Коли ви розгортаєте нове вікно веб-сервера, які стандартні речі ви встановите на ньому та зробите для їх налаштування?

Що ви робите для того, щоб ящик був заблокований і не зірвався?

Так далеко:

Загальні

• Застосовувати патчі безпеки тощо
• Запустіть аналізатор безпеки базової лінії Microsfot (MBSA)
• Відключити слабкі алгоритми шифрування - Скотт , також дивіться статтю Девіда Крістіана та сайт serveniff.com

Мережа

• Harden TCP / IP стек - К. Брайан Келлі
• Білий список трафіку з політикою IPSEC
• Усі NetBIOS видалено або вимкнено
• Помістіть веб-сервер у робочу групу (не дозволено бути у домені)
• Використовуйте DMZ

IIS

• Встановити UrlScan
• Запустіть блокування IIS

Пов'язані статті

• ASP.net контрольний список виробництва
• Що повинен знати розробник, перш ніж створити загальнодоступний веб-сайт

Що ми робимо:

• Покладіть веб-сервер у DMZ
• Помістіть веб-сервер у робочу групу (не дозволено бути у домені)
• Переконайтеся, що застосовані всі виправлення безпеки
• Мінімізуйте запущені послуги
• Використовуйте URL-скан . Видаліть відбиток сервера (RemoveServerHeader = 1).
• Затвердити стек TCP / IP
• Застосовуйте політику IPSEC, щоб дозволити лише потрібний трафік (білий список)
• Перейменуйте облікові записи за замовчуванням, щоб на них можна було націлити типові сценарії / інструменти.
• Переміщення каталогів за замовчуванням (InetPub, WWWRoot тощо)
• Мінімізуйте облікові записи місцевих користувачів.
• Усі NetBIOS видалено або вимкнено.

• Додайте облікові записи користувачів для кожної особи, яка буде адмініструвати комп'ютер
• Налаштуйте сервіси терміналів, щоб дозволити кожному користувачеві лише один паралельний знак
• Додайте альтернативні облікові записи адміністратора, які використовуються лише в тому випадку, якщо руна не відповідає цілі для певного користувача

-Адам

Ви можете побажати;

• Вимкнути SSL 2 (виправити використання амортизованого протоколу SSL)
• Виконайте оцінку вразливості мережі

Якщо так, я написав докладну статтю про Howto: Відключення SSL2 та слабких шифрів на IIS6, яку, можливо, варто переглянути.

Ця стаття розглядає речі з точки зору задоволення вимог безпеки, встановлених індустрією платіжних карток, але все ще має відношення до загального загартування сервера.

Отже, щоб виправити використання амортизованого протоколу SSL, вам слід прочитати згадану статтю Howto: Відключити SSL2 та слабкі шифри для покрокових інструкцій АБО читати статтю підтримки MS 187498, і ви можете використовувати ServerSniff для підтвердження внесення змін.

ps Дійсно, ви також можете використовувати ServerSniff для підтвердження змін, зазначених у відповіді Скотта.

Крім речей, про які вже говорилося, я відключаю слабкі шифри SSL.

EDIT: Я знайшов покрокову інструкцію, яку написав кілька років тому.

1. Натисніть кнопку Пуск, виберіть команду Виконати, введіть regedt32 або введіть regedit, а потім натисніть кнопку ОК.
2. У Редакторі реєстру знайдіть такий ключ реєстру: HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL
3. Виконайте кроки 4 через 8 для наступних клавіш: a. Шифри \ DES 56/56 b. Шифри \ RC2 40/128 c. Шифри \ RC4 40/128 д. Шифри \ RC4 56/128 е. Протоколи \ SSL 2.0 \ Клієнт f. Протоколи \ SSL 2.0 \ Сервер
4. У меню Правка натисніть Додати значення.
5. У списку Тип даних натисніть DWORD.
6. У полі Ім'я значення введіть Увімкнено та натисніть кнопку ОК.
7. Введіть 00000000 в Binary Editor, щоб встановити значення нового ключа, рівне "0".
8. Натисніть кнопку ОК.
9. Після завершення зміни реєстру перезавантажте комп'ютер.

Якщо можливо, почніть з сервера Windows 2003 SP1 і переконайтесь, що вбудований брандмауер увімкнено, якщо у вас немає мережевого брандмауера для його захисту.

Переконайтеся, що наступні порти відкриті, якщо ви налаштовуєте брандмауер: - 3389: Віддалений робочий стіл (RDP) - 80: HTTP

Додатково: - 443: HTTPS (необов’язково) - 25: SMTP - 110: Pop3

Утиліти:

• Блокнот ++ (все навколо чудового редактора) - безкоштовно
• 7-Zip (обробляє zip, дугу та інші стислі файли) - безкоштовно
• Більше Порівняння v3 (порівняння файлів та FTP) - $, але не дуже
• Управління базами даних