6
1und1 Windows 2003 Server WebEdition - IIS 6.0 absichern
Hallo zusammen,
wir haben für unseren neuen Internetauftritt einen 1&1 Windows 2003 Server WebEdition - IIS 6.0 geordert. Leider habe ich bislang noch nicht viel Erfahrung mit Webservern. Lockdown-Tool gibt es für den IIS 6.0 ja nicht mehr, da sämtliche Features bereits in dem Produkt vereint seien. UrlScan habe ich installiert. Weiterhin habe ich per IP-Filter nur die Port 80, 443, SSH und RDP geöffnet.
Gibt es weitere Punkte die ich beachten muss um den Server einigermassen abzusichern !? Hat jmd dafür eventl. eine Anleitung / Howto parat !?
Vorweg vielen Dank für alle Antworten
Gruß,
wir haben für unseren neuen Internetauftritt einen 1&1 Windows 2003 Server WebEdition - IIS 6.0 geordert. Leider habe ich bislang noch nicht viel Erfahrung mit Webservern. Lockdown-Tool gibt es für den IIS 6.0 ja nicht mehr, da sämtliche Features bereits in dem Produkt vereint seien. UrlScan habe ich installiert. Weiterhin habe ich per IP-Filter nur die Port 80, 443, SSH und RDP geöffnet.
Gibt es weitere Punkte die ich beachten muss um den Server einigermassen abzusichern !? Hat jmd dafür eventl. eine Anleitung / Howto parat !?
Vorweg vielen Dank für alle Antworten
Gruß,
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 15860
Url: https://administrator.de/contentid/15860
Ausgedruckt am: 22.11.2024 um 05:11 Uhr
6 Kommentare
Neuester Kommentar
Die Frage ist doch erst mal:
Was soll den auf dem Webserver alles passieren?
Wenn darauf eine Webpräsenz von einer externen Firma erstellt werden soll, dann sollte auch für Ftp eine Möglichkeit geschaffen werden; SSH schön und gut, aber die Nichtkenner der EDV wissen damit nur wenig anzufangen... (außerdem auch sehr unkomfortabel...)
Wie schon gesagt, ohne nähere Infos kann man auch keine spezifischere Hilfe geben.
Was soll den auf dem Webserver alles passieren?
Wenn darauf eine Webpräsenz von einer externen Firma erstellt werden soll, dann sollte auch für Ftp eine Möglichkeit geschaffen werden; SSH schön und gut, aber die Nichtkenner der EDV wissen damit nur wenig anzufangen... (außerdem auch sehr unkomfortabel...)
Wie schon gesagt, ohne nähere Infos kann man auch keine spezifischere Hilfe geben.
Danke für die Antwort. Weiß allerdings nicht was ich noch groß beschreiben soll. Ist halt ein dedizierter Webserver. Hauptsächlich für PHP-Seiten, welche auch auf eine DB (wahrscheinlich MySQL) zugreifen.
Bei SSH hab ich an cygwin als Server gedacht .. und als Client wollte ich WinSCP benutzen.
Das ganze Projekt steckt allerdings noch ziemlich in den Kinderschuhen .. wollte nur vorab klären ob es ein Patentrezept gibt den IIS 6.0 abzusichern. Aber soviel ich gelesen habe ist bei dem Produkt zunächst eh alles deaktiviert. Benötigte Features müsse ich erst aktivieren wenn ich sie benutzen will. Das sollte ja schon mal ein wenig Sicherheit bringen.
Weiterhin hab ich wie gesagt mit IP Filter rumhandiert und Windows Updates aktiviert.
Bei SSH hab ich an cygwin als Server gedacht .. und als Client wollte ich WinSCP benutzen.
Das ganze Projekt steckt allerdings noch ziemlich in den Kinderschuhen .. wollte nur vorab klären ob es ein Patentrezept gibt den IIS 6.0 abzusichern. Aber soviel ich gelesen habe ist bei dem Produkt zunächst eh alles deaktiviert. Benötigte Features müsse ich erst aktivieren wenn ich sie benutzen will. Das sollte ja schon mal ein wenig Sicherheit bringen.
Weiterhin hab ich wie gesagt mit IP Filter rumhandiert und Windows Updates aktiviert.
