1 / 11

Hardening IIS

Łukasz Tomaszkiewicz luktom@vsecure.pl +48 604 132 518. Hardening IIS. 22 maja 2012. Aktualność systemu i jego konfiguracja. Demo – Baseline Security Analyzer BSA do pobrania z: http://www.microsoft.com/en-us/download/details.aspx?id=7558 Demo – Web Application Configuration Analyzer

thane-whitney
Download Presentation

Hardening IIS

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. Łukasz Tomaszkiewicz luktom@vsecure.pl +48 604 132 518 Hardening IIS 22 maja 2012

  2. Aktualność systemu i jego konfiguracja • Demo – Baseline Security Analyzer • BSA do pobrania z: http://www.microsoft.com/en-us/download/details.aspx?id=7558 • Demo – Web Application Configuration Analyzer • WACA do pobrania z:http://www.microsoft.com/en-us/download/details.aspx?id=573

  3. Komponenty IIS • Mniej komponentów = mniej miejsc w których mogą wystąpić podatności • Dawniej: IIS Lockdown • Obecnie: Server Manager • Demo

  4. Bezpieczeństwo adresów • Moduł Request Filtering • Demo

  5. URLScan • Podstawowa funkcjonalność: blokowanie nieprawidłowych URLi • Nie zastąpi WAFa! • Moduł Request Filtering przejął dużo funkcji od URLScan-a, ale nie wszystkie – np. ukrywanie informacji o serwerze • Do pobrania z:http://www.microsoft.com/en-us/download/details.aspx?id=5728

  6. Limitowanie ilości połączeń • Moduł Dynamic IP Restrictions • Demo

  7. Application Pools • Dobre praktyki • Pula per witryna • Używanie Application Pool Identity • Application Pool Identity a uprawnienia systemu plików • Application Pool Identity a połączenia do SQL Servera

  8. Bezpieczeństwo systemu plików • Dobre praktyki • Osobna partycja • Oczywiście NTFS • Restrykcyjne uprawnienia do plików • Używanie Application Pool Identity

  9. Mocne szyfrowanie SSL/TLS • „Magiczne” klucze: • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 56/56]"Enabled"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\NULL]"Enabled"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 40/128]"Enabled"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 56/128]"Enabled"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128]"Enabled"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128]"Enabled"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 64/128]"Enabled"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0\Server]"Enabled"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]"Enabled"=dword:00000000 • Weryfikacja używanego szyfrowania

  10. Certyfikaty • Problemy z self-signed certyfikatami • Własne CA – problem? • Demo programu XCA

  11. Q&A • Łukasz Tomaszkiewicz • luktom@vsecure.pl

More Related