Microsoft Security Tools Christian Thor Systems Engineer Microsoft GmbH

Agenda Windows Security Windows Security Windows 2000 Windows 2000 Windows XP Windows XP IIS Security IIS Security Security Tools Security Tools MBSA MBSA IIS Lockdown IIS Lockdown URLScan URLScan HFNetChk HFNetChk Software Update Service Software Update Service

Window Security Security Checklist Alle Partitionen sind NTFS Partitionen Admin Account hat ein Strong Password deaktivieren nicht benötigter Dienste deaktivieren nicht benötigter Accounts entfernen nicht genutzter File Shares ACLS auf Files, Shares & Registry Security Policies UptoDate mit Services Packs & Fixes Anti-Virus Software

Windows 2000/XP Security demo demo Windows 2000 Sichern der Registry Sichern der Registry Sichern der LSA Sichern der LSA Security Templates und Configuration Editor Security Templates und Configuration Editor Windows XP Personal Firewall Personal Firewall Software Restriction Policies Software Restriction Policies

Agenda Windows Security Windows Security Windows 2000 Windows 2000 Windows XP Windows XP IIS Security IIS Security Security Tools Security Tools MBSA MBSA IIS Lockdown IIS Lockdown URLScan URLScan HFNetChk HFNetChk Software Update Service Software Update Service

IIS Security Step by Step ACLs auf virtuelle Verzeichnisse ACLs auf die IIS Log-Files Logging aktivieren entfernen des iisadmpwd Verzeichnisses entfernen nicht genutzter Script Mappings Prüfen der Authentifizierungs Methoden Installieren der minimalen Internet Dienste deaktivieren von RDS

IIS Security ACL Basis Empfehlung Datei Typ Zugriff CGI (.exe,.dll,.cmd,.pl) Everyone (X) Administrators (Full Control) System (Full Control) Scripts (.asp) Everyone (X) Administrators (Full Control) System (Full Control) Include Files (.inc,.shtm,.shtml) Everyone (X) Administrators (Full Control) System (Full Control) Statischer Content (.txt,.gif,.jpg,.html) Everyone (R) Administrators (Full Control) System (Full Control)

Erstellen der Verzeichnisstruktur nach Dateityp Erstellen der Verzeichnisstruktur nach Dateityp ACLs auf die Verzeichnisse effektiver als ACLs auf die einzelnen Dateien ACLs auf die Verzeichnisse effektiver als ACLs auf die einzelnen Dateien bei SMTP oder FTP Nutzung beschränken des Zugriffs via ACLs bei SMTP oder FTP Nutzung beschränken des Zugriffs via ACLs C:\inetpub\ftproot C:\inetpub\ftproot C:\inetpub\mailroot C:\inetpub\mailroot IIS Security Empfehlung für virtuelle Verzeichnisse

IIS Security Script Mappings Wenn nicht benötigt… entfernen Web-based Passwords.htr Internet Database Connector.idc Server-Side Includes.stm,.shtm, shtml Internet Printing. printer Index Server.htw,.ida, idq

IIS Security Beispiel Applikationen Beispiel Applikation Virtuelles Verzeichnis Physikalisches Verzeichnis IIS Samples \IISSamplesc:\inetpub\iissamples IIS Documentation \IISHelpc:\winnt\help\iishelp Data Access \MSADC C:\program files\common files\system\Msadc

IIS Security demo demo einrichten von ACLs auf die virtuellen Verzeichnisse einrichten von ACLs auf die virtuellen Verzeichnisse Logging aktivieren Logging aktivieren entfernen nicht genutzter Script Mappings entfernen nicht genutzter Script Mappings

Agenda Windows Security Windows Security Windows 2000 Windows 2000 Windows XP Windows XP IIS Security IIS Security Security Tools Security Tools MBSA MBSA IIS Lockdown IIS Lockdown URLScan URLScan HFNetChk HFNetChk Software Update Service Software Update Service

Security Tools IIS Lockdown Wizard Assistent zum Security Check Assistent zum Security Check Setzt IIS 4.0 und IIS 5.0 Konfiguration Setzt IIS 4.0 und IIS 5.0 Konfiguration default.asp?url=/technet/security/tools/ locktool.asp default.asp?url=/technet/security/tools/ locktool.asp Express Mode Express Mode Advanced Mode Advanced Mode Hilfe Dateien/ Dokumentation Hilfe Dateien/ Dokumentation

