Когда вы развертываете новый веб-сервер, какие стандартные вещи вы устанавливаете на него и делаете для его настройки?

Что вы делаете, чтобы убедиться, что ящик заблокирован и не будет взломан?

Слишком далеко:

Общая

• Применять исправления безопасности и т. Д.
• Запустите анализатор базовой безопасности Microsfot (MBSA)
• Отключите слабые алгоритмы шифрования - Скотт , см. Также статью Дэвида Кристиансена и сайт Serversniff.com.

сеть

• Харден TCP / IP стек - К. Брайан Келли
• Белый список трафика с политикой IPSEC
• Все NetBIOS удалены или отключены
• Поместите веб-сервер в рабочую группу (запрещено находиться в домене)
• Используйте DMZ

IIS

• Установите UrlScan
• Запустить блокировку IIS

Статьи по Теме

• ASP.net производственный контрольный список
• Что должен знать разработчик перед созданием общедоступного веб-сайта

Что мы делаем:

• Поставить веб-сервер в DMZ
• Поместите веб-сервер в рабочую группу (запрещено находиться в домене)
• Убедитесь, что все исправления безопасности применены
• Минимизируйте службы, которые работают
• Используйте URLScan . Удалить отпечаток сервера (RemoveServerHeader = 1).
• Harden TCP / IP стек
• Примените политику IPSEC, чтобы разрешить только трафик, который мы хотим (белый список)
• Переименуйте учетные записи по умолчанию, чтобы на них можно было ориентироваться с помощью типовых сценариев / инструментов.
• Переместить каталоги по умолчанию (InetPub, WWWRoot и т. Д.)
• Минимизируйте локальные учетные записи пользователей.
• Все NetBIOS удалены или отключены.

• Добавьте учетные записи пользователей для каждого человека, который будет администрировать компьютер
• Настройте терминальные службы, чтобы разрешить каждому пользователю только один одновременный вход
• Добавьте альтернативные учетные записи администратора, которые используются только в том случае, если runas не подходит для данного пользователя

-Адам

Вы можете пожелать;

• Отключить SSL 2 (исправить использование устаревшего протокола SSL)
• Провести оценку уязвимости сети

Если это так, я написал подробную статью о том, как : Отключите SSL2 и слабые шифры на IIS6, на которую, возможно, стоит взглянуть.

В этой статье рассматриваются вопросы соответствия требованиям безопасности, установленным отраслью платежных карт, но она по-прежнему актуальна для общей защиты серверов.

Так что теперь, чтобы исправить использование устаревшего протокола SSL, вы должны либо прочитать сказанное Howto: Отключите статью SSL2 и Weak Ciphers для пошаговых инструкций, либо прочитать статью поддержки MS # 187498, и вы можете использовать ServerSniff, чтобы подтвердить, что ваши изменения вступили в силу.

ps Действительно, вы также можете использовать ServerSniff для подтверждения изменений, упомянутых в ответе Скотта.

В дополнение к уже упомянутым вещам я отключаю слабые шифры SSL.

РЕДАКТИРОВАТЬ: я нашел пошаговые инструкции, которые я написал несколько лет назад.

1. Нажмите Пуск, нажмите Выполнить, введите regedt32 или введите regedit, а затем нажмите кнопку ОК.
2. В редакторе реестра найдите следующий раздел реестра: HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL
3. Выполните шаги с 4 по 8 для следующих клавиш: a. Шифры \ DES 56/56 б. Шифры \ RC2 40/128 c. Шифры \ RC4 40/128 d. Шифры \ RC4 56/128 e. Протоколы \ SSL 2.0 \ Клиент ф. Протоколы \ SSL 2.0 \ Сервер
4. В меню «Правка» выберите «Добавить значение».
5. В списке Тип данных выберите DWORD.
6. В поле Имя значения введите Включено и нажмите кнопку ОК.
7. Введите 00000000 в двоичном редакторе, чтобы установить значение нового ключа равным «0».
8. Нажмите ОК.
9. Когда вы закончите изменять реестр, перезагрузите компьютер.

Если возможно, начните с Windows 2003 SP1 Server и убедитесь, что встроенный брандмауэр включен, если у вас нет сетевого брандмауэра для его защиты.

Убедитесь, что следующие порты открыты, если вы настроили брандмауэр: - 3389: удаленный рабочий стол (RDP) - 80: HTTP

Необязательно: - 443: HTTPS (необязательно) - 25: SMTP - 110: Pop3

Утилиты:

• Блокнот ++ (отличный редактор) - бесплатно
• 7-Zip (обрабатывает zip, arc и другие сжатые файлы) - бесплатно
• Beyond Compare v3 (сравнение файлов и FTP) - $, но не намного
• Управление базами данных