Pablo Allois nos envía desde Rosario estas sugerencias de seguridad de IIS y SQL Server

Servidor:

• Deshabilita toda la funcionalidad que no vayas a utilizar
• Desinstala los componentes que no vayas a utilizar
• Cerra todos los puertos que puedas en el firewall
• Si tenes que exponer funcionalidad afuera, si es posible hacelo vía vpn
• Parchealo

SQL Server:

• No publicarlo a internet
• Que el servicio corra con un usuario con minimos privilegios
• Deshabilita toda la funcionalidad que no vayas a utilizar
• Utiliza siempre que puedas seguridad integrada y, si es posible, deshabilita seguridad mixta
• Si es posible deshabilita acceso remoto
• Como minimo corre "SQL Server Surface Area Configuration"
• Parchealo

IIS:

• Que el application pool corra con un usuario con mínimos privilegios
• Deshabilita toda la funcionalidad que no vayas a utilizar
• Deshabilita las extensiones que no vayas a utilizar
• Los usuarios para acceso anonimo del web site tienen que tener los privilegios mínimos, en especial en la base de datos y en el home de tu sitio
• En el website deshabilita los verbos y las isapi extensions que no vayas a utilizar
• Parchealo

Administración de la seguridad:

• Dediquenle tiempo a la administración de seguridad
• Actualizarse sobre novedades en ataques y vulnerabilidades
• Revisar logs de IIS - Servidor - SQL y cualquier aplicación que expongan

Espero que les sirva, si tienen ampliaciones o correcciones, por favor déjenlas en los comentarios.

Muchas gracias

Carlos Peix

Reunión EAS (Empanadas y Arquitectura de Software) de Agosto

Hola,

Les dejo las fotos de los asistentes a la reunión

De izquierda a derecha: Damian Herrera, Daniel Calvin, Diego Jancic, Leandro Tuttini y Fabio Maulo.

De izquierda a derecha: (alguien me recuerda el nombre de los dos primeros?) Claudio Meschini, Carlos Peix (yo), Santiago Casey, (otro que no recuerdo) y Angel "Java" Lopez

Hablamos varias cosas, pero el debate mas encendido estuvo alrededor de las opciones para construir aplicaciones Web en ASP.NET: WebForms o MVC (ASP.NET MVC y Monorail).

Tambien discutimos un poco sobre algunos preconceptos sobre SOA.

¿Me olvido de algo?

¿Las empanadas? Muuuuuuuuy buenas, por mucho lo mejor de la reunión.

Un Saludo,

Carlos Peix

Dos jornadas sobre NHibernate en el MUG

Ayer y hoy tuvimos la oportunidad de escuchar a Fabio Maulo y a Darío Quintana (dos "commiters" del equipo de NHibernate), con el silencioso aporte de Diego Jancic.
Una excelente introducción a NHibernate, el resto esta en sus manos.

Mas de 70 personas participaron, un récord absoluto para las reuniones de arquitectura. Un buen trabajo de organización, además (Gracias Oscar, Sandra, Mónica y al MUG).

Fue interesante la modalidad de la presentación: el primer día vimos las bases, la ideología de NHibernate. El segundo día fue a puro Visual Studio, todos los ejemplos fueron presentados utilizando las herramientas de Unit testing para ejecutarlos (aprovechando las capacidades de logging). Esto hizo que Fabio y Darío pudieran moverse ágilmente entre un ejemplo y otro.

"Lean la documentación" fue la última recomendación de los oradores y no puedo mas que estar de acuerdo con esta frase. Lean, investiguen, prueben, es la manera mas rápida y sólida de aprender.

Un agradecimiento a Fabio, por animarse, probo ser un orador divertido. Gracias también a Darío por molestarse viajando más de 1000 kilómetros de ida y de vuelta y a Diego por apoyar a los oradores con los ejemplos.

Pueden descargar desde aquí la presentación y los ejemplos:
http://groups.google.com/group/NHibernate-Hispano/files

Algunos enlaces útiles;
http://groups.google.com/group/NHibernate-Hispano
http://www.nhibernate.org/

Nos vemos en la próxima reunión!

Carlos Peix