S ÉCURISER IIS 8.5 Commerce électronique. P LAN Recommandation sur la sécurité d’un serveur Web (Best practices) Configuration d’un serveur IIS 8.5 sur.

Présentation au sujet: "S ÉCURISER IIS 8.5 Commerce électronique. P LAN Recommandation sur la sécurité d’un serveur Web (Best practices) Configuration d’un serveur IIS 8.5 sur."— Transcription de la présentation:

1 S ÉCURISER IIS 8.5 Commerce électronique

2 P LAN Recommandation sur la sécurité d’un serveur Web (Best practices) Configuration d’un serveur IIS 8.5 sur Windows Server 2012 Utilitaires Publier votre solution vers le serveur IIS

3 R ECOMMANDATION SUR LA SÉCURITÉ D ’ UN SERVEUR (W EB ) Trop c’est comme pas assez! Pour éviter les problèmes, on désactive ce dont ont a pas besoin et on utilise nos propres éléments.

4 R ECOMMANDATIONS : I NSTALLATION ET CONFIGURATION Si possible, utiliser un serveur seulement pour IIS. Installer un serveur SQL sur un serveur séparé. Conserver votre antivirus et votre serveur à jour Utiliser une partition différente et des noms de répertoires différents pour stocker votre site Internet Le par défaut c’est pour les communs

5 R ECOMMANDATIONS Instaurer des comptes administrateurs avec des mots de passe forts. Fermer tous les services non utilisés comme FTP, SMTP et autres qui présentent des portes d’entrées accessibles. « Tant qu’un service ou composant n’est pas explicitement utilisé, il ne doit pas être présent sur le système ».

6 R ECOMMANDATIONS : I SOLER VOTRE SERVEUR Afin d’isoler les différentes sites Web et services Web, il est possible de créer des pools d’applications. Chaque pool d’applications possèdera un (ou au moins un) processus dit de travail, qui traitera les requêtes à destination des sites du pool d’applications. L’exécution dans des processus indépendants assure, en cas de défaillance d’un processus d’un pool, la continuité des services fournis par les autres pools. Permettre l’accès au pool d’application avec un utilisateur pour ce pool. Bien définir les droits d’accès sur les répertoires…et la racine.

7 R ECOMMANDATIONS De même, supprimer le compte anonyme et en recréer un avec un nom particulier, limiter ses droits suivant l’usage et par répertoires (Lecture, Exécution, Ecriture, Affichage du contenu du dossier, etc …). Supprimer les pages d’exemple, les documentations inhérentes à chaque service installé et les répertoires virtuels pointant vers ces fichiers. Il faudra de même « banaliser » les pages de messages d’erreurs (HTTP erreur 401, etc …) afin de donner le moins d’informations possibles aux visiteurs. Désactiver les messages de debug de.Net

8 R ECOMMANDATIONS Utiliser, quand c’est nécessaire, le cryptage SSL. SSL (443) ne protège que le contenu des données et n’empêche pas les intrusions. Veiller à reconfigurer les serveurs pour que les répertoires temporaires, qui servent par exemple à la décompression de fichiers, ne soient pas sur les partitions systèmes. Supprimer les filtres ISAPI et les Mapping superflus et non utilisées.

9 R ECOMMANDATION SUR LA SÉCURITÉ D ’ UN SERVEUR (W EB ) Créer des répertoires spécifiques pour chaque usage de fichiers ex : Répertoire Images, un Répertoire pages dynamiques, un Répertoire pages statiques, etc... N’autoriser les permissions de ces répertoires qu’en fonction de l’utilisation des fichiers. On pourrait aussi retirer toutes les commandes exécutables comme telnet.exe etc … des partitions systèmes ce qui reste, malgré tout, assez lourd à gérer. Il sera plus judicieux de désactiver l’appel au Shell de commande avec la base de registre : \HKLM\CurrentControlSet\Services\W3SVC\Para meters\SSIEnableCmdDirective à zéro ou de désactiver toutes les extensions ISAPI faisant référence aux fichiers.EXE. dans le cadre d’un serveur Microsoft.

10 C ONFIGURATION D ’ UN SERVEUR IIS Allons nous amuser! à vos VM près partez!

11 U TILITAIRE MBSA (http://www.microsoft.com/france/securite/outils/ mbsa.aspx)http://www.microsoft.com/france/securite/outils/ mbsa.aspx Microsoft Baseline Security Analyzer, ou MBSA, est un outil Microsoft destiné à analyser les failles de sécurité de votre serveur.

12 U TILITAIRE UrlScan ( http://technet.microsoft.com/en- us/security/cc242650.aspx) UrlScan est un utilitaire de filtre Isapi inclus dans IISlockdown qui analyse les données entrantes du serveur. UrlScan analyse toutes les données entrantes par rapport à un fichier de configuration UrlScan.ini.

