Sicherheitscheck für Microsofts Internet Information Server
Zusammenfassung
Die tschechische Zeitschrift Svět Namodro stellte im August 2000 ein Webformular bereit, mit dem Administratoren Microsoft-IIS-Server auf bekannte Lücken prüfen konnten. Alle geprüften Mängel in IIS 4.0 und 5.0 waren bekannt und laut Microsoft mit dem Service Pack 1 für Windows 2000 behoben. Die Sicherheitsfirma iDefense warnte dennoch, Angreifer könnten das Werkzeug nutzen, um verwundbare Ziele vorzusortieren.
Ideen
- Ein öffentlicher Scanner hilft Verteidigern und Angreifern gleichermaßen.
- Bekannte, längst gepatchte Lücken blieben auf vielen Servern offen.
- Das Werkzeug prüfte nur bekannte Mängel, keine neuen Schwachstellen.
Einsichten
- Das größte Risiko liegt oft nicht in neuen Lücken, sondern in nicht eingespielten Updates.
- Ob ein Prüfwerkzeug schadet, hängt davon ab, wer es zuerst gegen wen einsetzt.
Fakten
- Laut Svět Namodro wies rund die Hälfte der getesteten IIS-Sites mindestens einen Sicherheitsmangel auf.
- Geprüft wurden IIS 4.0 und 5.0.
Referenzen
Kritik
- Die Meldung nennt nicht, ob das Werkzeug nur eigene Server prüfen ließ oder beliebige Adressen akzeptierte.
Bemerkungen
- Ein Jahr später verbreiteten sich die Würmer Code Red und Nimda über genau solche ungepatchten IIS-Server.
Empfehlungen
- Scanne eigene Server regelmäßig auf bekannte Schwachstellen, bevor es andere tun.
- Spiele Service Packs und Sicherheitsupdates für öffentlich erreichbare Dienste zeitnah ein.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.