Este artigo foi traduzido por máquina. Para visualizar o arquivo em inglês, marque a caixa de seleção Inglês. Você também pode exibir o texto Em inglês em uma janela pop-up, movendo o ponteiro do mouse sobre o texto.
Tradução
Inglês

Práticas recomendadas de segurança para o IIS 8

 

Aplica-se a: Windows Server 2012 R2, Windows Server 2012

Este documento contém uma lista de recomendações para melhorar a segurança de suaIIS 8servidor web. Enquanto seguir essas recomendações não garante a liberdade de problemas de segurança, essas recomendações podem reduzir significativamente o risco.

As recomendações são agrupados, as seguintes categorias:

  • Não execute o IIS em um controlador de domínio ou um controlador de domínio de backup.

    Em primeiro lugar, não há nenhuma conta local em um controlador de domínio. Contas locais são importantes para a segurança de várias instalações do servidor IIS. Colocar um servidor web IIS e o controlador de domínio no mesmo computador seriamente limita suas opções de conta de segurança. Em segundo lugar, qualquer nova vulnerabilidade que acaba comprometendo a seu servidor web também poderá comprometer toda a rede quando o servidor web e o controlador de domínio estão no mesmo computador.

  • Instale somente os módulos do IIS que é necessário.

    IIS 8é composto de mais de 40 módulos, que permitem que você adicione os módulos necessários e remova todos os módulos que não é necessário. Se você instalar somente os módulos que você precisa, você pode reduzir a área de superfície que é exposta a ataques potenciais.

  • Remova periodicamente manipuladores e módulos não utilizados ou indesejados.

    Procure manipuladores e módulos que você já não utiliza e remová-os da sua instalação do IIS. Se esforçar para manter sua área de superfície do IIS o menor possível.
     

  • Para instalações de alto volume de IIS, execute outros produtos de uso intensivo de recursos como o SQL Server ou Exchange em computadores separados.

  • Mantê-lo um software antivírus atualizado.

    Instalar e executar a versão mais recente do software antivírus no servidor.

  • Mova oInetpubpasta da unidade do sistema para uma unidade diferente.

    Por padrãoIIS 8configura oInetpubpasta na unidade do sistema (geralmente a unidade C). Se você mover a pasta para uma partição diferente, você pode economizar espaço na unidade do sistema e melhorar a segurança. Para obter informações sobre como oInetpubpasta, consulte a postagem de blog a seguir: Movendo a pasta INETPUB para outra unidade de.

  • Isole aplicativos da web.

    Aplicativos diferentes separados em diferentes sites com diferentes pools de aplicativos.

  • Implemente o princípio de privilégio mínimo.

    Execute o processo de trabalho como uma identidade de com privilégios baixa (identidade do pool de aplicativos virtuais) exclusivo por site.

  • Isole as pastas temporárias do ASP.NET.

    Configurar uma pasta temporária do ASP.NET separada por site e conceda acesso somente a identidade de processo apropriada.

  • Isole o conteúdo.

    Certifique-se de definir uma ACL (lista de controle de acesso) em cada raiz do site para permitir o acesso somente para a identidade do processo apropriado.

  • Se você usar a autenticação do Windows, ative a proteção estendida.

    Proteção estendida protege contra phishing e retransmissão de credencial ataques ao usar a autenticação do Windows. Para obter mais informações sobre proteção estendida e como ativá-lo no IIS, consulteConfigurar proteção estendida no IIS 7.5.

  • Lembre-se de configurar a autenticação anônima junto com outro tipo de autenticação para o mesmo site pode causar problemas de autenticação.

    Se você configurar a autenticação anônima e outro tipo de autenticação, o resultado é determinado pela ordem na qual executar os módulos. Por exemplo, se a autenticação anônima e autenticação do Windows são autenticação configurada e anônima é executado pela primeira vez, nunca executa a autenticação do Windows.

  • Desabilite o acesso anônimo para pastas de servidor e recursos.

    Quando você deseja conceder a um usuário o acesso a diretórios de servidor e recursos, use um método de autenticação que não seja anônimo.

  • Não permita gravações anônimas para o servidor.

    Autentica o usuário com um método que não seja anônimo antes de permitir que o usuário carregar nada no site ou site FTP.

  • Certifique-se de que as regras de filtragem de solicitação estão habilitadas.

    Filtros de restringem os tipos de solicitações HTTP de solicitação queIIS 8processos. Ao bloquear solicitações HTTP específicas, solicite filtros ajudam a impedir que solicitações possivelmente perigosas atinjam o servidor. O módulo de filtro de solicitação verifica as solicitações de entrada e rejeita solicitações que são indesejadas com base nas regras que você configurar. Sites e sites FTP devem ter a proteção de filtro solicitação regras fornecem. Para obter mais informações sobre filtragem, consulteConfigurar a filtragem de solicitações no IIS.

  • Certifique-se de que os limites de solicitação são definidos valores razoáveis.

    Pense cuidadosamente sobre os valores que você atribui a parâmetros de configuração. Por exemplo, certifique-se de que um valor limite superior é maior do que um valor de limite inferior. Caso contrário, o filtro nunca pode disparar.

  • Não use as identidades de serviço interno (como sistema Local, serviço Local ou serviço de rede).

    Para obter segurança máxima, pools de aplicativos devem ser executado sob a identidade do pool de aplicativos que é gerada quando o pool de aplicativos é criado. As contas que são incorporadas no IIS são ApplicationPoolIdentity e LocalSystem, LocalService e NetworkService. O padrão (recomendado) e mais seguro é ApplicationPoolIdentity.

  • Usando uma conta de identidade personalizada é aceitável, mas certifique-se de usar uma conta diferente para cada pool de aplicativos.

  • Faça backups periódicos do servidor IIS.

    Faça um backup de estado do sistema diariamente ou dois. Além disso, faça isso antes de principais upgrades de software ou alterações de configuração.

  • Limite as permissões concedidas a não-administradores.

    Procure as pastas que não administradores têm permissões de gravação e permissões de execução de script para e remover as permissões.

  • Ativar o SSL e manter certificados SSL.

    Renovar o certificado ou escolha um novo certificado para o site. Um certificado expirado se torna inválido e pode impedir que os usuários acessem seu site.

  • Use SSL ao usar a autenticação básica.

    Usar a autenticação básica com uma associação SSL e verifique se o site ou aplicativo está configurado para exigir SSL. Como alternativa, use um método de autenticação diferente. Se você usar autenticação básica sem SSL, as credenciais são enviadas em texto não criptografado que pode ser interceptado por código mal-intencionado. Se você quiser continuar usando a autenticação básica, você precisa verificar as ligações do site para certificar-se de que uma associação de HTTPS está disponível para o site e, em seguida, configurar o site para exigir SSL.

  • Quando você definir regras de delegação de recurso, não criar regras que são mais permissivas do que os padrões.

  • Para um aplicativo ASP clássico, desative o modo de depuração.

Mostrar: