Schwachstellenscans auf Websites reduzieren

Wenn Sie Microsoft IIS oder Apache HTTP Server unter Windows betreiben, bemerken Sie möglicherweise wiederholte Anfragen nach Seiten und Dateien, die nichts mit Ihrer Website zu tun haben.

Typische Beispiele sind PHP-Skripte auf einer ASP.NET-Website, WordPress-Anmeldeseiten auf Websites ohne WordPress oder Versuche, Linux-Systemdateien von einem Windows-Server zu lesen. Viele dieser Anfragen erscheinen als 404 (Not Found) Fehler in Ihren Zugriffsprotokollen.

Automatisierte Scanner probieren zahlreiche URLs auf der Suche nach verwundbaren Anwendungen, offengelegten Zugangsdaten und vergessenen Sicherungen aus. Ihre Website muss die gesuchte Software nicht verwenden: Dieselben Prüfversuche werden an viele unterschiedliche Server gesendet.

Die folgenden Auszüge zeigen ausgewählte Felder aus Webserverprotokollen. Das erste Beispiel enthält wiederholte Anfragen nach Dateien, die AWS-Zugangsdaten enthalten könnten:

Time      Method  URI                      Client IP
22:37:04  GET     /.aws/credentials        195.201.239.198
22:37:25  GET     /.aws/credentials        206.189.134.134
22:37:25  GET     /.aws/credentials        206.189.134.134
01:29:13  GET     /.aws/credentials        20.242.91.172
19:42:29  GET     /.aws/credentials        35.175.99.115
23:19:28  GET     /.aws/s3cfg              45.32.147.219
23:19:28  GET     /.aws/.secrets.json      45.32.147.219

Das nächste Beispiel zeigt Directory-Traversal-Versuche in der Abfragezeichenfolge. Der Scanner testet verschiedene Pfade zu /etc/passwd, einer üblicherweise auf Unix-ähnlichen Systemen vorhandenen Datei:

Time      Method URI Query                     Client IP
12:04:20  GET    /   data1=../etc/passwd       50.53.64.180
12:04:20  GET    /   data1=../etc/passwd%00    50.53.64.180
12:04:21  GET    /   data1=../../etc/passwd    50.53.64.180
12:04:21  GET    /   data1=../../etc/passwd%00 50.53.64.180

Auch erfolglose Prüfversuche beanspruchen Prozessorzeit, Arbeitsspeicher, Bandbreite und Speicherplatz für Protokolle. Ein aktuell gehaltener Server weist möglicherweise jede Anfrage ab, benötigt aber weiterhin Ressourcen zur Verarbeitung wiederholter Scans derselben Adressen.

RdpGuard hilft, diesen wiederholten Datenverkehr zu reduzieren. Es überwacht IIS- oder Apache-Zugriffsprotokolle, erkennt Anfragen, die Ihren Erkennungsregeln entsprechen, und sperrt die Quell-IP-Adresse vorübergehend , sobald die konfigurierte Erkennungsgrenze erreicht ist. Dadurch kann diese Quelle während der Sperrzeit keine weiteren Prüfversuche gegen Ihren Server ausführen.

Die Standardregeln erkennen Anfragen nach üblichen Zugangsdaten- und Repository-Pfaden und fassen wiederholte HTTP-404-Antworten zu Erkennungen zusammen. Zusätzliche Regeln können weitere für Ihre Website relevante Pfade oder Abfragezeichenfolgen erfassen. Die oben gezeigten Traversal-Anfragen benötigen beispielsweise eine passende Query Regel, sofern ihre Antworten nicht bereits eine andere Regel auslösen. Eine verdächtige Anfrage im Protokoll wird nicht automatisch von jedem Regelsatz erfasst.

Halten Sie Webserver, CMS und Plugins aktuell und speichern Sie Zugangsdaten sowie private Sicherungen außerhalb öffentlich zugänglicher Ordner. Das Sperren wiederholter Scanner ergänzt diese Maßnahmen; es behebt keine offengelegte Datei oder verwundbare Anwendung.

HTTP-Schutz für IIS und Apache aktivieren und konfigurieren - Protokollordner auswählen, Erkennungsregeln anpassen und Sperrschwellen konfigurieren.

Hinter einem Reverseproxy sind zusätzliche Einstellungen zur Erkennung des ursprünglichen Clients und zum Sperren seiner Anfragen erforderlich. Siehe die Proxy- und X-Forwarded-For-Einstellungen.