[window/윈도우 서버] IIS 웹서비스 정보 숨김

W-59 IIS 웹서비스 정보 숨김

■ 점검영역 : 서비스 관리

■ 항목 중요도 : 중

■ 점검내용

IIS 웹서비스 정보 숨김 설정 여부 점검

■ 점검목적

IIS 웹서비스 운용 시 에러 페이지, 웹 서버 종류, 사용 OS, 사용자 계정이름 등 웹 서버와 관련된 불필요한 정보가 노출되지 않도록 하기 위함

■ 보안위협

IIS 웹서비스 정보 숨김 설정이 적용되지 않은 경우 악의적인 사용자에게 불필요한 정보가 노출되어 외부 공격을 위한 기초 자료로 이용될 수 있음

■ 참고

-

■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, 2019

양호

웹 서비스 에러 페이지가 별도로 지정되어 있는 경우

취약

웹 서비스 에러 페이지가 별도로 지정되지 않아 에러 발생 시 중요 정보가 노출되는 경우

■ 조치방법

발생 가능한 각 에러에 대한 별도의 웹 서비스 에러 페이지를 지정함

■ Windows NT, 2000, 2003

Step 1) 인터넷 정보 서비스(IIS) 관리> 속성> [사용자 지정 오류] 탭에서 400, 401, 403, 404, 500 등 웹 서비스 에러에 대해 별도의 페이지를 지정

■ Windows 2008, 2012, 2016, 2019

Step 1) 오류 페이지 설정 편집
제어판> 관리도구> IIS(인터넷 정보 서비스) 관리자> 해당 웹 사이트> [오류 페이지]> [작업] 탭에서 [기능 설정 편집]> “서버오류 발생 시 다음 반환“ 항목을 ”사용자 지정 오류 페이지“로 설정

■ 조치 시 영향 : 일반적인 경우 영향 없음