Absicherung Ihres IIS-Servers - ABBYY Documentation

Wenn ABBYY FlexiCapture 12 bereitgestellt wird, werden die Standardwerte der IIS-Sicherheitskonfiguration verwendet. Sie können außerdem zusätzliche Regeln für bestimmte Anfragen einrichten, um Ihren Webserver besser abzusichern.

Content-Security-Policy-Header

Content Security Policy (CSP) ist ein Sicherheitsstandard, den moderne Browser zum Schutz vor Dateninjektionsangriffen wie Cross-Site Scripting (XSS) verwenden. CSP nutzt eine Whitelist, um festzulegen, welche Ressourcen sicher geladen werden dürfen, und ignoriert nicht verifizierte Quellen. Außerdem werden alle Versuche protokolliert, die Sicherheitsrichtlinie zu umgehen. Damit diese Richtlinie verwendet werden kann, muss der Server über einen Content-Security-Policy-HTTP-Header mit einer oder mehreren Direktiven verfügen. Jede Direktive gilt für einen bestimmten Ressourcentyp. Direktiven definieren eine Sicherheitsrichtlinie, indem sie Regeln für Ressourcen festlegen. Um CSP für Ihren Browser einzurichten, fügen Sie den folgenden Code in Ihre Datei web.config ein:

<system.webServer> 
<httpProtocol> 
<customHeaders> 
<add name="Content-Security-Policy" value="default-src https: data: 'unsafe-inline' 'unsafe-eval'" /> 
</customHeaders> 
</httpProtocol> 
</system.webServer>

Um ABBYY FlexiCapture in Drittsysteme zu integrieren, die Zugriff auf andere Hosts benötigen, geben Sie diese Hosts in der Datei web.config an.

Prüfen Sie nach jeder Änderung einer Sicherheitskonfigurationseinstellung, ob die Software weiterhin ordnungsgemäß funktioniert.

Weitere Informationen zum Content-Security-Policy-Header finden Sie auf dieser Website.

HTTP-Strict-Transport-Security-Header

HTTP Strict-Transport-Security (HSTS) beschränkt jede Interaktion zwischen dem Browser und der Website auf eine sichere SSL-Verbindung. Ein Webserver, für den HSTS eingerichtet ist, weist den Browser an, ausschließlich HTTPS zu verwenden, und verbietet die Verwendung von HTTP. HSTS wird in erster Linie eingesetzt, um Abhörangriffe auf Anfragen und Antworten abzuwehren, zum Beispiel MITM-Angriffe (Man-In-The-Middle). Damit Sie diese Sicherheitsrichtlinie verwenden können, müssen Sie URL-Rewrite-Regeln verwenden, um HTTP-Antworten einen Strict-Transport-Security-(STS)-Header hinzuzufügen. Dies ist erforderlich, um unerwünschte HTTP-Anfragen zu verhindern und den gesamten HTTP-Datenverkehr an HTTPS umzuleiten (auf Grundlage der in den Regeln festgelegten Logik). Um die Regeln einzurichten, müssen Sie das Modul URL Rewrite installieren. Weitere Informationen finden Sie auf der Microsoft-Website. Um HSTS für Ihren Browser einzurichten, fügen Sie den folgenden Code in Ihre Datei web.config ein:

<rule name="Add the STS header in HTTPS responses">
<match serverVariable="RESPONSE_Strict_Transport_Security" pattern=".*" />
<conditions>
<add input="{HTTPS}" pattern="on" />
</conditions>
<action type="Rewrite" value="max-age=31536000" />
</rule>

Die Direktive max-age gibt an, wie lange die Regel in Sekunden gilt. Der Wert 31536000 entspricht einem Jahr. Weitere Informationen finden Sie unter HSTS in IIS 10 version 1709 in der Microsoft-Dokumentation.

Die Header X-Powered-By und X-AspNet-Version

Neben HTTP-Headern, die für die Verbesserung der Sicherheit Ihres Webservers unverzichtbar sind, gibt es auch optionale Header. Optionale Header unterliegen häufig überhaupt keinem Standard. Sie erhöhen außerdem die Datenmenge jeder HTTP-Anfrage, wodurch bösartige Angriffe erleichtert werden. Im Folgenden sind zwei solche optionalen Header aufgeführt:

X-Powered-By ist ein HTTP-Header, der Informationen über verschiedene vom Webserver verwendete Technologien enthält.
X-AspNet-Version ist ein HTTP-Header, der Informationen über die ASP.NET-Version enthält, die für die Bereitstellung von Anwendungen auf dem Webserver verwendet wird.

