ISA Server 2006 Enterprise Edition Üzerinde HTTP Filter İşlemleri | Yavuz Taşcı | IT Consultant
« Group Policy ile Uzaktan Yazılım Yükleme
İnternet İnformation Service üzerine PHP kurulumu »
Microsoft Internet Security and Acceleration (ISA Server 2006 Enterprise Edition) üzerinde, Hypertext Transfer Protocol (HTTP) iletişim kuralı kullanılmaktadır. HTTP Filtresi, ISA Server bilgisayarı üzerindeki tüm HTTP trafiğini incelemektedir. HTTP filtreleme kontrolü sayesinde, sadece ISA Server bilgisayarı üzerinde tanımlanmış olan isteklere HTTP isteklerine izin verilmektedir. HTTP filter özelliği sayesinde, network ortamında bulunan Web Server sunucularının da güvenliği önemli ölçüde artırılmış bulunmaktadır.
HTTP filtreleme özelliği aşağıdaki senaryolar için kullanılabilmektedir.
· ISA Server bilgisayarı üzerinden, network üzerindeki diğer client (istemci) bilgisayarlar üzerine, HTTP protokolü kullanılarak (HTML sayfaları, grafikler) gibi nesnelerin transfer edilmesinde.
· ISA Sever bilgisayarı üzerinden yayın yapan Web Server bilgisayarı üzerindeki HTTP nesnelerine internet üzerinden erişim gerçekleştiren müşteriler. Bu erişim, HTTP politikaları tarafından yapılmaktadır.
ISA Server sayesinde yine, farklı güvenlik gereksinimleri düzeyinde HTTP politikaları uygulayabilmekteyiz. Örneğin, network üzerinde bulunan kullanıcılarınızın, peer to-peer dosya paylaşım hizmetini kullanmasını istemiyorsanız ISA Server bilgisayarı üzerinde HTTP filtreleme özelliğini kullanabilirsiniz. HTTP filter işlemi , sadece ?http? paketleri için geçerli olmaktadır. Eğer, ISA Server bilgisayarı üzerinde smtp veya pop3 gibi servisler üzerinde kural oluşturmak istiyorsanız http filter özelliği bu servisler üzerinde kullanılamamaktadır.
HTTP filter işlemi hakkında kısaca bilgi verdikten sonra ISA Server 2006 üzerinde http filter işlemlerine geçiş yapabiliriz.
HTTP filter işlemlerine başlamak için ISA Server bilgisayarı üzerinde, Start ? Programs ? Microsoft ISA Server ? ISA Server Management yönetim konsolunu çalıştırıyoruz.
ISA Server 2006 yönetin konsolu üzerinde, yukarıdaki şekil üzerinde de görüldüğü gibi Enterprise Add-ins ? Web Filters ? HTTP Filter seçenekleri üzerine gelerek sağ tuş yapıyoruz.
HTTP filter Properties ekranında ise, default olarak açık gelen http filter özelliğini Enable this filter on all arrays seçeneğini kullanarak devre dışı bırakabilirsiniz. Yine bu ekran üzerinde, HTTP Filter özelliği için Description (Tanımlama) oluşturabilirsiniz. HTTP filter?in konfigürasyon özelliklerine geçiş yapmak için ise, yine ISA Server yönetim konsolu üzerinde Arrays tabı altında bulunan Firewall Policy seçeneğine tıklıyoruz. Bu işlemlerin ardından karşımıza aşağıdaki gibi bir ekran çıkacaktır.
Şekil üzerinde de görüldüğü gibi Firewall Policy Rules bölümünde ISA Server yönetim konsolu üzerinde önceden tanımlanmış policy?ler (kurallar) yer almakta. Şunu da belirtmeden geçemeyeceğim ki, ISA Server kurulumu sonucunda , internete erişiminiz yasaklanmaktadır.
ISA Server bilgisayarı üzerinden internete erişmek isterseniz, Firewall Policy Task bölümünden yeni bir Access Rule oluşturmanız gerekecektir. Access Rule oluşturma işlemini ilerleyen makalelerimizde detaylı bir şekilde ele alacağız. HTTP konfigürasyonu özelliklerine giriş yapmak için ise, oluşturulmuş olan herhangi bir policy üzerine gelip sağ tuş yaparak, karşımıza gelen menüden Configure HTTP seçeneğine tıklıyoruz.
Configure HTTP seçeneğinin ardından karşımıza aşağıdaki gibi bir ekran çıkacaktır.
Bu ekran üzerinde ise, bazı sekmeler karşımıza çıkmakta. Bu sekmelerden kısaca bahsedecek olursak, Bunlar;
Bu sekme içerisinde ise, karşımıza bazı değerler çıkmakta. Bunlar;
Maximum Headers Length (bytes) (Maksimum adres uzunluğu)
İnternet adreslerindeki, yani URL adreslerdeki maximum uzunluğu göstermektedir. Bu uzunluk ise, bytes cinsinden belirtilmektedir. Bu değerin düşük veya varsayılan değer boyutundan fazla verilmesi buffer overflow ve denial of service attacs saldırılarına sebebiyet vermektedir. Şekil üzerinde de görüldüğü gibi standart length değeri 32768 ?dir.