Security Tools URLScan tools/URLscan.asp tools/URLscan.asp Rule Based Filtering Rule Based Filtering Screent alle eingehenden Requests an den Webserver Screent alle eingehenden Requests an den Webserver

Security Tools Hfnetchk überprüft Machinen auf installierte Patches überprüft Machinen auf installierte Patches Command Line Tool Command Line Tool Netzwerkfähig - Admin Rechte Netzwerkfähig - Admin Rechte Überprüft Status Überprüft Status Windows NT 4.0 / 2000 Windows NT 4.0 / 2000 SQL 7.0/2000 SQL 7.0/2000 System Dienste System Dienste IE 5.01 und höher IE 5.01 und höher Q – Download Q – Download -nosum Parameter für lokalisierte Server -nosum Parameter für lokalisierte Server

Security Tools Baseline Security Advisor Überprüft die Security Konfiguration Überprüft die Security Konfiguration Passwort Sicherheit Passwort Sicherheit Basiert auf HFNetChk Basiert auf HFNetChk Grafisch und CommandLine Tool Grafisch und CommandLine Tool Netzwerkfähig Netzwerkfähig Überprüft: Überprüft: Windows NT 4.0 / 2000/ XP Windows NT 4.0 / 2000/ XP SQL 7.0/2000 SQL 7.0/2000 IIS 4.0/5.0 IIS 4.0/5.0 IE 5.01 und höher IE 5.01 und höher Office 2000/ 2002 Office 2000/ security/tools/Tools/mbsahome.asp security/tools/Tools/mbsahome.asp

Security Tools Bulletins und Updates Windows Update/ Office Update Windows Update/ Office Update Automatisierte Updates Automatisierte Updates Security Bulletins - Download Center Security Bulletins - Download Center Bulletin Newsletter und Critical Alerts Bulletin Newsletter und Critical Alerts Notification Service Notification Service

Security Tools demo demo IIS Lockdown Wizard IIS Lockdown Wizard URL Scan URL Scan HfNetChk HfNetChk MBSA MBSA

Agenda Windows Security Windows Security Windows 2000 Windows 2000 Windows XP Windows XP IIS Security IIS Security Security Tools Security Tools MBSA MBSA IIS Lockdown IIS Lockdown URLScan URLScan HFNetChk HFNetChk Software Update Service Software Update Service

Software Update Service BITS – Background Intelligent Transfer Service BITS – Background Intelligent Transfer Service Im Intranet stehender Update Server Im Intranet stehender Update Server Admin entscheidet über Updates und stellt diese über intern stehenden Server zur Verfügung Admin entscheidet über Updates und stellt diese über intern stehenden Server zur Verfügung Clients holen sich Updates vom internen Server Clients holen sich Updates vom internen Server Spart Bandbreite Spart Bandbreite Z.Z. nur MS Software Z.Z. nur MS Software Noch nicht im.NET Server vorhanden Noch nicht im.NET Server vorhanden Als Webdownload auch für Windows 2000 (SP2) Als Webdownload auch für Windows 2000 (SP2)

Software Update Service Windows Update Web sites and Download Servers Windows QFEs, feature XML & SOAP Internet Signed Cabs Client Computer WHQL Device Drivers Software Intranet Automatic Update Dynamic Update Device Manager Microsoft Software Update Server XML & SOAP

Software Update Service

User Configuration\Administrative Templates\Windows Components\Windows Update User Configuration\Administrative Templates\Windows Components\Windows Update

Software Update Service

Summary Nutzen der Security Checklist Nutzen der Security Checklist Anwenden der aktuellen Patches und Service Packs Anwenden der aktuellen Patches und Service Packs Prozess zum regelmäßigen Überprüfen der Netzwerksicherheit Prozess zum regelmäßigen Überprüfen der Netzwerksicherheit security/bulletin/notify.asp

MS Press Information für IT Professionals

Informationen TechNet WebSite TechNet WebSite Get Secure – Stay Secure Get Secure – Stay Secure MBSA MBSA MBSAhome.asp MBSAhome.asp MBSAhome.asp MBSAhome.asp SUS SUS support.microsoft.com/default.aspx?scid=kb;EN- US;q support.microsoft.com/default.aspx?scid=kb;EN- US;q support.microsoft.com/default.aspx?scid=kb;EN- US;q support.microsoft.com/default.aspx?scid=kb;EN- US;q322365

© 2002 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.