Standardmäßig enthalten Serverantworten sowohl X-Powered-By als auch X-AspNet-Version. Deaktivieren Sie sie. Identifizierende Informationen über den Server stellen ein Sicherheitsrisiko dar. Um den Header X-Powered-By aus der IIS-Konfiguration zu entfernen, fügen Sie den folgenden Code in Ihre Datei web.config ein:

<httpProtocol> 
<customHeaders> 
<remove name="X-Powered-By" />   
</customHeaders></httpProtocol>

Um den Header X-AspNet-Version aus Ihrer IIS-Konfiguration zu entfernen, fügen Sie den folgenden Code in Ihre Datei web.config ein:

<httpRuntime enableVersionHeader="false" />

X-XSS-Protection-Header

X-XSS-Protection ist ein HTTP-Header, der von Browsern verwendet wird, um Cross-Site-Scripting-Angriffe zu verhindern. Er funktioniert, indem er einen XSS-Filter aktiviert, der unerwünschte Versuche abfängt, schädlichen Code von Drittanbietern in im Browser geöffnete Webseiten einzuschleusen. X-XSS-Protection ist mit den folgenden Browsern kompatibel: Internet Explorer 8+, Chrome und Safari. Die meisten modernen Browser wenden eine strengere Sicherheitsrichtlinie an, etwa Content-Security-Policy. Daher ist dieser Header nur bei einem älteren Browser ohne CSP-Unterstützung erforderlich. Um den X-XSS-Protection-Header für Ihren Browser zu aktivieren, kopieren Sie den folgenden Code in Ihre Datei web.config:

<system.webServer> 
<httpProtocol> 
<customHeaders> 
<add name="X-XSS-Protection" value="1; mode=block" /> 
</customHeaders> 
</httpProtocol> 
</system.webServer>

Der X-Content-Type-Options-Header

X-Content-Type-Options ist ein HTTP-Header, den Browser verwenden, um Angriffe zu blockieren, die MIME-Schwachstellen (Multipurpose Internet Mail Extensions) ausnutzen. MIME ist ein Internetstandard für Inhalte, die über eine Internetverbindung übertragen werden. Browser verarbeiten jede vom Webserver bereitgestellte Datei entsprechend ihrem MIME-Typ. Sie bestimmen den Ressourcentyp anhand des Content-Type-Antwort-Headers oder durch Prüfen des Ressourceninhalts. Dieser zweite Ansatz ermöglicht es Angreifern, HTML-Dateien als einen anderen Typ zu tarnen. Die einzige für diesen Header verfügbare Direktive ist die Direktive nosniff. Sie weist Browser an, ausschließlich den vom Webserver angegebenen MIME-Typ zu verwenden. Um den X-Content-Type-Options-Header für Ihren Browser zu aktivieren, fügen Sie den folgenden Code in Ihre Datei web.config ein:

<system.webServer> 
<httpProtocol> 
<customHeaders> 
<add name="X-Content-Type-Options" value="nosniff" /> 
</customHeaders> 
</httpProtocol> 
</system.webServer>

Server-Header

Der Server-Header ist ein Antwort-Header, der die Anwendung beschreibt, die der Quellserver zur Verarbeitung einer Anfrage verwendet hat, einschließlich ihrer Versionsnummer. Die Offenlegung dieser Informationen gegenüber Dritten stellt ein Sicherheitsrisiko dar. Löschen Sie daher den Inhalt des Server-Headers. Um den Inhalt des Server-Headers zu löschen, fügen Sie den folgenden Code in Ihre Datei web.config ein:

<rewrite>  
     <outboundRules rewriteBeforeCache="true"> 
    <rule name="Remove Server header"> 
      <match serverVariable="RESPONSE_Server" pattern=".+" /> 
      <action type="Rewrite" value="" /> 
    </rule>   
</outboundRules> 
</rewrite>

Wenn Sie IIS 10.0, Windows Server 2016 oder höher verwenden, nutzen Sie stattdessen den folgenden Code:

Set-WebConfigurationProperty  
-pspath 'MACHINE/WEBROOT/APPHOST'   
-filter "system.webServer/security/requestFiltering"  
-name "removeServerHeader"  
-value "True"

Diese Einstellungen setzen das Modul URL Rewrite voraus.

Weitere Informationen finden Sie in der Microsoft-Dokumentation unter Verwenden des URL-Rewrite-Moduls.

X-Frame-Options-Header

Standardmäßig können Websites anderer Unternehmen ABBYY FlexiCapture Web Stations in einen iFrame einbetten. Wenn Framesniffing ein Problem darstellt, blockieren Sie domainübergreifendes Framing.

