Como permitir com segurança o IIS para executar um exe com possíveis vulnerabilidades?

Question

Temos um aplicativo IIS que precisa executar um exe com entrada potencialmente maliciosa. Vários aplicativos são executados neste pool de aplicativos e gostaria de limitar nosso risco o máximo possível. O executável em si é confiável, mas é muito possível conter vulnerabilidades (como o ImageMagick). É possível, através de um buffer overflow, algum outro mecanismo, que um adversário possa ganhar controle e executar com os mesmos privilégios (ou seja, o usuário do pool de aplicativos) do executável original.

Eu imagino que o curso mais seguro seria criar um usuário que tenha permissão para fazer nada além de executar este exe, e ler e escrever em uma única pasta específica, mas é difícil encontrar um guia sobre como fazer isso. / p>     

Answer 1

Se você realmente não confia no sistema, você deve isolá-lo. Use um servidor separado para seus dados, banco de dados e qualquer outra coisa que você queira manter longe do servidor IIS não confiável.

NOTA: Cada um desses itens de linha pode ter artigos inteiros para explicar. Endurecer uma Internet voltada para o servidor IIS pode ser um longo caminho.

1. Use a versão mais recente do Windows e do IIS
2. Crie uma sub-rede e uma VLAN da DMZ
3. Coloque o servidor IIS na DMZ
4. Nunca junte o servidor IIS ao domínio
5. Coloque um servidor proxy reverso com firewall de aplicativo da web na DMZ
6. Encaminha todo o tráfego, dentro e fora, por meio de um firewall com recursos de IPS
7. Encaminha todo o tráfego para o servidor proxy reverso da Internet para que o tráfego nunca vá diretamente para o servidor IIS
8. Instale o pacote de software de segurança que inclui um firewall de host e análise de comportamento
9. Instale o Microsoft EMET: link
10. Implante o AppLocker para controlar o executável que pode ser executado: link
11. Desativar o NetBIOS e o SMB

-OU -

1. Hospede o aplicativo na nuvem do Azure e deixe que a Microsoft se preocupe com o que acontece quando ele é comprometido.
2. Ainda dá um pouco de endurecimento no próprio servidor, mas agora você não precisa proteger a rede em torno dele.