Yeni bir web sunucusu kutusu dağıtırken, üzerine yüklediğiniz ve kurmak için standart şeyler nelerdir?

Kutunun kilitli olduğundan ve tehlikeye girmeyeceğinden emin olmak için ne yapıyorsunuz?

Şimdiye kadar:

Genel

• Güvenlik yamaları vb. Uygulayın
• Microsfot Baseline Security Analyzer'ı (MBSA) çalıştırın
• Zayıf şifreleme algoritmalarını devre dışı bırakın - Scott , ayrıca David Christiansen'in makalesine ve serversniff.com sitesine bakın

Ağ

• Sertleştirici TCP / IP yığını - K. Brian Kelley
• IPSEC ilkesiyle beyaz liste trafiği
• Tüm NetBIOS kaldırıldı veya devre dışı bırakıldı
• Web sunucusunu bir çalışma grubuna yerleştirin (etki alanında olmasına izin verilmez)
• DMZ kullanın

IIS

• UrlScan'ı yükle
• IIS kilidini çalıştır

İlgili Makaleler

• ASP.net üretim kontrol listesi
• Bir geliştirici herkese açık bir web sitesi oluşturmadan önce ne bilmelidir?

Neler Yapıyoruz:

• Web sunucusunu DMZ'ye koy
• Web sunucusunu bir çalışma grubuna yerleştirin (etki alanında olmasına izin verilmez)
• Tüm güvenlik yamalarının uygulandığından emin olun
• Çalışan hizmetleri en aza indirin
• URLScan kullanın . Sunucu parmak izini kaldırın (RemoveServerHeader = 1).
• Sertleştirilmiş TCP / IP yığını
• Yalnızca istediğimiz trafiğe izin vermek için IPSEC ilkesini uygulayın (beyaz liste)
• Varsayılan hesapları, tipik komut dosyaları / araçlar tarafından hedeflenebilecek şekilde yeniden adlandırın.
• Varsayılan dizinleri taşıma (InetPub, WWWRoot vb.)
• Yerel kullanıcı hesaplarını en aza indirin.
• Tüm NetBIOS kaldırıldı veya devre dışı bırakıldı.

• Bilgisayarı yönetecek her kişi için kullanıcı hesapları ekleyin
• Terminal hizmetlerini her kullanıcının yalnızca bir eşzamanlı oturum açmasına izin verecek şekilde yapılandırın
• Yalnızca runas belirli bir kullanıcının amacına hizmet etmiyorsa kullanılan alternatif yönetim hesapları ekleyin

-Adam

Siz isteyebilirsiniz;

• SSL 2'yi devre dışı bırak (amortismana tabi SSL protokolü kullanımını düzeltin)
• Ağ güvenlik açığı değerlendirmesi yapma

Eğer öyleyse, IIS6'da Nasıl Yapılır: SSL2 ve Zayıf Şifreleri Devre Dışı Bırakma hakkında ayrıntılı bir makale yazdım .

Bu makale, Ödeme Kartı Endüstrisi tarafından belirlenen güvenlik gereksinimlerini karşılama açısından bakmaktadır, ancak yine de genel sunucu sağlamlaştırma ile ilgilidir.

Şimdi, amortismanlı SSL protokolü kullanımını düzeltmek için, adım adım talimatlar için ya " SSL2 ve Zayıf Şifreleri Devre Dışı Bırak" makalelerini okumanız ya da MS Destek Makalesi # 187498'i okumalısınız ve değişikliklerinizin geçerli olduğunu onaylamak için ServerSniff'i kullanabilirsiniz .

ps Gerçekten de Scott'ın cevabında belirtilen değişiklikleri onaylamak için ServerSniff kullanabilirsiniz.

Bahsedilenlere ek olarak, zayıf SSL şifrelerini devre dışı bırakıyorum.

EDIT: Birkaç yıl önce yazdığım adım adım talimatları buldum.

1. Başlat'ı tıklatın, Çalıştır'ı tıklatın, regedt32 yazın veya regedit yazın ve Tamam'ı tıklatın.
2. Kayıt Defteri Düzenleyicisi'nde, aşağıdaki kayıt defteri anahtarını bulun: HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL
3. Aşağıdaki tuşlar için 4 - 8 arasındaki adımları uygulayın: a. Şifreler \ DES 56/56 b. Şifreler \ RC2 40/128 c. Şifreler \ RC4 40/128 d. Şifreler \ RC4 56/128 e. Protokoller \ SSL 2.0 \ İstemci f. Protokoller \ SSL 2.0 \ Sunucu
4. Düzen menüsünde Değer Ekle'yi tıklatın.
5. Veri türü listesinde DWORD'ı tıklatın.
6. Değer adı </a0> kutusunda, Etkin yazın ve Tamam 'ı tıklatın.
7. Yeni anahtarın değerini “0” a eşitlemek için Binary Editor'a 00000000 yazın.
8. Tamam'ı tıklayın.
9. Kayıt defterini değiştirmeyi tamamladığınızda, bilgisayarı yeniden başlatın.

Mümkünse, Windows 2003 SP1 Server ile başlayın ve korumak için bir ağ güvenlik duvarınız yoksa yerleşik güvenlik duvarının açık olduğundan emin olun.

Güvenlik duvarını kurarsanız aşağıdaki bağlantı noktalarının açık olduğundan emin olun: - 3389: Uzak Masaüstü (RDP) - 80: HTTP

İsteğe bağlı: - 443: HTTPS (isteğe bağlı) - 25: SMTP - 110: Pop3

Araçlar:

• Notepad ++ (her yerde harika editör) - ücretsiz
• 7-Zip (zip, arc ve diğer sıkıştırılmış dosyaları işler) - ücretsiz
• Beyond Compare v3 (dosya karşılaştırma ve FTP) - $ ama fazla değil
• Veritabanı Yönetimi