[IIS] HTTP 불필요한 메소드 차단 방법

보안 취약점 중 '웹서비스 내 메소드 설정 공격' 이라는 항목에 대해 조치하는 방안을 설명합니다. 대표적으로 OPTIONS, TRACE, DELETE와 같은 메소드로 요청을 통해 서비스에 대한 공격을 가하는데, 이와 같이 불필요한 메소드에 대해서 사전에 요청이 차단될 수 있도록 IIS관리자에서 설정해보도록 하겠습니다. IIS 관리자 설정(7.0 이상) IIS 관리자 접속 > 해당 웹 사이트 > [요청 필터링] 클릭 오른쪽 영역에서 [동사 거부] 클릭합니다. 차단하고자 하는 HTTP 메소드를 입력해주고 [확인] web.config 설정 IIS관리자에서 설정하고 나면 web.config 내 secutiry 하위에도 아래와 같이 반영되있는 걸 확인할 수 있습니다.

• format_list_bulleted ASP.NET
• · 2021. 1. 12.
• textsms

[IIS] 에러 코드(404, 500 등)에 대해 공통 오류 페이지 설정

에러 메세지에서 중요한 정보(시스템 정보, 절대경로 정보, 컴파일 소스 정보 등)가 노출되고 있는 경우, 공통 오류 페이지를 설정이 필요합니다. web.config 설정 customErrors 속성은 .net 코드가 예외 (404, 403, 500 등)를 던질 때 사용되며, httpErrors 속성은 IIS 자체가 예외를 던질 때 사용됩니다. 오류 페이지가 aspx 확장자인 경우 mode 속성에는 3가지로 작성할 수 있습니다. Off인 경우 설정한 오류페이지가 나타나지 않게 됩니다. On : 로컬 또는 원격인지에 관계 없이 사용자 지정 오류 페이지가 표시 Off : 로컬 또는 원격인지에 관계 없이 오류 메세지가 표시 RemoteOnly : 원격 방문자에게는 설정한 오류 페이지가 표시되고, 로컬 방문자에게..

• format_list_bulleted ASP.NET
• · 2021. 1. 12.
• textsms