Configuración de URLScan
Configuración de URLScan
URLScan es un filtro ISAPI especial que Microsoft proporciona con la intención de mejorar la seguridad de IIS, incluyendo algunas funcionalidades no presentes de serie en el servidor Web. Si bien las versiones previas a la 3 de URLScan no aportaban mucho valor añadido a las características de IIS 6, puesto que la mayoría de la funcionalidad de URLScan venia integrada de serie en esta versión del servidor (URLScan estaba más enfocada a versiones anteriores de IIS), la aparición de la versión 3 aportó novedades que sí que hacen muy interesante su instalación. En este apartado hablaremos de las novedades que aporta y qué puede hacer URLScan por mejorar la seguridad de IIS.
URLScan examina las peticiones entrantes al principio del ciclo de procesamiento de las mismas, rechazando todas aquellas que no sean aceptables según su configuración. La clave es que URLScan filtra las peticiones HTTP antes de que el servidor tenga oportunidad de procesarlas, por lo que peticiones identificadas como inválidas (lo que dependerá de la configuración que URLScan posea) nunca llegarán a ser procesadas por el servidor y por tanto no lo pondrán en riesgo.
La configuración de URLScan se hace mediante el fichero URLScan.ini y, a diferencia de las otras funcionalidades que hemos visto, para hacer efectivos los cambios necesitamos reiniciar IIS. URLScan tiene muchas funciones distintas y verlas todas excede el objetivo de este curso. No obstante, existe abundante información sobre sus capacidades y se proporcionan algunos enlaces para consultarlas. Aquí nos limitaremos a ver su forma general de funcionamiento, que nos permitirá usar cualquiera de las funcionalidades que ofrece al tener un modo de funcionamiento muy homogéneo, y las nuevas características de la versión 3.0.
Para más información sobre su uso en IIS 6 y su descarga se recomienda consultar: http://technet.microsoft.com/en-us/security/cc242650.aspx. Sobre las novedades de la versión 3.0, podemos destacar un control (filtrado) mucho mayor de las peticiones y Query Strings. El siguiente enlace habla de dichas novedades: http://learn.iis.net/page.aspx/473/using-urlscan, mientras que podemos encontrar filtros de URLs para propósitos específicos aquí: http://learn.iis.net/page.aspx/476/common-urlscan-scenarios/
La siguiente actividad práctica muestra cómo manejar URLScan.