今回は、お問い合わせいただくことの多い IIS の Server ヘッダーを隠ぺいする方法についてご紹介します。

IIS をご利用で、ホストしている Web サーバーや、そのバージョンが判明してしまうとセキュリティ上望ましくないとの診断を受けたり、Server ヘッダーでクライアントに返される情報を隠したいという方は、どうぞ最後までお目通しいただけますと幸いです。

 

まず、IIS が返す HTTP ヘッダー内の Server ヘッダーには、以下の 2 種類があります。

 

----------

   1. IIS 自身が返す Server ヘッダー (Server: Microsoft-IIS/<version>)

   2. HTTP 通信を管理するドライバである http.sysが返す Server ヘッダー (Server: Microsoft-HTTPAPI/<version>)

 

通常は、1. の形式の Server ヘッダーが使用されます。

HTTP.sys にてエラーが発生した場合などで IIS にて処理されなかった場合には 2.の形式の応答が使用されます。

----------

 

上記それぞれについて、隠ぺいする方法をご紹介します。

 

 

1. IIS 自身が返す Server ヘッダーの隠ぺい方法

既定では、以下のように Server: Microsoft-IIS/<version> という形式で応答ヘッダーに含まれます。

※ これは、パケットキャプチャーツールの Fiddler の画面キャプチャです。

 

 

ここでは、ポピュラーな方法である、<1> URL Rewrite と <2> UrlScan を利用した方法をご紹介します。

 

<1> URL Rewrite

   特徴：

   ネイティブ HTTP モジュールとして実装されている。

   最も影響が少なく、容易に実現可能であるため推奨している。

 

- 事前準備

IIS マネージャー画面から任意のサイトを選択していただき、機能一覧に [URL 書き換え] が表示されていない場合、URL Rewrite モジュールがインストールされておりません。

インストールされていない場合は、以下よりダウンロードの上、インストールします。

 

URL Rewrite

https://www.iis.net/downloads/microsoft/url-rewrite

     ※「Download URL Rewrite Module 2.1」よりダウンロードしてください。

 

- URL Rewrite 設定手順

・送信規則の追加 以下の手順で、Server ヘッダー値を書き換えるための規則を追加します。 a) IIS マネージャを開きます。 b) 接続ビューで、対象の Web サイトまたはアプリケーションを選択します。 c) 機能ビューで、[URL 書き換え] をダブル クリックして開きます。 d) 操作ビューで、[規則の追加…] をクリックします。 e) 規則の追加ダイアログで、送信規則の [空の規則] を選択し、[OK] をクリックします。 f) 送信規則の編集ダイアログで、以下の通り入力した後、操作ビューの [適用] をクリックします。   - 入力内容   ・名前: 任意 (例: Disable_Server_Header_Rule)   ・必須条件: <なし>   ・一致するスコープ: サーバー変数   ・変数名: RESPONSE_SERVER     ※ URL Rewrite は、変数名によって書き換えるヘッダーを判定します。必ず、上記の変数名をご使用下さい。   ・変数値: パターンに一致する   ・使用: 正規表現   ・パターン: .*   ・大文字と小文字を区別しない: チェック ON   ・条件: 指定不要(初期状態のままご利用ください)   ・アクションの種類: 書き換え   ・値: 任意(空白のままでも可)   　※こちらで設定した値に Server ヘッダーが書き換えられます。今回は隠ぺいするため空白のままとします。 　・既存のサーバー変数値を書き換える: チェック ON g) 操作ビューの [適用] をクリックします。 h) 操作ビューの [規則に戻る] をクリックします。

 

上記を設定いただいても IIS のサービスの再起動や OS の再起動は必要ございません。

 

- URL Rewrite についての公開情報

URL 書き換えモジュールの使用

https://technet.microsoft.com/ja-jp/library/dd939109.aspx

 

