이 항목에서는 인터넷 정보 서비스 5.1이 제공하는 다섯 가지 주요 보안 요소 즉, 인증, 액세스 제어, 암호화, 감사, 인증서에 대한 개요를 설명합니다. 또한 웹 서버의 보안을 구성하는 방법, IIS의 새 작업 마법사에 대한 소개, IIS 보안에서 지원하는 표준에 대한 설명 등에 대한 정보가 들어 있습니다. 다음 내용이 포함되어 있습니다.
IIS 5.0에는 IIS 5.1에서도 사용할 수 있는 세 가지 새 보안 작업 마법사가 들어 있습니다. 인증서 마법사로 서버 인증서를 쉽게 얻고 관리할 수 있고, CTL 마법사로 인증서 신뢰 목록을 쉽게 만들고 관리할 수 있습니다. 이전 IIS에서 사용했던 절차는 이 두 마법사로 대체되었습니다. 권한 마법사로 디렉터리와 파일을 쉽게 설정할 수 있습니다. 권한 작업의 경우, NTFS와 이전 버전의 IIS에서 사용한 절차로 설정할 수 있습니다. 자세한 내용은 새 보안 작업 마법사 사용을 참조하십시오.
인터넷 정보 서비스는 Windows와 완전히 통합된 보안 기능을 제공합니다. 여섯 개의 인증 메서드가 지원되므로 웹 사이트에 액세스를 요청하는 사람에 대한 신원을 확인할 수 있습니다.
이 메서드를 사용하여 사이트의 공개 영역에 액세스할 수 있지만, 개인 파일과 디렉터리에는 인증받지 않은 액세스가 금지됩니다. 웹 서버에 인증을 사용할 수 있는 다른 방법은 인증을 참조하십시오.
웹 서버 보안의 기초가 되는 NTFS 액세스 권한을 사용하여 Windows 사용자와 그룹에 허용할 파일 및 디렉터리 액세스의 수준을 정의할 수 있습니다. 예를 들어, 기업이 웹 서버에 카탈로그를 게시하기로 결정했다고 하면 해당 기업체에 대한 Windows 사용자 계정을 만든 다음 특정 웹 사이트, 디렉터리 또는 파일에 대해 권한을 구성해야 합니다. 서버 관리자와 기업체 소유자만 웹 사이트의 내용을 업데이트할 수 있도록 권한을 설정해야 합니다. 일반 사용자는 웹 사이트를 볼 수는 있지만 그 내용을 바꿀 수는 없습니다. NTFS 권한 설정에 대한 자세한 내용은 디렉터리 또는 파일에 대한 NTFS 권한 설정을 참조하십시오.
WebDAV는 HTTP 연결상에서 파일 및 디렉터리 관리를 수월하게 하는 HTTP 1.1 프로토콜의 확장입니다. WebDAV "동사" 또는 명령을 사용하여 속성을 파일과 디렉터리에 추가하거나 읽어 볼 수 있습니다. 또한 파일과 디렉터리를 원격으로 작성, 삭제, 이동, 복사할 수 있습니다. 추가 액세스 제어는 웹 서버 권한과 NTFS 둘 다를 통해 구성할 수 있습니다. 자세한 내용은 액세스 제어 정보 또는 WebDAV 게시를 참조하십시오.
인증서는 서버와 클라이언트 둘 다 서로를 인증할 수 있는 디지털 ID 문서입니다. 인증서는 서버와 클라이언트의 브라우저가 암호화된 정보를 보낼 수 있는 SSL 연결을 설정하는 데 필요합니다. IIS에서 인증서 기반의 SSL 기능은 서버 인증서, 클라이언트 인증서, 다양한 디지털 키로 구성됩니다. Microsoft Certificate Services를 사용하여 이 인증서를 만들거나 CA(certification authority)라는 상호 신뢰하는 제 3자 조직에서 인증서를 얻을 수 있습니다. 인증서 및 키 설정에 대한 자세한 내용은 서버의 SSL 설정을 참조하십시오.
