TMA-IIS-3.6

Ensure 'httpcookie' mode is configured for session state

低レベル 2自動iis

説明

A session cookie associates session information with client information for that session, which can be the duration of a user's connection to a site. The cookie is passed in a HTTP header together with all requests between the client and server. Session information can also be stored in the URL. sessionState cookieless must be UseCookies in the root web.config and every site. PowerShell 5.1 with the WebAdministration module; run elevated.

チェック方法

監査方法: シェルコマンド

shell

Import-Module WebAdministration -ErrorAction Stop; $paths = @('MACHINE/WEBROOT') + @(Get-Website | ForEach-Object { "IIS:\Sites\$($_.Name)" }); $bad = @($paths | Where-Object { $c = Get-WebConfiguration -Filter 'system.web/sessionState' -PSPath $_; [string]$c.cookieless -ne 'UseCookies' }); if ($bad.Count -eq 0) { 'compliant' } else { 'noncompliant' }

期待される出力: compliant

修正方法

修正方法: ガイダンスまたは IaC パッチ

Set-WebConfigurationProperty -PSPath 'MACHINE/WEBROOT/APPHOST/<site>' -Filter system.web/sessionState -Name cookieless -Value UseCookies

プロパティ

オペレーティングシステム: すべて
タグ: iissession
参照: CIS Microsoft IIS 10 Benchmark v1.2.1 - 3.6 Ensure 'httpcookie' mode is configured for session state

このホストをチェック

監査が許可されているマシンで実行してください。スキャンは読み取り専用です。

shell

tmaegis scan --target iis --level 2