Request Payload (İstek Yükü)
ISA Server üzerinde yayınlanan Web Server bilgisayarları için gönderilen maximum talep yükü miktarını göstermektedir. Bu seçenek ile, kullanıcılarınıza Web Server bilgisayarı üzerindeki dosya depolama ve mesaj gönderme hakkı gibi değerlere sınırlamalar getirebilirsiniz. Şekil üzerinde de görüldüğü gibi, default olarak da herhangi bir sınırlama getirilmemiş durumda. Eğer kullanıcılarınıza sınırlama getirmek isterseniz bu işlemi Allow any payload length seçeneğini kaldırarak gerçekleştirebilirsiniz.
Maximum URL length (Bytes )
İzin verilecek olan maximum URL uzunluk değerini belirtir. Bu uzunluğu aşan değerler otomatik olarak bloke edilir.
Maksimum sorgu uzunluğu değerini belirtmektedir. Bu değeri aşan sorgu istekleri otomatik olarak bloke edilir.
Yayınlanmış olan Werb server bilgisayarı içerisinde bulunan URL istekleri için normalization işlemleri gerçekleştirilir. Gerçekleştirilen normalization işlemleri sonucunda URL istekleri için doğrulama yapılamaz ise, web sunucusuna gelen istekler reddedilmektedir.
Block High bit character (Yüksek blok karakterleri)
Bu seçenek ile, gelen istekler içerisindeki yüksek karakterli adresler bloke olmaktadır. Bu sayede, Internet Information Services (IIS) sunucusunun da bazı saldırılara maruz kalması önlenmiş olmaktadır.
Bu seçenek ile de, Windows işletim sistemi içerisindeki , executables (çalıştırılabilir dosyalar) ?ın engellenmesi işlemi gerçekleştirilir. General sekmesinden sonra , bir sonraki sekme olan Methods sekmesine geçiş yapıyoruz.
Methods sekmesinde, http methodlarını belirleyebileceğimiz eylemler mevcut.
Bu seçenek ile tüm http methodlarına izin verilir.
Bu seçenek ile, sadece seçilen http methodlarına izin verilmektedir. HTTP methodları arasından en güvenilir ve önerilen seçenek de budur.
Bu method seçeneği ile de, seçilen yöntemler dışındaki tüm http methodlarına izin verilmektedir.
Extensions bölümünde, yasaklanmasını istediğimiz dosya uzantılarını belirleyebiliyoruz. Yine bu sekme içerisinde de karşımıza bazı seçenekler çıkmaktadır. Bunlar;
· Allow all extensions .
· Allow selected extensions .
· Block Specified Extensions (allow all others)
Bu http methodunda, http politikaları içerisindeki bütün dosya uzantılarına izin verilmektedir.
Allow selected extensions
Bu seçenek ile, yasaklanmasını istediğimiz dosya uzantılarını pencere üzerindeki Add tuşuna basarak açılan extension penceresi içerisinden ekleyebilmekteyiz.
Block Specified Extensions (allow al others)
Bu seçenek ile, liste içerisinde belirlenmiş olan dosya uzantılarının dışında kalan exe veya rar formatındaki dosya uzantılarının herhangi bir engelleme işlemine tabi tutulmaması sağlanır. Aşağıdaki şekil üzerinde ise, http trafiği içerisinde engellenmiş durumda olan dosya uzantıları görülmektedir.
Bu sekme ile, ISA Server bilgisayarı üzerinde yasaklanmasını istediğimiz programlara ait ?header? bilgilerini bu ekran üzerinde belirleyebiliyoruz. Eğer, ISA Server?in yasaklama işlemini kullanmış olduğumuz programların header bilgileri üzerinden gerçekleştirmesini istiyor isek, Add tuşuna basarak açılan pencere üzerinde HTTP header bilgilerini bu pencere üzerinde belirleyebiliriz. Bu sayede, belirtilen ?header? bilgileri üzerinden ilgili programın çalıştırılması yasaklanmış bulunmaktadır.
Yukarıdaki şekil üzerinde de görüldüğü gibi , HTTP header kısmına yasaklanmasını istediğim programın header bilgisini yazarak programın çalışmamasını sağlamış bulunuyorum. Headers ekranı üzerinde ? Server Header ve Via header? tarafında aşağıdaki şekiller üzerinde de görmüş olduğunuz gibi karşımıza bazı yapılandırma seçenekleri çıkmakta. Bu seçeneklerin de ne anlama geldiğini kısaca açıklayacak olursak, bunlar;
Send original headers
Bu seçenek ile, HTTP filter içerisinde önceden belirlenmiş olan header bilgisinde değişiklik yapılmasına izin verilmez.
Bu HTTP filter seçeneğinde, yasaklanmak istenen programa ait header bilgisi gönderilmez
Bu seçenek ile, daha önce oluşturmuş olduğumuz header bilgisi üzerinde değişiklik yapılmasına izin verilmektedir.
ISA Server bilgisayarımız üzerinden (external) dışarıya giden header bilgisinin türü belirlenmektedir
Header bilgisi varsayılan olarak gönderilir.
Gönderilecek olan header bilgisi üzerinde değişiklik yapılmasını sağlar.
Bu pencere üzerinde ise, signatures (imzalama) özelliği ile ISA Server bilgisayarı üzerinde çalışmasını istemediğimiz programları bu sayede yasaklayabiliyoruz.
Evet, bu makalemizde ISA Server 2006 Enterprise Edition üzerinde HTTP filter kavramından bahsettik. Bir dahaki ISA Server makalemde görüşmek üzere hoşcakalın..