서버 인증서는 사용자에게 웹 사이트의 ID를 확인하는 방법을 제공합니다. 서버 인증서는 서버 내용과 관련된 조직 이름 등의 자세한 ID 정보, 인증서를 발행한 조직의 이름, 암호화된 연결에 사용하는 공개 키를 포함합니다. 이 정보는 사용자에게 웹 서버 내용의 인증과 보안 HTTP 연결의 통합을 보장합니다. 자세한 내용은 인증서 정보를 참조하십시오.
웹 서버에는 SSL을 사용하여 클라이언트 인증서 내용을 확인하고 사용자를 인증하는 옵션이 있습니다. 일반적인 클라이언트 인증서에는 사용자 및 인증서와 공개 키를 발행한 조직에 대한 자세한 ID 정보가 있습니다. SSL 암호화와 함께 클라이언트 인증서 인증을 사용하여 사용자의 ID를 확인하기 위한 고도의 보안 메서드를 구현할 수 있습니다. 자세한 내용은 인증서 정보를 참조하십시오.
암호화를 사용한 보안 방법으로 사용자가 신용 카드 번호나 전화 번호 같은 개인 정보를 서버와 교환하는 데 사용할 수 있습니다. 암호화는 보내기 전에 정보를 "스크램블하고" 암호 해독은 정보를 받은 후에 "스크램블을 풉니다. " IIS에서 이 암호화의 기초는 사용자와 암호화된 통신 연결을 구축하는 보안 방법을 제공하는 SSL 3.0 프로토콜입니다. SSL은 웹 내용의 인증을 확인하고 웹 사이트에 액세스하는 사용자의 ID를 선택적으로 확인합니다.
인증서에는 SSL 보안 연결을 구축하는 데 사용된 키가 있습니다. 키는 SSL 연결 시 서버와 클라이언트를 인증하는 데 사용되는 고유한 값입니다. 공개 키와 개인 키는 SSL 키 쌍을 형성합니다. 웹 서버는 키 쌍을 사용하여 사용자의 웹 브라우저와 보안 연결을 조정하고 보안 통신에 필요한 암호화 수준을 결정합니다.
이 연결 형식을 설정하려면 웹 서버와 사용자의 브라우저 모두가 암호화 기능과 암호 해석 기능을 갖추고 있어야 합니다. 교환하는 동안, 암호화 키 또는 세션 키가 만들어집니다. 서버와 웹 브라우저 모두 세션 키를 사용하여 전송된 정보를 암호화하고 암호를 해독합니다. 세션 키의 암호화 정도, 혹은 강도는 비트 단위로 측정됩니다. 세션 키를 구성하는 비트의 수가 크면 클수록 암호화와 보안의 수준이 높습니다. 이러한 높은 강도의 암호화 키가 높은 보안 수준을 제공하더라도 이를 구현하려면 많은 서버 리소스가 필요합니다. 웹 서버의 세션 키는 길이가 대개 40비트지만, 필요한 보안 수준에 따라 128비트가 될 수도 있습니다. 자세한 내용은 암호화를 참조하십시오.
보안 감사 기술을 사용하여 다양한 사용자 및 웹 서버 보안 활동을 모니터링할 수 있습니다. 서버 구성을 정기적으로 감사하여 리소스가 인증 받지 않은 액세스와 간섭에 영향을 받을 수 있는 영역을 감지할 것을 권장합니다. Windows 통합 유틸리티 또는 IIS에 구축된 로깅 기능을 사용하거나 ASP(Active Server Pages) 응용 프로그램을 사용하여 자신만의 감사 로그를 만들 수 있습니다. 자세한 내용은 감사를 참조하십시오.
IIS의 많은 보안 기능들은 인터넷 커뮤니티 표준을 구현합니다. 이 표준은 응용 프로그램 및 정보의 일원화 및 상호 플랫폼 이용을 수월하게 합니다. Microsoft는 이러한 표준의 구현 뿐만 아니라 훌륭한 표준을 구성하도록 지원하는 데 있어서도 인터넷과 컴퓨터 커뮤티니를 사용하여 작업하고 있습니다. IIS 보안 기능으로 구현된 표준에 대한 자세한 내용은 다음 목록에서 해당 링크를 따르십시오.