Domainübergreifendes Framing verhindern

Die Site auswählen

Erweitern Sie im Bereich Connections auf der linken Seite den Ordner Sites und wählen Sie die Site aus, die Sie schützen möchten.

HTTP Response Headers öffnen

Doppelklicken Sie in der Funktionsliste in der Mitte auf das Symbol HTTP Response Headers.

Einen Header hinzufügen

Klicken Sie im Bereich Actions auf der rechten Seite auf Add.

Den Wert für X-Frame-Options festlegen

Geben Sie im sich öffnenden Dialogfeld im Feld Name X-Frame-Options und im Feld Value SAMEORIGIN oder DENY ein.

Weitere Informationen finden Sie unter Framesniffing mit dem X-Frame-Options-Header minimieren in der Microsoft-Dokumentation.

Schwachstelle durch langsame HTTP-POST-Anfragen

Die Schwachstelle durch langsame HTTP-POST-Anfragen ist eine Variante eines langsamen HTTP-Denial-of-Service-Angriffs (DoS), auch als Slowloris-HTTP-Angriff bezeichnet. Bei einem langsamen HTTP-POST-Angriff kündigt der Angreifer für eine HTTP-POST-Anfrage eine große Datenmenge an und überträgt diese dann sehr langsam. Um die Schwachstelle zu schließen, richten Sie Web Limits in den IIS-Konfigurationen auf jedem Computer ein, auf dem der Application Server ausgeführt wird. Legen Sie Limits für die folgenden Parameter fest:

ConnectionTimeout
MinFileBytesPerSec

Weitere Informationen finden Sie im weblimits-Element in der Microsoft-Dokumentation.

HTTPS statt HTTP verwenden

HTTP bietet keine Möglichkeit zur Datenverschlüsselung. HTTPS verwendet ein digitales SSL- oder TLS-Zertifikat, das die Kommunikation zwischen Server und Client absichert. Erzwingen Sie, dass der gesamte Datenverkehr zwischen dem Browser des Benutzers und dem Webserver über HTTPS erfolgt. HTTP verwendet standardmäßig Port 80. Schließen Sie diesen Port daher, um seine Nutzung zu verhindern.

Verwenden Sie eine aktuelle TLS-Version und starke Chiffren

TLSv1.1 ist ein schwaches Verschlüsselungsprotokoll. Angreifer können es ausnutzen, um vertrauliche Kommunikation mitzulesen oder Nachrichten zu manipulieren. Verwenden Sie stets die neueste verfügbare TLS-Version und ausschließlich starke Chiffren. Eine Liste geeigneter Chiffren finden Sie im Mozilla-Wiki unter server side TLS.

Reihenfolge der SSL-Cipher-Suites per Gruppenrichtlinie konfigurieren

Den Gruppenrichtlinien-Editor öffnen

Geben Sie an einer Eingabeaufforderung gpedit.msc ein. Der Group Policy Object Editor wird angezeigt.

Die SSL-Konfigurationseinstellungen öffnen

Erweitern Sie Computer Configuration, Administrative Templates und Network und klicken Sie dann auf SSL Configuration Settings.

Die Reihenfolge der Cipher Suites öffnen

Klicken Sie unter SSL Configuration Settings auf die Einstellung SSL Cipher Suite Order.

Zu den Anweisungen scrollen

Scrollen Sie im Bereich SSL Cipher Suite Order nach unten bis zum Ende.

Die Einstellung ändern

Folgen Sie den Anweisungen mit der Bezeichnung How to modify this setting.

Starten Sie den Computer neu, um die Änderungen zu übernehmen.

Schutz vor Distributed-Denial-of-Service-Angriffen

Ein Distributed-Denial-of-Service-Angriff (DDoS) überlastet eine Anwendung mit HTTP-Anfragen. Das Datenverkehrsaufkommen steigt stark an, und die Anwendung wird für legitime Benutzer unzugänglich. Solche Angriffe sind unter Umständen schwer zu erkennen, da sich legitimer und bösartiger Datenverkehr oft nur schwer voneinander unterscheiden lassen. Konfigurieren Sie IIS so, dass ein Client blockiert wird, wenn er entweder die zulässige Anzahl von Anfragen innerhalb eines Zeitraums oder die zulässige Anzahl gleichzeitiger Anfragen überschreitet.

