Sichere Web Studio-Bereitstellung

Dieser Artikel beleuchtet Konfigurationsbereiche, die die Systemsicherheit bei der Bereitstellung von Web Studio beeinträchtigen können.

Hinweis:

Informationen zum Sichern der Kommunikation zwischen den Webbrowsern der Benutzer und Web Studio finden Sie unter TLS für Web Studio und Director aktivieren.

IIS-Einstellungen konfigurieren

Als bewährte Sicherheitspraxis konfigurieren Sie Web Studio mit einer eingeschränkten IIS-Konfiguration:

1. Anforderungsfilterung einschränken:

   • Wenn Sie Web Studio mit Director installieren, wird IIS automatisch mit den folgenden Filterregeln konfiguriert.

   • Wenn Sie Web Studio als eigenständige Komponente installieren, konfigurieren Sie IIS manuell wie folgt:

     • Nur die folgenden Dateinamenerweiterungen zulassen:

       ., .aspx, .css, .eot, .html, .ico, .js, .png, .svc, .svg, .jpg, .gif, .json, .woff, .woff2, .ttf

       Weitere Informationen finden Sie in diesem Microsoft-Artikel.

     • Nur die folgenden HTTP-Verben zulassen:

       GET, POST, HEAD

       Weitere Informationen finden Sie in diesem Microsoft-Artikel.

2. Nicht benötigte Handlerzuordnungen entfernen.

   Web Studio benötigt nur die StaticFile-Handlerzuordnung. Entfernen Sie alle anderen. Weitere Informationen finden Sie in diesem Microsoft-Artikel.

3. Nicht verwendete ISAPI-Filter entfernen.

   Web Studio benötigt keine ISAPI-Filter. Sie können alle entfernen. Weitere Informationen finden Sie in diesem Microsoft-Artikel.

   Hinweis:

   ASP.NET erfordert die ISAPI-Windows-Funktion.

4. Löschen Sie die folgenden Standard-IIS-Landingpage-Dateien aus C:\inetpub\wwwroot:

   • iisstart.htm
   • welcome.png

5. Stellen Sie sicher, dass die .NET-Vertrauensstufe auf Volles Vertrauen eingestellt bleibt. Diese Einstellung wird während der Installation automatisch konfiguriert und ist für die korrekte Funktion von Web Studio erforderlich. Ändern Sie sie nicht.

Nicht verwendete Anwendungs-Pool-Rechte entfernen

Während der Installation werden dem Web Studio-Anwendungspool die folgenden Benutzerrechte gewährt:

• Als Dienst anmelden
• Arbeitsspeicherkontingente für einen Prozess anpassen
• Sicherheitsüberwachungen generieren
• Prozessebenentoken ersetzen

Diese Rechte sind Standard für IIS-Anwendungspools. Web Studio verwendet sie nicht, und Sie können sie entfernen.

Web Studio-Bereitstellung isolieren

Sie können beliebige Webanwendungen in derselben Webdomäne (Domänenname und Port) wie Web Studio bereitstellen. Sicherheitsrisiken in diesen Webanwendungen können jedoch potenziell die Sicherheit Ihrer Web Studio-Bereitstellung beeinträchtigen. Wo ein höheres Maß an Sicherheitsseparation erforderlich ist, empfehlen wir, Web Studio in einer separaten Webdomäne von anderen Drittanbieter-Anwendungen bereitzustellen.