IIS는 일반적으로 Fortezza라고 하는 미국 정부 보안 표준을 지원합니다. 이 표준은 메시지, 구성 요소 및 시스템에 대한 액세스 제어, 메시지 기밀성, 통합, 인증, 거부할 수 없음을 제공하는 암호화 메커니즘으로 방위 메시지 시스템 보안 아키텍처를 만족시킵니다. 이 기능은 서버 및 브라우저 소프트웨어와 PCMCIA 카드 하드웨어로 구현됩니다. Fortezza는 미국 정부 내에서 널리 사용되는 보안 표준입니다.
Secure Sockets Layer(SSL 3.0)는 Secure Channel(Schannel) 보안 공급자에 의해 구현되는 공용 키 기반 보안 프로토콜입니다. SSL 보안 프로토콜은 인증, 메시지 무결성, 기밀성을 위해 인터넷 브라우저와 서버에 널리 사용됩니다.
기본 인증은 Base64로 인코드된 형식의 네트워크상에 암호를 보내는 HTTP 1.0 사양의 일부입니다. 대부분의 브라우저는 이 사양을 지원합니다.
다이제스트 인증은 네트워크상에서 인증 정보를 해시로 보내며 프록시 서버와 호환됩니다.
PKCS #7은 보안 정보가 있는 디지털 서명이나 디지털 봉투 등 암호화된 데이터 형식을 설명합니다. 둘 다 IIS의 인증서 기능과 관련됩니다.
PKCS #10은 인증 기관에 제출된 인증서에 대한 요구 형식을 설명합니다.
Windows 및 네트워크 보안 문제에 대한 자세한 내용을 보려면 Microsoft 보안 웹 사이트 또는 Windows 보안 웹 사이트를 방문하십시오.
웹 서버 보안을 구성하기 전에 웹 사이트와 FTP 사이트를 보호하는 데 필요한 보안 수준을 결정해야 합니다. 예를 들어, 특정 사용자가 재정 기록이나 의료 기록 같은 개인 정보애 액세스할 수 있는 웹 사이트를 만들려면 확고한 보안 구성이 필요합니다. 이러한 구성은 지정한 사용자를 신뢰할 수 있게 인증하고 그 사용자에게만 액세스를 제한할 수 있어야 합니다.
웹 서버 보안은 Windows 보안 구성에 많은 부분을 의존합니다. Windows 보안 기능을 올바르게 구성하지 않으면, 웹 서버를 보안할 수 없습니다.
Windows 보안 기능을 제대로 구성하지 않았다면 아래와 같이 수행합니다.
자세한 내용은 Windows 설명서를 참조하십시오. Microsoft Windows 2000 Server Resource Kit도 보안 정보에 관한 훌륭한 자료입니다.
보안 구성의 일부로 사용자의 하드 디스크 파티션을 NTFS 파티션으로 변환해야 합니다. NTFS 하드 디스크 파티션은 정확한 파일 및 디렉터리 액세스 제어를 제공하며 FAT(File Allocation Table) 파티션보다 효과적으로 정보를 저장합니다. Windows 변환 유틸리티를 사용하면 하드 디스크 파티션을 NTFS로 변환할 수 있습니다. 자세한 내용은 Windows 설명서를 참조하십시오.
다음으로 웹 사이트와 FTP 사이트를 방문하는 사용자에게 어떤 파일과 디렉터리를 공용으로 사용하도록 허용할지 결정해야 합니다. 공개 내용과 제한 내용은 서로 다른 디렉터리에 보관해야 합니다.
웹 서버의 보안 구성을 시작하려면 익명 웹 서버 액세스의 올바른 구성에 대한 정보인 액세스 제어 정보를 참조하십시오.