13 P OUR ALLER PLUS LOIN … 1. General Ne pas connecter le serveur à l’internet tant qu’il n’est pas complètement sécurisé. Placer le serveur dans un endroit sécuritaire Utiliser un serveur distinct pour le serveur IIS Ne pas installer d’imprimante Installer les services packs, les patches et les hot fixes. Exécuter IISLockdown sur le serveur. Installer and configurer URLScan. Securiser l’accès d’administration à distance avec l’encryption et des time-outs de session. Désactiver les services non-utilisés. Vérifier que les service utilisé sont exécutés avec un minimum de privilège. Désactiver les services FTP, SMTP s’ils ne sont pas requis. Désactiver le service Telnet. Ne pas installer MS Index Server ou MS FrontPage Server extensions à moins que ce soit resquis. Désactiver le NetBIOS and SMB (fermer les ports 137, 138, 139 and 445).

14 P OUR ALLER PLUS LOIN … 2. Accounts a. Supprimer les comptes qui ne sont pas utilisés b. Suprimer l’account Invité c. Renommer le compte de l’administrateur et lui donner un mot de passe fort. d. Désactiver le compte IUSR_MACHINE application. e. Créer un compte personnalisé pour l’accès anonyme à l’application. Ne pas donner d’accès d’écriture au compte anonyme. Bloquer l’accès à l’exécution de ligne de commande. Créer un utilisateur anonyme pour chacun des sites Web. Utiliser une politique de mot de passe fort. Enlever l’accès à distance pour le groupe “Everyone” Ne pas créer plus de deux utilisateurs dans le groupe administrateur

15 P OUR ALLER PLUS LOIN … 3. Files and Directories Utiliser une partition NTFS différente du système d’exploitation pour les répertoires du serveur Web Désactiver le Site Web par défaut et créer un nouveau site. Mettre les fichiers de logue sur une partition NTFS différente du système d’exploitation Restreindre l’accès du groupe “Everyone” (pas d’accès à \WINNT\system32 ou les répertoires Web). Enlever l’application d’administration à distance de IIS (\WINNT\System32\Inetsrv\IISAdmin). Enlever les application d’exemples (\WINNT\Help\IISHelp, \Inetpub\IISSamples).

16 P OUR ALLER PLUS LOIN … 4. Shares a. Remove all unnecessary shares (including default administration shares). b. Restrict access to required shares (the Everyone group does not have access). c. Remove Administrative shares (C$ and Admin$) if they are not required (Microsoft Management Server (SMS) and Microsoft Operations Manager (MOM) require these shares). d. Ports i. Restrict Internet-facing interfaces to port 80 (and 443 if SSL is used). ii. Encrypt Intranet traffic (for example, with SSL), or restrict Internet traffic iii. if you do not have a secure data center infrastructure. 5. Registry a. Restrict remote registry access. b. Secure SAM (HKLM\System\CurrentControlSet\Control\LSA\NoLMHash). This applies only to standalone servers. c. Auditing and Logging i. Audit failed logon attempts. ii. Relocate and secure IIS log files. iii. Configure log files with an appropriate file size depending on the application security requirement. iv. Regularly archive and analyze log files. v. Audit access to the Metabase.bin file. vi. Configure IIS for W3C Extended log file format auditing. vii. Read How to use SQL Server to analyze Web logs at support.microsoft.com

17 P OUR ALLER PLUS LOIN … 6. Sites et répertoire Virtual Directories Mettre le site Internet sur une partition NTFS différent du système d’exploitation. Supprimer les répertoires non-nécessaire (IISSamples, IISAdmin, IISHelp,Scripts, etc.). Ne pas permettre l’accès en lecture aux sous-répertoire si ce n’est pas nécesaire Ne pas permettre l’accès en écriture et exécution pour les comptes anonymes. S’assurer que le code source des scripts sont dans un répertoire protégé. S’assurer que l’accès en écriture est accessible aux clients authentifié et appliquer une connection encrypté SSL si nécessaire Supprimer les extension FrontPage si elles ne sont pas utilisées

18 P OUR ALLER PLUS LOIN … 7. Script Mappings Map extensions not used by the application to 404.dll (.idq,.htw,.ida,.shtml,.shtm,.stm, idc,.htr,.printer). b. Map unnecessary ASP.NET file type extensions to “HttpForbiddenHandler” in Machine.config. 8. ISAPI Filters Enlever les filtres ISAPI non nécessaires. 9. Server Certificates S’assurer que les certificat sont à jour. Seulement utiliser des certificats pour leur utilisations prévues

19 P UBLIER VOTRE SOLUTION Voir l’exemple