Wie konfiguriere ich die FTP-Sicherheit in IIS?

von Robert McMurray

Das Internet birgt ein heutzutage für Serveradministratoren gewaltige Sicherheitsprobleme. Hacker, Schadsoftware und andere Cyberbedrohungen machen es erforderlich, dass Administratoren mit der stetig wachsenden Anzahl von Bedrohungen Schritt halten. Um diesen Herausforderungen entgegenzuwirken, bietet der FTP-Dienst von Microsoft eine Vielzahl von Sicherheitsfunktionen, um Administratoren dabei zu unterstützen, für die Sicherheit ihrer FTP-Websites zu sorgen.

KONFIGURIEREN DER FTP-AUTHENTIFIZIERUNG

• <Authentifizierung> | Quelle: IIS-Konfigurationsreferenz, Microsoft
• Gilt für: IIS 7.0, IIS 7.5, IIS 8.0

Auf grundlegender Ebene müssen FTP-Administratoren ihre FTP-Sites für die richtige Form der Authentifizierung konfigurieren. Der FTP-Dienst in IIS 7.0, IIS 7.5 und IIS 8.0 unterstützt die folgenden Authentifizierungstypen: Anonym, Standard, Clientzertifikat und Benutzerdefiniert. Dieser Artikel aus der offiziellen IIS-Konfigurationsreferenz enthält eine detaillierte Beschreibung zum Konfigurieren Ihrer FTP-Authentifizierungseinstellungen.

KONFIGURIEREN DER FTP-AUTORISIERUNG

• <Autorisierung> | Quelle: IIS-Konfigurationsreferenz, Microsoft
• Gilt für: IIS 7.0, IIS 7.5, IIS 8.0

Zusätzlich zur Authentifizierung müssen FTP-Administratoren ihre FTP-Sites so konfigurieren, dass ihre Benutzer über die erforderliche Zugriffsebene verfügen, um ihre Veröffentlichungsaufgaben ausführen zu können. Dieser Artikel aus der offiziellen IIS-Konfigurationsreferenz enthält eine detaillierte Beschreibung zum Konfigurieren Ihrer FTP-Autorisierungseinstellungen.

KONFIGURIEREN DER FTP-BENUTZERISOLATION

• Artikel | Quelle: Robert McMurray, Microsoft
• Gilt für: IIS 7.0, IIS 7.5, IIS 8.0

Eine der Herausforderungen für FTP-Administratoren, die eine einzelne FTP-Site für alle ihre Benutzer verwenden, besteht darin, dafür zu sorgen, dass einzelne Konten auf ihre eigenen Inhaltsverzeichnisse beschränkt bleiben. Der FTP-Dienst von Microsoft ermöglicht dies über die Benutzerisolation. Mit ihrer Hilfe können Administratoren Benutzer auf ihre individuellen Inhaltsordner beschränken. In dieser exemplarischen Vorgehensweise erfahren Sie, wie Sie die FTP-Benutzerisolation sowie die verschiedenen Optionen zum Einschränken von Benutzern konfigurieren.

AKTIVIEREN VON FTP ÜBER SSL ZUM SICHERN VON DATEN ODER BENUTZERANMELDEINFORMATIONEN

• Artikel | Quelle: Robert McMurray, Microsoft
• Gilt für: IIS 7.0, IIS 7.5, IIS 8.0

Das ursprüngliche Design des FTP-Protokolls ließ keine sichere Kommunikation zu, daher lautete eine von FTP-Administratoren häufig gestellte Frage: „Wie kann ich meine FTP-Sitzungen sichern?“ Diese Frage basiert in der Regel auf einer von zwei Bedingungen: 1. Administratoren möchten ihre Benutzernamen und Kennwörter schützen, oder 2. Administratoren möchten für die Sicherheit ihrer Daten sorgen. Mit FTP 7 und höher können Administratoren den FTP-Dienst so konfigurieren, dass FTP über SSL verwendet wird, um den Datenkanal, den Steuerkanal oder nur die Benutzeranmeldeinformationen zu sichern. Diese exemplarische Vorgehensweise/das Tutorial führt Sie durch die Schritte zum Konfigurieren von FTP über SSL.

