Grupo Arquitectura MUG

Pablo Allois nos envía desde Rosario estas sugerencias de seguridad de IIS y SQL Server

Servidor:

• Deshabilita toda la funcionalidad que no vayas a utilizar
• Desinstala los componentes que no vayas a utilizar
• Cerra todos los puertos que puedas en el firewall
• Si tenes que exponer funcionalidad afuera, si es posible hacelo vía vpn
• Parchealo

SQL Server:

• No publicarlo a internet
• Que el servicio corra con un usuario con minimos privilegios
• Deshabilita toda la funcionalidad que no vayas a utilizar
• Utiliza siempre que puedas seguridad integrada y, si es posible, deshabilita seguridad mixta
• Si es posible deshabilita acceso remoto
• Como minimo corre "SQL Server Surface Area Configuration"
• Parchealo

IIS:

• Que el application pool corra con un usuario con mínimos privilegios
• Deshabilita toda la funcionalidad que no vayas a utilizar
• Deshabilita las extensiones que no vayas a utilizar
• Los usuarios para acceso anonimo del web site tienen que tener los privilegios mínimos, en especial en la base de datos y en el home de tu sitio
• En el website deshabilita los verbos y las isapi extensions que no vayas a utilizar
• Parchealo

Administración de la seguridad:

• Dediquenle tiempo a la administración de seguridad
• Actualizarse sobre novedades en ataques y vulnerabilidades
• Revisar logs de IIS - Servidor - SQL y cualquier aplicación que expongan

Espero que les sirva, si tienen ampliaciones o correcciones, por favor déjenlas en los comentarios.

Muchas gracias

Carlos Peix