Quando você está implantando uma nova caixa de servidor da Web, quais são as coisas padrão que você instala e faz para configurá-lo?

O que você faz para garantir que a caixa esteja trancada e não fique comprometida?

Tão longe:

Geral

• Aplique patches de segurança, etc.
• Execute o MBSA ( Microsfot Baseline Security Analyzer )
• Desativar algoritmos de criptografia fracos - Scott , consulte também o artigo de David Christiansen e o site serversniff.com

Rede

• Endurecer a pilha TCP / IP - K. Brian Kelley
• Tráfego da lista branca com uma política IPSEC
• Todo o NetBIOS é removido ou desativado
• Colocar servidor da Web em um grupo de trabalho (não é permitido estar em um domínio)
• Use uma DMZ

IIS

• Instale o UrlScan
• Executar bloqueio do IIS

Artigos relacionados

• Lista de verificação de produção do ASP.net
• O que um desenvolvedor deve saber antes de criar um site público

O que nós fazemos:

• Colocar servidor da Web na DMZ
• Colocar servidor da Web em um grupo de trabalho (não é permitido estar em um domínio)
• Garantir que todos os patches de segurança sejam aplicados
• Minimize os serviços em execução
• Use o URLScan . Remova a impressão digital do servidor (RemoveServerHeader = 1).
• Endurecer a pilha TCP / IP
• Aplique a política IPSEC para permitir apenas o tráfego que queremos (lista de permissões)
• Renomeie as contas padrão para que possam ser segmentadas por scripts / ferramentas típicas.
• Mover diretórios padrão (InetPub, WWWRoot, etc.)
• Minimize as contas de usuário local.
• Todo o NetBIOS é removido ou desativado.

• Adicione contas de usuário para cada pessoa que administrará o computador
• Configure os serviços de terminal para permitir a cada usuário apenas um logon simultâneo
• Adicione contas de administração alternativas que serão usadas apenas se as runas não servirem ao objetivo de um determinado usuário

-Adão

Você pode desejar;

• Desativar SSL 2 (corrigir uso de protocolo SSL depreciado)
• Executar uma avaliação de vulnerabilidade da rede

Em caso afirmativo, escrevi um artigo detalhado sobre Como Desativar o SSL2 e Cifras Fracas no IIS6, que vale a pena dar uma olhada.

Este artigo considera o ponto de vista de satisfazer os requisitos de segurança definidos pelo setor de cartões de pagamento, mas ainda é relevante para o fortalecimento geral do servidor.

Portanto, agora para corrigir o uso depreciado do protocolo SSL, leia o artigo Howto: Disable SSL2 and Weak Ciphers para obter instruções passo a passo OU leia o Artigo de suporte da Microsoft # 187498 e use o ServerSniff para confirmar se suas modificações foram efetivadas.

ps Na verdade, você também pode usar o ServerSniff para confirmar as modificações mencionadas na resposta de Scott.

Além das coisas já mencionadas, desabilito as cifras SSL fracas.

EDIT: Encontrei as instruções passo a passo que escrevi alguns anos atrás.

1. Clique em Iniciar, clique em Executar, digite regedt32 ou digite regedit e, em seguida, clique em OK.
2. No Editor do Registro, localize a seguinte chave do Registro: HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL
3. Execute as etapas 4 a 8 para as seguintes teclas: a. Cifras \ DES 56/56 b. Cifras \ RC2 40/128 c. Cifras \ RC4 40/128 d. Cifras \ RC4 56/128 e. Protocolos \ SSL 2.0 \ Cliente f. Protocolos \ SSL 2.0 \ Server
4. No menu Editar, clique em Adicionar valor.
5. Na lista Tipo de dados, clique em DWORD.
6. Na caixa Nome do valor, digite Habilitado e clique em OK.
7. Digite 00000000 no Editor binário para definir o valor da nova chave igual a "0".
8. Clique OK.
9. Quando você terminar de modificar o registro, reinicie o computador.

Se possível, inicie com o Windows 2003 SP1 Server e verifique se o firewall interno está ativado, a menos que você tenha um firewall de rede para protegê-lo.

Verifique se as seguintes portas estão abertas se você configurar o firewall: - 3389: Área de trabalho remota (RDP) - 80: HTTP

Opcional: - 443: HTTPS (opcional) - 25: SMTP - 110: Pop3

Serviços de utilidade pública:

• Notepad ++ (excelente editor) - grátis
• 7-Zip (lida com arquivos zip, arco e outros arquivos compactados) - grátis
• Beyond Compare v3 (comparação de arquivos e FTP) - $ mas não muito
• Gerenciamento de banco de dados