- PR -

IISのセキュリティについて

1
投稿者投稿内容
BLACKGUM
常連さん
会議室デビュー日: 2004/12/24
投稿数: 23
投稿日時: 2004-12-24 12:13
こんにちは

現在WindowsServer2003上のIISにて.NETでB2Bサイトを構築しています。

この中で、「顧客に関わる情報」をテキストファイル化し、
Webサーバーに保管し、ユーザーよりダウンロードするという仕組みも
提供することになっています。

しかしながら客先では現在、プライバシーマーク取得も奨められており
このようなＤＭＺ領域に「顧客に関わる情報」を置いてもいいのか？
という質問を受けました。

当方ではＷｅｂサイトはＳＳＬにてセキュリティもかけており、
上記データはディレクトリでの参照の権限を無くしており、
現在の仕組みにおいては
１.アプリケーションからログオンされたアプリケーションの仕組みで
ダウンロードする
２.ファイル名を直接ＵＲＬ指定しダウンロードする
の二つの方法しかなく問題ないと考えておりますが、
実際のところどうなのでしょうか？


_________________
mso
ぬし
会議室デビュー日: 2003/12/04
投稿数: 496
お住まい・勤務地: 宮城
投稿日時: 2004-12-24 12:29
こんにちは、msoです。

引用:

未記入さんの書き込み (2004-12-24 12:13) より:

２.ファイル名を直接ＵＲＬ指定しダウンロードする



１．については別にいいかなぁ？って思いますが、
２．についてはだめだと思います。
だって、知らない人が適当にURLをたたくと見つけることが
出来るってことでしょ？
実際にはできないのかもしれませんが、その程度のことで
出来ちゃうのであれば許可されないと思います。

＃１．についても認証方法や、パスワードは期間限定など
＃細かいことに気をつければＯＫかと思います。
Mattun
ぬし
会議室デビュー日: 2004/08/10
投稿数: 1391
投稿日時: 2004-12-24 13:49
引用:

現在の仕組みにおいては
１.アプリケーションからログオンされたアプリケーションの仕組みで
ダウンロードする
２.ファイル名を直接ＵＲＬ指定しダウンロードする
の二つの方法しかなく問題ないと考えておりますが、

のような状態だとしても、
「URLさえわかれば誰でも入手可能」な状態であり、
「そのURLは誰でも見つけられる可能性がある」ことを考えると、
世間一般では十分な管理をしてなかったと判断されるんじゃないですかね。

許可されたユーザのみが利用可能にする、という意味で、普通はID/パスワードを
使いますよね。そのかわりに許可されたユーザ(が使うアプリ)のみが知ってるURLを、
っていうのが、ID/パスワードと同様な認証情報として理解してもらえるか、
っていわれると、多分無理じゃないかと思ってます。
BLACKGUM
常連さん
会議室デビュー日: 2004/12/24
投稿数: 23
投稿日時: 2004-12-24 15:39
ありがとうございます。

では、例えば
ＤＭＺ領域内のサーバーで、
①ＩＩＳのパスをきっていないところにテキストファイル保存
　勿論このパスはFtp等の他のサービスからも見えない
　　（このファイルは外部からはＩＩＳやＯＳのセキュリティホールのない限り
　　　見ることは出来ません）
②ＡＳＰ．ＮＥＴのアプリケーションの仕掛けの中で、
　上記テキストファイルをメモリー上にロードしクライアント側に返却する

という方法であれば問題ありませんかね？
甕星
ぬし
会議室デビュー日: 2003/03/07
投稿数: 1185
お住まい・勤務地: 湖の見える丘の上
投稿日時: 2004-12-25 00:20
引用:

①ＩＩＳのパスをきっていないところにテキストファイル保存
　勿論このパスはFtp等の他のサービスからも見えない
　　（このファイルは外部からはＩＩＳやＯＳのセキュリティホールのない限り
　　　見ることは出来ません）
②ＡＳＰ．ＮＥＴのアプリケーションの仕掛けの中で、
　上記テキストファイルをメモリー上にロードしクライアント側に返却する

という方法であれば問題ありませんかね？

すなわちWEBサーバと同じPC内に、データも保存しておくと言うことですよね。それは「DMZにおいてIISとSQLServerを同じPCで動作させて構わないか？」と聞くのに等しいです。何のためにDMZを設置しているのかを考えれば、IIS内にデータファイルを置くことは推奨される事柄ではないです。

後は、そのファイルに保存されるデータの種類や内容と相談するしかないでしょ。
_________________
甕星 <mikahosi@abox9.so-net.ne.jp>
http://blogs.msmvp.jp/mikahosi/

[ メッセージ編集済み 編集者: 甕星 編集日時 2004-12-25 00:25 ]
BLACKGUM
常連さん
会議室デビュー日: 2004/12/24
投稿数: 23
投稿日時: 2004-12-25 01:08
引用:

それは「DMZにおいてIISとSQLServerを同じPCで動作させて構わないか？」と聞くのに等しいです。

うーん。そうですね。確かに考えてみたらそうなります。
実は作りこみをしちゃっているのであんまり手直しを加えたくないというのが
本音なんです。
でも、後でもめるのはもっとまずいので、再考します。
1

スキルアップ／キャリアアップ（JOB@IT）