IIS e SQLServer Hardening

8

Per farla breve: sono un ingegnere che fa sviluppo, non amministrazione. Non ho accesso diretto al server di produzione, quindi posso solo dire al team di amministrazione le migliori configurazioni per la sicurezza. Tuttavia, come tutti sapete, non è semplice come una lista di controllo, perché è necessario scavare più a fondo e incorporare la configurazione molto bene con la logica dell'applicazione. Tuttavia, al momento sono solo in grado di dare loro checklist di configurazione, non posso dare loro linee guida, ho bisogno di dare loro cose specifiche, quindi avrei bisogno di usare qualche ... checklist.

Dove posso trovare un elenco completo di configurazione per IIS e SQLserver e le macchine su cui devono risiedere (macchine separate, ovviamente) e che tipo di servizi eseguire, porte da aprire ... ecc.

    
posta Orca 26.02.2011 - 19:45
fonte

3 risposte

8

Il Center for Internet Security Benchmark tende ad essere il mio punto di riferimento per i consigli sull'indurimento . Ovviamente, dovranno essere adattati al tuo ambiente, ma li ho trovati abbastanza generici e facilmente modificabili. Nella pagina di download collegata troverai sia i documenti IIS che SQL Server.

Per quanto riguarda l'altra metà della tua domanda, sembra che tu stia chiedendo ulteriori consigli sull'indurimento sul sistema operativo sottostante. In tal caso, consulta questa domanda come punto di partenza: Windows Hardening . Se ciò non si adatta alle tue esigenze, ti suggerirei di formulare una domanda separata specificamente su quell'argomento.

Mentre l'hardening dei livelli sottostanti è buono, devi anche preoccuparti delle applicazioni web. Le metriche che ho visto sembrano indicare che i compromessi si stanno allontanando dal sistema operativo e dai server e si concentrano sulle stesse app Web. Quindi non dimenticare di esaminare anche quello.

    
risposta data 26.02.2011 - 20:44
fonte
4

Un'altra buona risorsa può essere trovata nel repository del NIS National Checklist Program . Sono disponibili qui alcune linee di base generate con lo strumento di gestione della conformità di MS Security che può essere utilizzato per misurare rapidamente e facilmente una determinata configurazione rispetto alle loro linee di base. Esistono linee di base per molti tecnici MS differenti.

Se l'automazione è preziosa per te, credo che lo strumento automatizzato per il controllo rispetto ai benchmark CIS possa essere disponibile solo per i membri che hanno pagato delle commissioni piuttosto significative.

    
risposta data 01.03.2011 - 22:44
fonte
0

Il link è un documento buono e molto esteso.

    
risposta data 28.11.2012 - 11:16
fonte

Leggi altre domande sui tag