※なお、 上記の設定はこれまでにも多くご利用いただいている実績ある方法であり、設定を実施いただくことによる性能観点での影響もございませんので、ご安心いただければと存じます。

 

<2> UrlScan

   特徴：

   ISAPIフィルターとして実装されている。

   IIS とは別に UrlScan に対する設定の変更が必要 (ini ファイル) なため、二元管理のリスクがある。

   機能をロックダウンする設定が入っているため、大量のデータや、長いクエリ文字列を扱う等の利用状況によっては影響を受ける可能性がある。

 

- 事前準備

以下がインストールされていない場合は、サーバー マネージャーの [役割と機能の追加] でインストールします。

・ ISAPI フィルター

・ IIS 6 メタベース互換

 

 

- UrlScan 設定手順

1) UrlScan 3.1 を以下の URL よりダウンロードし、インストールします。

 

   UrlScan 3.1

   http://www.iis.net/downloads/microsoft/urlscan

 

2) UrlScan 3.1 のインストールにより、UrlScan の設定ファイルである UrlScan.ini が %windir%\system32\inetsrv\Urlscan に作成されますので、UrlScan.ini をメモ帳等のテキストエディターで開きます。

 

3) RemoveServerHeader という値を探し、値を 1 に変更して、Server ヘッダーを削除するよう設定します。

※RemoveServerHeader の既定値は 0 (削除しない) であり、既定の UrlScan.ini では以下のように設定されています。

 

4) IIS のサービスを再起動します。

  管理者として、コマンド プロンプトを起動し、以下のコマンドを実行します。

   net stop was /y

   net start w3svc

 

- UrlScan についての公開情報

URLScan の使用

http://technet.microsoft.com/ja-jp/library/dd939110.aspx

URLScan ツールの構成方法

http://support.microsoft.com/kb/326444/ja

 

- 補足

UrlScan はセキュリティ強化のために様々な制御機能を有しているため、UrlScan の既定の設定と、UrlScan がインストールされていない環境で IIS 自体の動作が同じとは限りません。

例えば、UrlScan には HTTP の動詞を許可、または、拒否する機能 (UseAllowVerbs) があります。既定では、GET、HEAD、POST のみが許可され、その他の動詞によるリクエストは拒否されるため、ご利用の状況によっては何らかの影響がある可能性があります。

そのため、 UrlScan を使った方法を採用される場合には、該当の環境で十分な検証をご実施いただくことをお薦めいたします。

 

 

IIS 自身が返す Server ヘッダーの隠ぺい確認方法について

<1> URL Rewrite と <2> UrlScan のどちらを採用いただいても、Server ヘッダーを隠ぺいすることが可能です。

上記を設定した状態で、改めて設定した Web サイトやアプリケーションにアクセスしてみます。この際、IE の F12 開発者ツールや、Fiddler 等のパケットキャプチャーツールを利用すると隠ぺいできているか確認可能です。

設定後の応答ヘッダーの内容は以下のようになります。

 

<1> URL Rewrite を設定した場合

Server ヘッダーの内容が、“” に書き換えられます。

 

<2> UrlScan を設定した場合

Server ヘッダーそのものが削除されます。

 

 

 

2. HTTP 通信を管理するドライバである http.sysが返す Server ヘッダーの隠ぺい方法

http.sysが返す Server ヘッダーは、レジストリを変更することで隠ぺい可能です。

以下に詳細な手順をご紹介します。

 

- 事前準備

レジストリの変更が含まれます。レジストリを誤って変更すると深刻な問題が発生する場合があります。

念のため、下記文書をご覧いただき、以下の手順を実行される前に、レジストリのバックアップを取得することをお薦めいたします。

　

　Windows でレジストリをバックアップおよび復元する方法

　https://support.microsoft.com/ja-jp/help/322756/how-to-back-up-and-restore-the-registry-in-windows

 

