[window/윈도우 서버] IIS 웹서비스 정보 숨김
- 정보보안/Windows 서버
- 2022. 8. 31.
W-59 IIS 웹서비스 정보 숨김
■ 점검영역 : 서비스 관리
■ 항목 중요도 : 중
■ 점검내용
IIS 웹서비스 정보 숨김 설정 여부 점검
■ 점검목적
IIS 웹서비스 운용 시 에러 페이지, 웹 서버 종류, 사용 OS, 사용자 계정이름 등 웹 서버와 관련된 불필요한 정보가 노출되지 않도록 하기 위함
■ 보안위협
IIS 웹서비스 정보 숨김 설정이 적용되지 않은 경우 악의적인 사용자에게 불필요한 정보가 노출되어 외부 공격을 위한 기초 자료로 이용될 수 있음
■ 참고
-
점검대상 및 판단기준(윈도우 서버, window)
■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, 2019
양호
웹 서비스 에러 페이지가 별도로 지정되어 있는 경우
취약
웹 서비스 에러 페이지가 별도로 지정되지 않아 에러 발생 시 중요 정보가 노출되는 경우
■ 조치방법
발생 가능한 각 에러에 대한 별도의 웹 서비스 에러 페이지를 지정함
점검 및 조치 방법
■ Windows NT, 2000, 2003
Step 1) 인터넷 정보 서비스(IIS) 관리> 속성> [사용자 지정 오류] 탭에서 400, 401, 403, 404, 500 등 웹 서비스 에러에 대해 별도의 페이지를 지정
■ Windows 2008, 2012, 2016, 2019
Step 1) 오류 페이지 설정 편집
제어판> 관리도구> IIS(인터넷 정보 서비스) 관리자> 해당 웹 사이트> [오류 페이지]> [작업] 탭에서 [기능 설정 편집]> “서버오류 발생 시 다음 반환“ 항목을 ”사용자 지정 오류 페이지“로 설정
■ 조치 시 영향 : 일반적인 경우 영향 없음