KONFIGURIEREN DES FTP-DIENSTS FÜR DIE VERWENDUNG VON IIS-MANAGER-KONTEN FÜR DEN FTP-ZUGRIFF

• Video | Quelle: Scott Forsyth, DotNetSlackers.com
• Gilt für: IIS 7.0, IIS 7.5, IIS 8.0

IIS 7 hat einen neuen Typ von Benutzerkonto eingeführt, der als IIS-Manager-Konto bezeichnet wird. Administratoren können Verwaltungsaufgaben an solche Benutzerkonten delegieren, sodass Remotebenutzer, die keine Administratoren auf dem Webserver sind, die Einstellungen ihrer Site verwalten können. Ab FTP 7 können Sie diese IIS-Manager-Konten auch für den FTP-Zugriff verwenden. Dies bietet eine zusätzliche Sicherheitsstufe für Ihren Server, da diese Konten nicht Server- oder Active Directory-Konten zugeordnet sind. Dieses Video führt Sie durch das Einrichten des FTP-Diensts für die Verwendung von IIS-Manager-Konten für den FTP-Zugriff.

KONFIGURIEREN DES FTP-DIENSTS FÜR DIE VERWENDUNG VON .NET-MITGLIEDSCHAFTSKONTEN FÜR DEN FTP-ZUGRIFF

• Artikel | Quelle: Robert McMurray, Microsoft
• Gilt für: IIS 7.0, IIS 7.5, IIS 8.0

ASP.NET stellt einen Benutzerspeicher bereit, der durch .NET-Mitgliedschafts- und Rollenanbieter von Active Directory- oder lokalen Serverkonten getrennt ist. Ab FTP 7 können Serveradministratoren diese Architektur nutzen, um FTP-Zugriff auf .NET-Mitgliedschaftskonten bereitzustellen. Diese Mitgliedschaftskonten werden nicht auf dem lokalen Server oder in Active Directory gespeichert, was eine zusätzliche Sicherheitsstufe für Ihren FTP-Server bietet. In dieser exemplarischen Vorgehensweise werden die Schritte veranschaulicht, die zum Einrichten des FTP-Diensts erforderlich sind, um eine .NET-Mitgliedschaft für den FTP-Zugriff zu verwenden.

BRUTE-FORCE-ANGREIFERN DEN FTP-ZUGRIFF VERWEIGERN

• Artikel | Quelle: Robert McMurray, Microsoft
• Gilt für: IIS 8.0

Brute-Force-Angriffe zählen zu den häufigsten Angriffen gegen FTP-Dienste. Dabei wird versucht, die Kennwörter gut bekannter Windows-Konten zu erraten. So ist beispielsweise das Konto „Administrator“ auf den meisten Webservern vorhanden, sodass Hacker Brute-Force-Angriffe automatisieren können, um das Kennwort für dieses Konto zu erraten. Um diese Angriffsfläche zu reduzieren, führte FTP 8 FTP-Anmeldeversuchsbeschränkungen ein, wodurch Administratoren die Anzahl der fehlgeschlagenen Anmeldeversuche konfigurieren können, bevor ein bestimmter Client vorübergehend blockiert wird. Dies bietet Administratoren einen zusätzlichen Vorteil gegenüber Kontosperrungsrichtlinien in Active Directory, da der Angreifer zwar blockiert wird, das physische Konto aber nicht gesperrt ist, und der gültige Benutzer weiterhin auf Ihr System zugreifen kann. In dieser exemplarischen Vorgehensweise wird gezeigt, wie Sie den FTP-Dienst konfigurieren, um Brute-Force-Angreifer am Zugriff auf Ihr System zu hindern.

ERSTELLEN EINES BENUTZERDEFINIERTEN FTP-AUTHENTIFIZIERUNGSANBIETERS

• Codebeispiel | Quelle: Robert McMurray, Microsoft
• Gilt für: IIS 7.5, IIS 8.0

Ab IIS 7.5 ermöglicht der FTP-Dienst in IIS Entwicklern das Erstellen eigener Authentifizierungsanbieter, wodurch die Notwendigkeit entfällt, Active Directory- oder lokale Windows-Konten für FTP-Benutzer bereitzustellen. In diesem Codebeispiel wird veranschaulicht, wie Sie einen benutzerdefinierten FTP-Authentifizierungsanbieter erstellen, der eine XML-Datei verwendet, die die Liste der Benutzer und Rollen definiert, die Administratoren verwenden können, um FTP-Zugriff bereitzustellen.