- レジストリの設定手順

1) [スタート] - [ファイル名を指定して実行] より、"regedit.exe" と入力し、レジストリ エディタを起動します。

2) 左ペインのツリーで HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\HTTP まで展開し、Parpameters を選択します。

3) メニューより、 [編集] - [新規] - [DWORD (32 ビット) 値] を選択し、値を追加します。

 

4) 右ペインに "新しい値 #1" という値が作成されますので、こちらを右クリックし、 [名前の変更] を選択します。

5) 名前を、"DisableServerHeader" に変更します。

6) 手順 5) で名前を変更した "DisableServerHeader" を右クリックし、[修正] をクリックします。

7) [値のデータ] に 1 を入力し、[OK] をクリックします。

 

8) レジストリ エディタを終了します。

9) 設定の反映には HTTP サービスの再起動が必要となります。そのため、マシンを再起動するか、管理者としてコマンド プロンプトを起動し、以下のコマンドを実行します。

 

　 net stop http /y

　 net start w3svc

 

 

HTTP 通信を管理するドライバである http.sysが返す Server ヘッダーの隠ぺい確認方法について

上記手順をご実施後、本当に隠ぺいできているのか不安になるかもしれませんので、最後に telnet コマンドを用いた確認方法を紹介します。

 

- 手順

1) コントロールパネルの［プログラムと機能］を開き、左側のメニューにある［Windowsの機能の有効化または無効化］をクリックします。

2) [役割と機能の追加ウィザード] の機能から [Telnet クライアント] をインストールします。

 

3) コマンド プロンプトを起動し、telnet で接続 (例. telnet localhost 80) します。

 

4) 接続後、”a” とだけ入力して Enter キーを押下します。http.sys がエラー (400 Bad Request) を返し、Server ヘッダーが確認できます。

 

レジストリ変更前

 

レジストリ変更後

 

 

この記事では、IIS 8.5 で設定した場合の画面キャプチャも一緒に紹介していますが、

今回の手法は現時点では、IIS7.0/IIS7.5/IIS8.0/IIS8.5/IIS10の、Windows Vista/2008 以降の IIS すべてで使用可能な方法です。

日本マイクロソフト、IIS サポートの鈴木です。

今回は、お問い合わせの多い、HTTP の拡張ヘッダー " X-forwarded-For " をログに出力する方法をご紹介します。

 

※X-Forwarded-For (XFF) は、HTTPヘッダーフィールドの一つです。

HTTPプロキシサーバー、または、負荷分散装置（ロードバランサ）を経由して、ウェブサーバーに接続するクライアントの送信元IPアドレスを特定する際に使用されます。

 

イメージはこんな感じです。

 

" X-Forwarded-For " の ログ出力方法

" X-Forwarded-For " をログに出力するには、以下の方法があります。

1. Advanced Logging ※IIS 7.0 以降

2. Enhanced Logging ※IIS 8.5 以降

3. ARR Helper ※IIS 7.0 以降

4. サードパーティ製の ISAPI フィルター(F5XForwardedFor)

 

<<お選びいただく際のポイント>>

IISのバージョンによって、お使いいただける機能が異なります。

Windows Server 2012 R2 (IIS 8.5) 以降をご利用であれば、標準機能として搭載されている 2. Enhanced Logging をお使いいただく事をお勧めします。

IISログにフィールドを追加していただくのみなので、設定も軽微で、可読性も高いと思います。

 

それ以前のバージョンをお使いの場合は、以下のそれぞれのメリット・デメリットを考慮いただき、お選びください。

1. Advanced Logging

"X-Forwarded-For "以外にも、独自のログ記録モジュールを実装したり、既存のログ記録オプションを拡張したり置き換える事が可能です。

ただし、出力先ファイルは、IIS ログとは別ファイルになります。

 