LOL, moment mal, verstehe ich das richtig?
Ein dedizierter Server, und Du mußt Dich um die Updates kümmern?
Weia... toll...
Ned böse sein, aber an Deiner Stelle würde ich zu HostEurope gehen, da ein dedicated Webpack (eines der großen) nehmen, und dann isses gut.
(von mir aus auch einen ded. Server, aber darauf läßt sich später immer noch upgraden/umziehen! Und nachdem ich dem Post entnehme, hast Du da in diesem Bereich leider noch nicht genügend Informationen sammeln können...)
PHP und Win, pfui.
Ich weiß, wovon ich rede, denn ich habe schon zu viele Scripte gesehen, die unter Win einfach kläglich ihre Tätigkeit aufgaben.
Und wenn MySQL auf Win noch nicht vorinstalliert ist, dann wünsch ich Dir noch viel mehr Spaß. Einen Win-Server webtauglich zu machen, das ist immer so eine Sache...
Ich geb Dir nur den Tip:
Finger weg von 1und1 im Business-Bereich.
Für Privat-Kunden mag das ja "vielleicht noch" gehen, aber im Business, sorry.
Alleine die Support-Geschichte ist unerschwinglich. Bei HE ist es 24h rund um die Uhr, jeden Tag, kostenfrei, und Du kannst Dir sicher sein, derjenige, den Du an der Strippe hast, der hat Ahnung.
In letzter Zeit mußte ich leider vermehrt Kunden von 1und1 umziehen lassen, denn meist sind dann unausgebildete Personen aus dem Ostblock an der Strippe (eindeutig zu hören!), dann ist mal die Datenbank gerade down, und das schon seit Stunden, somit kein Zugriff auf die Kundendaten, somit wird es auch schwer, daß man Dir helfen kann.
Aber der Hammer kommt erst noch:
Weil manche Webspace-Angebote für einige Kunden einfach zu klein geworden sind, wollten sie erweitern.
Geht nicht.
Oh, falsch, geht schon, aber alle Daten sind weg.
Toll.
Okay, dann denkt man über einen Wechsel zu einem anderen Provider nach.
NOCH VIEL GRÖSSERER FEHLER ! ! !
Weil, ab dem Zeitpunkt, ab dem die Kündigung bei 1&1 eingegangen ist, hast Du keinen Zugriff mehr auf das Kontroll-Center, die Mail-Adressen werden teilweise auch schon SOFORT abgestellt, etcetcetc... obwohl du dich an die Kündigungsfrist gehalten hast, und du noch brav die Rechnungen für 3 weitere Monate zahlst.
Mal ganz ehrlich, was ist das für eine Geschäftspolitik?
Umzug unmöglich machen?
Nein, sorry, aber 1&1 erkenne ich die Business-Tauglichkeit definitiv ab.
Solltest Du Lust haben, mit einem meiner zahlreichen Kunden in Kontakt zu treten, sag Bescheid; die freuen sich, wenn sie jemandem vorjammern können, wie schei*e es ihnen doch jetzt geht...
(und ich freu mich auch, weil ich es mir nicht mehr anhören muß *grins*)
Ein dedizierter Server, und Du mußt Dich um die Updates kümmern?
Weia... toll...
Ned böse sein, aber an Deiner Stelle würde ich zu HostEurope gehen, da ein dedicated Webpack (eines der großen) nehmen, und dann isses gut.
(von mir aus auch einen ded. Server, aber darauf läßt sich später immer noch upgraden/umziehen! Und nachdem ich dem Post entnehme, hast Du da in diesem Bereich leider noch nicht genügend Informationen sammeln können...)
PHP und Win, pfui.
Ich weiß, wovon ich rede, denn ich habe schon zu viele Scripte gesehen, die unter Win einfach kläglich ihre Tätigkeit aufgaben.
Und wenn MySQL auf Win noch nicht vorinstalliert ist, dann wünsch ich Dir noch viel mehr Spaß. Einen Win-Server webtauglich zu machen, das ist immer so eine Sache...
Ich geb Dir nur den Tip:
Finger weg von 1und1 im Business-Bereich.
