政府單位近年對資安要求日益嚴格，不管是主機還是AP面都花了大錢買了一般人買不起的工具在監控稽核，但小廠商怎麼可能有預算先花幾百萬買黑白箱掃瞄或主機稽核工具，然後再每年花幾百萬買MA呢?一個專案的預算也就幾百萬甚至不到百萬，哪裡買得起。所以免費的開源的都要不斷的找尋找尋再找尋，呵呵。
最近弄了幾台windows 2016的GCB套用(https://www.nccst.nat.gov.tw/GCB)，以前一直不想套用，大概就將主機升級到更新的OS版本，因為無GCB可套用，所以也就當視而不見的免了這些 稽核。但終究不是辦法，該面對的還是得要面對，現在套用後，遇到了一些問題。
1.無法遠端登入，因為GCB禁止本機帳戶進行遠端登入。為了測試方便，先手動開啟。
gpedit.msc>Windows設定>安全性設定>本機原則>使用者權限指派>拒絕本機登入移除本機帳戶即可。
2.原系統中有使用於不相容FIPS容許的演算法都會顯示此『實作不屬於 Windows Platform FIPS 已驗證密碼編譯演算法的一部分』，因為gpedit.msc>Windows設定>安全性設定>本機原則>安全性選項>『系統密碼編譯:使用FIPS相容演算法於加密，雜湊，以及簽章』啟用。
這個就AP面將有使用加解密的演算法調整符合FIPS規定 ，例如MD5加密改寫使用SHA256以上。
但有個很老很老的系統，是用VS2005 net framework 2.0開發，主要是讀ReportServer 上server report(RDL)做報表資料呈現，FIPS問題就將網站升級為 net framework 4.5就解決了。
但可以登入後，在連線到報表伺服器時雖已採用了impersonate 的方式模擬主機使用者做windows驗證。現在套了GCB後，出現以下訊息
An exception of type 'System.Net.WebException' occurred in Microsoft.ReportViewer.Common.dll but was not handled in user code
Additional information: 要求失敗，HTTP 狀態 401 : Unauthorized。
System.Net.WebException was unhandled by user code
HResult=-2146233079
Message=要求失敗，HTTP 狀態 401 : Unauthorized。
Source=Microsoft.ReportViewer.Common
StackTrace:
於 Microsoft.SqlServer.ReportingServices2005.Execution.RSExecutionConnection.GetSecureMethods()
於 Microsoft.SqlServer.ReportingServices2005.Execution.RSExecutionConnection.IsSecureMethod(String methodname)
於 Microsoft.SqlServer.ReportingServices2005.Execution.RSExecutionConnection.LoadReport(String Report, String HistoryID)
於 Microsoft.Reporting.WebForms.ServerReport.GetExecutionInfo()
於 Microsoft.Reporting.WebForms.ServerReport.GetParameters()
於 newMOJBIS._default.Page_Load(Object sender, EventArgs e) 於 ...\default.aspx.vb: 行 20
於 System.Web.UI.Control.OnLoad(EventArgs e)
於 System.Web.UI.Control.LoadRecursive()
於 System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)
InnerException:
但直接用模擬的windows帳號登入ReportServer卻是沒有問題，可正常顯示報表資料。
至今尚未找到解決方式.........待續
沒有留言:
張貼留言