3. ARR Helper、及び、4. サードパーティ製の ISAPI フィルター

IISログの"c-ip" フィールドをクライアントのIPアドレスに置き換えることが可能なため、可読性は高くなると思います。

ただし、3. ARR Helperは、コミュニティでのサポートのみ、4. サードパーティ製の ISAPI フィルターは、サポート対象外となります。

 

それぞれの手順をご説明します。

 

1. Advanced Logging ※IIS 7.0 以降

IIS 拡張機能の一つの Advanced logging は、ユーザーが要求するクライアント データを柔軟に記録する事ができるツールです。

IIS 7.0 用 Advanced Logging - カスタム ログ

http://technet.microsoft.com/ja-jp/library/ee175732.aspx

 

Advanced Logging  インストール手順

以下の2通りがあります。

・Web Platform Installer

・スタンドアロンのインストーラー

 

・Web Platform Installer

1) IIS 拡張機能をインストールする為に、下記のリンクから Web Platform Installer をダウンロードし、インストールします。

Microsoft Web Platform Installer 5.0

http://www.microsoft.com/web/downloads/platform.aspx

 

2) ダウンロードを行い、インストールが完了したら、[スタート] - [管理ツール] - [IIS マネージャー] を実行します。

3) 左ペインからコンピューター名をクリックし、中央ペインの管理セクションにある [Web Platform Installer] を実行します。

4) Web Platform Installer の画面が表示されたら、右上にある検索フィールドに [advanced logging] と入力しEnter を押します。

5) 検索結果に、[詳細ログ] が表示されます。詳細ログを選択し、インストールします。

 

・スタンドアロンのインストーラー

下記のリンクより、ダウンロードしてください。

IIS 詳細ログ (32 ビット)

https://www.microsoft.com/ja-jp/download/details.aspx?id=18374

 

IIS 詳細ログ (64 ビット)

https://www.microsoft.com/ja-JP/download/details.aspx?id=7211

 

Advanced logging  設定手順

1) IIS マネージャーを開きます。

2) 接続ペインでコンピュータ名を選択し、機能ビューの IIS セクションにある [詳細ログ] をダブル クリックします。

3) 操作ペインの [詳細ログを有効にする] をクリックします。

4) 操作ペインの [ログ記録フィールドの編集] をクリックします。

 

 

5) [フィールドの追加] をクリックします。

6) 以下の通り、情報を入力します。

フィールド ID: X-Forwarded-For

カテゴリ: Default

ソースの種類 : 要求ヘッダー

ソース名 : X-Forwarded-For

 

 

7) [OK] を 2 回クリックします。

8) 操作ペインの [ログ定義の追加] をクリックします。

9) [ベース ファイル名] に任意の名前を入力します。

10) [フィールドの選択] をクリックします。

11) ログ記録フィールドの選択 ウィンドウでログに出力したい項目を選択し、[OK] をクリックします。

12) 操作ペインの [適用] をクリックします。

 

 

2. Enhanced Logging ※IIS 8.5 以降

上記1. で、Advanced Loggingについてご案内いたしましたが、Windows Server 2012 R2 (IIS 8.5) 以降にはその機能が標準で組み込まれています。

Enhanced Logging for IIS 8.5

http://www.iis.net/learn/get-started/whats-new-in-iis-85/enhanced-logging-for-iis85

 

このEnhanced Loggingという機能により、IISログに “ X-Forwarded-For ” フィールドを追加することが可能です。

 

IIS ログに “X-Forwarded-For” フィールドを追加する手順

1) IIS マネージャーを開きます。

2) 当該 Web サイトを選択の上、[ログ記録] をダブルクリックします。

3) [フィールドの選択] をクリックします。

 

4) [W3C ログ記録フィールド] ダイアログより [フィールドの追加] をクリックします。

5) 以下を設定の上、[OK] をクリックします。

フィールド名 : X-Forwarded-For (ここで指定したフィールド名で IIS ログに記録されます)

ソースの種類 : 要求ヘッダー

ソース : X-Forwarded-For

 