Clients blockieren, die Anfragelimits überschreiten

IP Address and Domain Restrictions öffnen

Starten Sie IIS Manager, wählen Sie Ihre Website in der Baumansicht aus und doppelklicken Sie auf der Startseite der Website auf das Symbol IP Address and Domain Restrictions.

Die Einstellungen für dynamische Einschränkungen bearbeiten

Klicken Sie im Bereich Actions auf Edit Dynamic Restriction Settings.

Eine Sperrmethode auswählen

Wählen Sie im sich öffnenden Dialogfeld eine von zwei Methoden aus:

Deny IP Address based on the number of concurrent requests
Deny IP Address based on the number of requests over a period of time

Die Einstellungen speichern

Klicken Sie auf OK.

Zugriff von bestimmten IP-Adressen einschränken

IIS kann auch bestimmte IP-Adressen blockieren, und Sie legen fest, was der Server tut, wenn eine eingeschränkte Adresse versucht, auf Ihre Anwendung zuzugreifen.

IP Address and Domain Restrictions öffnen

Starten Sie IIS Manager, wählen Sie Ihre Website in der Baumansicht aus und doppelklicken Sie auf der Startseite der Website auf das Symbol IP Address and Domain Restrictions.

Die Einstellungen für dynamische Einschränkungen bearbeiten

Klicken Sie im Bereich Actions auf Edit Dynamic Restriction Settings.

Eine Sperraktion auswählen

Wählen Sie im sich öffnenden Dialogfeld den Aktionstyp aus der Deny Action Type-Dropdown-Liste aus.

Die Einstellungen speichern

Klicken Sie auf OK.

Proxymodus für gemeinsam genutzte IP-Adressen aktivieren

Wenn mehrere Benutzer HTTP-Anfragen von einer IP-Adresse senden, aktivieren Sie den Proxymodus in den IIS-Servereinstellungen. Der Proxyserver leitet dann den Header x-forwarded-for an den Webserver weiter, wodurch der jeweilige Benutzer identifiziert werden kann.

IP Address and Domain Restrictions öffnen

Starten Sie IIS Manager, wählen Sie Ihre Website in der Baumansicht aus und doppelklicken Sie auf der Startseite der Website auf das Symbol IP Address and Domain Restrictions.

Die Featureeinstellungen bearbeiten

Klicken Sie im Bereich Actions auf Edit Feature Settings.

Proxymodus aktivieren

Wählen Sie im Dialogfeld Edit IP and Domain Restriction Settings die Option Enable Proxy Mode aus.

Die Einstellungen speichern

Klicken Sie auf OK.

Weitere Informationen dazu, wie Sie mit IIS den Zugriff auf Ihre Anwendung von bestimmten IP-Adressen aus einschränken, finden Sie in der Microsoft-Dokumentation.

Bei hohem Datenverkehr kann der Proxymodus die Systemleistung beeinträchtigen und legitimen Benutzern den Zugriff auf Ihre Anwendung verwehren.

​Content-Security-Policy-Header

​HTTP-Strict-Transport-Security-Header

​Die Header X-Powered-By und X-AspNet-Version

​X-XSS-Protection-Header

​Der X-Content-Type-Options-Header

​Server-Header

​X-Frame-Options-Header

​Domainübergreifendes Framing verhindern

​Schwachstelle durch langsame HTTP-POST-Anfragen

​HTTPS statt HTTP verwenden

​Verwenden Sie eine aktuelle TLS-Version und starke Chiffren

​Reihenfolge der SSL-Cipher-Suites per Gruppenrichtlinie konfigurieren

​Schutz vor Distributed-Denial-of-Service-Angriffen

​Clients blockieren, die Anfragelimits überschreiten

​Zugriff von bestimmten IP-Adressen einschränken

​Proxymodus für gemeinsam genutzte IP-Adressen aktivieren

Content-Security-Policy-Header

HTTP-Strict-Transport-Security-Header

Die Header X-Powered-By und X-AspNet-Version

X-XSS-Protection-Header

Der X-Content-Type-Options-Header

Server-Header

X-Frame-Options-Header

Domainübergreifendes Framing verhindern

Schwachstelle durch langsame HTTP-POST-Anfragen

HTTPS statt HTTP verwenden

Verwenden Sie eine aktuelle TLS-Version und starke Chiffren

Reihenfolge der SSL-Cipher-Suites per Gruppenrichtlinie konfigurieren

Schutz vor Distributed-Denial-of-Service-Angriffen

Clients blockieren, die Anfragelimits überschreiten

Zugriff von bestimmten IP-Adressen einschränken

Proxymodus für gemeinsam genutzte IP-Adressen aktivieren