Härten von IIS auf 2016 mit Exchange 2016

Servus zusammen,

würde gerne den OWA etwas sicherer machen.

Habe dazu folgendes Script gefunden. Spricht eurer Meinung nach etwas gegen den Einsatz ?

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000  
"Enabled"=dword:00000001  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000  
"Enabled"=dword:00000001  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\AES 128/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 56/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 168/168]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 40/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 56/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 128/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128]
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128]
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\Triple DES 168/168]
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\Triple DES 168]
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 64/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128]

Grüße, Henere

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 373527

Url: https://administrator.de/forum/haerten-von-iis-auf-2016-mit-exchange-2016-373527.html

Ausgedruckt am: 09.05.2025 um 13:05 Uhr

8 Kommentare

Neuester Kommentar

Wäre das nicht eher was für die Rubrik "Microsoft -> Exchange Server" ?!

Das Script oder das Tool hier:

https://www.nartac.com/Products/IISCrypto

ist ein bisschen übersichtlicher, aber machen beide das gleiche.

Gruß Spec

https://www.frankysweb.de/chrome-und-windows-server-2016-err_spdy_inadeq ...

Habe jetzt mal mein Regfile importiert und neu gestartet.

Abgesehen von einer privaten CA finde ich, das sieht gut aus, oder ?

Henere

Hallo,

vorher/Nachher Bilder wären nicht schlecht, abgesehen davon sagen die Balken im Zweifel noch nichts.

VG

Den vorher Shot hatte ich vergessen. Shame on me.
War aber deutlich schlechter weil der Exchange (bzw IIS) sogar Doppel-ROT13 als Verschlüsselung akzeptiert hat.

Zumindest mal eine Baustelle weniger.

DoppelRot als Verschlüsselung? Naja, je nach dem, was man so mit Ihm einrichtet...

Doppel ROT13 bitte....

War komplett auf Standard 2016er Installation

Moin Henre,

Abgesehen von einer privaten CA finde ich, das sieht gut aus, oder ?

meiner Meinung noch nicht... es fehlen noch elementare Dinge (für ein A+):

Self Signed Zertifikat durch eines von LE ersetzen
Key Exchange wird erst 100 Punkte erhalten, wenn das eingesetzte Zertifikat eine Schlüssellänge von 4096 nutzt.
CAA Eintrag
HSTS Eintrag
Cipher Suites wird erst 100 Punkte erhalten, wenn du die schwachen Algorithmen deaktivierst, parallel aber Diffle-Hellmann von 1024 auf 4096 Bit erhöhst. Das kann das IISCrypto nämlich nicht.