Wenn Sie eine neue Webserver-Box bereitstellen, was sind die Standardsachen, die Sie darauf installieren und zum Einrichten ausführen?

Was tun Sie, um sicherzustellen, dass die Box gesperrt ist und keine Kompromisse eingeht?

Bisher:

Allgemeines

• Anwenden von Sicherheitspatches usw
• Führen Sie den Microsfot Baseline Security Analyzer (MBSA) aus.
• Deaktivieren schwachen Verschlüsselungsalgorithmen - Scott , siehe auch David Christiansen Artikel und die serversniff.com Website

Netzwerk

• TCP / IP-Stack härten - K. Brian Kelley
• Whitelist- Verkehr mit einer IPSEC-Richtlinie
• Alles NetBIOS wird entfernt oder deaktiviert
• Webserver in eine Arbeitsgruppe stellen (darf sich nicht in einer Domäne befinden)
• Verwenden Sie eine DMZ

IIS

• Installieren Sie UrlScan
• Führen Sie die IIS-Sperre aus

In Verbindung stehende Artikel

• ASP.net-Produktionscheckliste
• Was sollte ein Entwickler wissen, bevor er eine öffentliche Website erstellt?

Was wir tun:

• Setzen Sie den Webserver in die DMZ
• Webserver in eine Arbeitsgruppe stellen (darf sich nicht in einer Domäne befinden)
• Stellen Sie sicher, dass alle Sicherheitspatches angewendet werden
• Minimieren Sie ausgeführte Dienste
• Verwenden Sie URLScan . Serverfingerabdruck entfernen (RemoveServerHeader = 1).
• TCP / IP-Stapel sichern
• Wenden Sie die IPSEC-Richtlinie an, um nur den von uns gewünschten Datenverkehr zuzulassen (Whitelisting).
• Benennen Sie die Standardkonten um, damit typische Skripte / Tools auf sie zugreifen können.
• Standardverzeichnisse verschieben (InetPub, WWWRoot usw.)
• Minimieren Sie lokale Benutzerkonten.
• Alles NetBIOS wird entfernt oder deaktiviert.

• Fügen Sie Benutzerkonten für jede Person hinzu, die den Computer verwalten wird
• Konfigurieren Sie die Terminaldienste so, dass sich jeder Benutzer nur einmal gleichzeitig anmeldet
• Fügen Sie alternative Administrationskonten hinzu, die nur verwendet werden, wenn Runas für einen bestimmten Benutzer nicht den Zweck erfüllen

-Adam

Sie möchten vielleicht;

• SSL 2 deaktivieren (veraltete SSL-Protokollnutzung korrigieren)
• Führen Sie eine Bewertung der Netzwerkanfälligkeit durch

Wenn ja, schrieb ich einen ausführlichen Artikel über Howto: Deaktivieren von SSL2 und schwachen Chiffren auf IIS6, der einen Blick wert sein könnte.

Dieser Artikel behandelt die Sicherheitsanforderungen der Payment Card Industry, ist jedoch weiterhin relevant für die allgemeine Server-Absicherung.

Um die veraltete Verwendung des SSL-Protokolls zu beheben, lesen Sie entweder den Artikel " Howto: SSL2 und schwache Verschlüsselungen deaktivieren" mit schrittweisen Anweisungen, ODER lesen Sie den MS Support-Artikel Nr. 187498, und verwenden Sie ServerSniff , um zu bestätigen, dass Ihre Änderungen wirksam wurden.

ps Tatsächlich könnten Sie auch ServerSniff verwenden, um die in Scotts Antwort erwähnten Änderungen zu bestätigen.

Zusätzlich zu den bereits erwähnten Dingen deaktiviere ich schwache SSL-Verschlüsselungen.

EDIT: Ich habe die Schritt-für-Schritt-Anleitung gefunden, die ich vor ein paar Jahren geschrieben habe.

1. Klicken Sie auf Start, klicken Sie auf Ausführen, geben Sie Regedt32 oder Regedit ein, und klicken Sie dann auf OK.
2. Suchen Sie im Registrierungseditor den folgenden Registrierungsschlüssel: HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL
3. Führen Sie die Schritte 4 bis 8 für die folgenden Tasten aus: a. Chiffren \ DES 56/56 b. Chiffren \ RC2 40/128 c. Chiffren \ RC4 40/128 d. Chiffren \ RC4 56/128 e. Protokolle \ SSL 2.0 \ Client f. Protokolle \ SSL 2.0 \ Server
4. Klicken Sie im Menü Bearbeiten auf Wert hinzufügen.
5. Klicken Sie in der Liste Datentyp auf DWORD.
6. Geben Sie in das Feld Wertname Aktiviert und klicken Sie dann auf OK.
7. Geben Sie 00000000 im Binäreditor ein, um den Wert des neuen Schlüssels auf "0" zu setzen.
8. OK klicken.
9. Nachdem Sie die Registrierung geändert haben, starten Sie den Computer neu.

Starten Sie nach Möglichkeit Windows 2003 SP1 Server und stellen Sie sicher, dass die integrierte Firewall aktiviert ist, es sei denn, Sie verfügen über eine Netzwerkfirewall, um sie zu schützen.

Stellen Sie sicher, dass die folgenden Ports geöffnet sind, wenn Sie die Firewall einrichten: - 3389: Remote Desktop (RDP) - 80: HTTP

Optional: - 443: HTTPS (optional) - 25: SMTP - 110: Pop3

Dienstprogramme:

• Notepad ++ (rundum toller Editor) - kostenlos
• 7-Zip (verarbeitet Zip-, Arc- und andere komprimierte Dateien) - kostenlos
• Beyond Compare v3 (Dateivergleich und FTP) - $ aber nicht viel
• Datenbankmanagement