Für Privat-Kunden mag das ja "vielleicht noch" gehen, aber im Business, sorry.
Alleine die Support-Geschichte ist unerschwinglich. Bei HE ist es 24h rund um die Uhr, jeden Tag, kostenfrei, und Du kannst Dir sicher sein, derjenige, den Du an der Strippe hast, der hat Ahnung.
In letzter Zeit mußte ich leider vermehrt Kunden von 1und1 umziehen lassen, denn meist sind dann unausgebildete Personen aus dem Ostblock an der Strippe (eindeutig zu hören!), dann ist mal die Datenbank gerade down, und das schon seit Stunden, somit kein Zugriff auf die Kundendaten, somit wird es auch schwer, daß man Dir helfen kann.
Aber der Hammer kommt erst noch:
Weil manche Webspace-Angebote für einige Kunden einfach zu klein geworden sind, wollten sie erweitern.
Geht nicht.
Oh, falsch, geht schon, aber alle Daten sind weg.
Toll.
Okay, dann denkt man über einen Wechsel zu einem anderen Provider nach.
NOCH VIEL GRÖSSERER FEHLER ! ! !
Weil, ab dem Zeitpunkt, ab dem die Kündigung bei 1&1 eingegangen ist, hast Du keinen Zugriff mehr auf das Kontroll-Center, die Mail-Adressen werden teilweise auch schon SOFORT abgestellt, etcetcetc... obwohl du dich an die Kündigungsfrist gehalten hast, und du noch brav die Rechnungen für 3 weitere Monate zahlst.
Mal ganz ehrlich, was ist das für eine Geschäftspolitik?
Umzug unmöglich machen?
Nein, sorry, aber 1&1 erkenne ich die Business-Tauglichkeit definitiv ab.
Solltest Du Lust haben, mit einem meiner zahlreichen Kunden in Kontakt zu treten, sag Bescheid; die freuen sich, wenn sie jemandem vorjammern können, wie schei*e es ihnen doch jetzt geht...
(und ich freu mich auch, weil ich es mir nicht mehr anhören muß *grins*)
Naja .. es war nicht meine Entscheidung. Ich darf den Salat nur ausbügeln 
Aber wirklich weiter hilfst du mir auch nicht.
Was hälst du von denen ?
http://www.all-inkl.com/index.php?partner=18027
Aber wirklich weiter hilfst du mir auch nicht.Was hälst du von denen ?
http://www.all-inkl.com/index.php?partner=18027
Hört sich gut an, aber auch alles Linux-Kisten.
Fakt ist, würde es für den IIS nicht so viele Exploits und Progs für Script-Kiddies geben, wär das schon was...
Der IIS, sauber gepatcht, ist schon i. O.
Fakt ist, würde es für den IIS nicht so viele Exploits und Progs für Script-Kiddies geben, wär das schon was...
Der IIS, sauber gepatcht, ist schon i. O.
Hallo,
ich habe jetzt doch paar Sachen machen können. Habe die Firewall konfiguriert. Jetzt ist nur noch HTTP RDP und SSH offen. mysql und php laufen auch. alle webseiten sind auf der partition d. als ssh server läuft ein cygwin. die entwickler dürfen nur auf d zugreifen.
weiterhin wurde administrator deaktviert und ein anderer admin eingerichtet. mit ntfs berechtigungen wurde rumgespielt - skripte nur dort erlaubt wo wirklich php-skripte liegen. php konfig files liegen außerhalb des "webbereiches". also ich denke jetzt ist das ding einigermassen sicher eingerichtet.
ich habe jetzt doch paar Sachen machen können. Habe die Firewall konfiguriert. Jetzt ist nur noch HTTP RDP und SSH offen. mysql und php laufen auch. alle webseiten sind auf der partition d. als ssh server läuft ein cygwin. die entwickler dürfen nur auf d zugreifen.
weiterhin wurde administrator deaktviert und ein anderer admin eingerichtet. mit ntfs berechtigungen wurde rumgespielt - skripte nur dort erlaubt wo wirklich php-skripte liegen. php konfig files liegen außerhalb des "webbereiches". also ich denke jetzt ist das ding einigermassen sicher eingerichtet.
