[window/윈도우 서버] IIS 불필요한 파일 제거

 

 

W-14 IIS 불필요한 파일 제거

 

■ 점검영역 : 서비스 관리

 

■ 항목 중요도 : 상

 

■ 점검내용

 

IIS 설치 시 기본적으로 제공되는 불필요한 파일 제거 여부 점검

 

■ 점검목적

 

IIS 서비스 설치 시 기본으로 설치되는 예제 스크립트, 설명서, 샘플 애플리케이션, 디렉토리 등 서비스에 불필요한 IIS 모듈을 제거하여 불필요한 공격대상으로 이용되는 것을 방지하기 위함

 

■ 보안위협

 

IIS 서비스 설치 시 기본적으로 제공 되는 파일 및 디렉토리를 제거하지 않을 경우, 해당 파일들로 인해 공격 대상으로 이용되거나 백도어가 심어질 위험이 존재함

 

 

점검대상 및 판단기준(윈도우 서버, window)

 

■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, 2019

 

양호

해당 웹 사이트에 IISSamples, IISHelp 가상 디렉토리가 존재하지 않는 경우

 

취약

해당 웹 사이트에 IISSamples, IISHelp 가상 디렉토리가 존재하는 경우
※ 조치 시 마스터 속성과 모든 사이트에 적용함

 

■ 조치방법

 

사용하지 않는 경우 IIS 서비스 중지, 사용할 경우 가상 디렉토리 삭제

 

 

점검 및 조치 방법

 

■ Windows 2000(IIS 5.0), 2003(IIS 6.0)

Step 1) Sample 디렉토리 확인 후 삭제함
c:\inetpub\iissamples
c:\winnt\help\iishelp (IIS 설명서)
c:\program files\common files\system\msadc\sample (데이터 액세스)
%SystemRoot%\System32\Inetsrv\IISADMPWD

※ IIS 7.0(Windows 2008) 이상 버전 해당 사항 없음

 

 

■ 조치 시 영향 : 일반적인 경우 영향 없음