einschränken
IIS kann auch bestimmte IP-Adressen blockieren, und Sie legen fest, was der Server tut, wenn eine eingeschränkte Adresse versucht, auf Ihre Anwendung zuzugreifen.1
IP Address and Domain Restrictions öffnen
Starten Sie IIS Manager, wählen Sie Ihre Website in der Baumansicht aus und doppelklicken Sie auf der Startseite der Website auf das Symbol IP Address and Domain Restrictions.
2
Die Einstellungen für dynamische Einschränkungen bearbeiten
Klicken Sie im Bereich Actions auf Edit Dynamic Restriction Settings.
3
Eine Sperraktion auswählen
Wählen Sie im sich öffnenden Dialogfeld den Aktionstyp aus der Deny Action Type-Dropdown-Liste aus.
4
Die Einstellungen speichern
Klicken Sie auf OK.
Proxymodus für gemeinsam genutzte IP-Adressen aktivieren
Wenn mehrere Benutzer HTTP-Anfragen von einer IP-Adresse senden, aktivieren Sie den Proxymodus in den IIS-Servereinstellungen. Der Proxyserver leitet dann den Headerx-forwarded-for an den Webserver weiter, wodurch der jeweilige Benutzer identifiziert werden kann.
1
IP Address and Domain Restrictions öffnen
Starten Sie IIS Manager, wählen Sie Ihre Website in der Baumansicht aus und doppelklicken Sie auf der Startseite der Website auf das Symbol IP Address and Domain Restrictions.
2
Die Featureeinstellungen bearbeiten
Klicken Sie im Bereich Actions auf Edit Feature Settings.
3
Proxymodus aktivieren
Wählen Sie im Dialogfeld Edit IP and Domain Restriction Settings die Option Enable Proxy Mode aus.
4
Die Einstellungen speichern
Klicken Sie auf OK.