6) 画面右の [操作] ペインより “適用” をクリックし、設定を反映させます。

 

 

3. ARR Helper ※IIS 7.0 以降

弊社製品の ARR に含まれる ARR Helper を利用することで、X-Forwarded-For ヘッダーの値を IIS ログの c-ip に記録することが可能です。

※ARR(Application Request Routing: アプリケーション要求ルーティング処理）は、モジュール名の通り、リクエストに対するルーティング機能のほか、負荷分散、ディスクキャッシュの機能を利用できます。

ARR を利用していない場合でも、当該機能を利用することができます。

また、ARR Helper はコミュニティ ベースで公開しているツールであり、コミュニティでのサポートのみ提供しております。

 

ARR Helper インストール手順

ARR がインストールされている環境の場合、以下のフォルダにあるインストーラーを該当環境にコピーし、起動します。

C:\program files\IIS\Application Request Routing\

requestrouterhelper_x64.msi (64 ビット環境)

requestrouterhelper_x86.msi (32 ビット環境)

 

ARR がインストールされている環境がない場合、下記の URL より ARR Helper のインストーラーをダウンロードすることができます。

Client-ip not logged on application server when using ARR

http://blogs.iis.net/anilr/archive/2009/03/03/client-ip-not-logged-on-content-server-when-using-arr.aspx

インストーラーをダウンロード後、起動してください。

 

インストール完了後、IIS に到着するリクエストの X-Forwarded-For ヘッダーの IP アドレスが、IIS ログの c-ip の項目に置き換わることをご確認ください。

 

ARR Helper をアンインストールする場合は、コントロールパネルの [プログラムと機能] の「ARR Helper for IIS 7」を削除します。

 

 

4. サードパーティ製の native HTTP モジュール (F5XFFHttpModule)

サードパーティが公開している native HTTP モジュールではありますが、X-Forwarded-For ヘッダーを IIS ログに記録する native HTTP モジュールが公開されています。

 

マイクロソフトでサポートを提供するものではありませんが、こちらを元に新規に HTTP モジュールを開発していただく際のサポートは弊社でも提供しておりますので、方法の一つとしてあわせてご紹介いたします。

 

X-Forwarded-For HTTP Module For IIS7, Source Included! https://devcentral.f5.com/articles/x-forwarded-for-http-module-for-iis7-source-included   登録手順 1. 上述の F5 社のサイトのリンク "X-Forwarded-For Http Module Binary Distribution" から、カスタムの HTTP モジュールを含む zip ファイル (F5XFFHttpModule.zip) をダウンロードし、対象の IIS サーバーの任意のパスに展開します。 2. 管理者権限でコマンド プロンプトを開き、下記の 4 つのコマンドを実行して、カスタムの HTTP モジュール (F5XFFHttpModule.dll) を登録します。 64bit モジュール用の登録 ---------- >%windir%\system32\inetsrv\appcmd.exe set config  -section:system.webServer/globalModules /+"[name='F5XFFHttpModule-64',image='<F5XFFHttpModule.zip の展開先のパス>\x64\Release\F5XFFHttpModule.dll',preCondition='bitness64']" /commit:apphost >%windir%\system32\inetsrv\appcmd.exe set config  -section:system.webServer/modules /+"[name='F5XFFHttpModule-64',preCondition='bitness64']" /commit:apphost   32bit モジュール用の登録 ---------- >%windir%\system32\inetsrv\appcmd.exe set config  -section:system.webServer/globalModules /+"[name='F5XFFHttpModule-32',image='<F5XFFHttpModule.zip の展開先のパス>\x86\Release\F5XFFHttpModule.dll',preCondition='bitness32']" /commit:apphost >%windir%\system32\inetsrv\appcmd.exe set config  -section:system.webServer/modules /+"[name='F5XFFHttpModule-32',preCondition='bitness32']" /commit:apphost

 

以上です。