Hjælp til sikkerhed på IIS 6.0

Prøv og kig på http://www.microsoft.com/technet/security/tools/locktool.mspx

screem brille: Tak for din kommentar.

Hvis jeg kører det locktool kan jeg jo risikere at alt hvad der køre på server ikke virker bagefter? Kan jeg ikke lave det manuelt?

Du gør følgende:

Først kører di Microsoft baseline Analyser der kan downloades gratis fra hjemmesiden
Så kører du IIS lockdown tool
Herefter fjerner du resten af de unødvendige tjenester og reter de ting analyseren finder
til sidst kører du MSBA igen

Jeg mener at lockdown tool kan køres interaktivt så du selv bestemmer hvad der skal gøres men generelt ødelægger lockdown tool intet

Man vil ikke få noget ud af at køre IIS LockDown Tool på en IIS6 ;)

"All of the default security-related configuration settings in IIS 6.0 meet or exceed the security configuration settings made by the IIS Lockdown tool. Therefore, you do not need to run this tool on Web servers running IIS 6.0."

Jeg har nu prøvet at køre Microsoft baseline Analyser på min server, den gør så opmærksom på at der på IIS er tiladt parent path, det har jeg så deaktiveret på et af mine sites, men jeg kan stadig se hele filsystemet på serveren fra det site. Hvad er der galt?

Når du skriver: "jeg kan stadig se hele filsystemet på serveren" mener du så at du kan browse dig frem til f.eks. c:\ eller c:\windows\system32 via et web site?

I så fald bør du nok kigge lidt på dine NTFS rettigheder. Har du tilføjet brugeren IUSR_SERVERNAVN til nogle grupper på serveren?

Ja jeg kan se det hele via et website, men det burde vel ikke være muligt når jeg har deaktiveret parent path.

Det sikreste er nok at oprette en bruger til hvert website, og så lægge alle dine brugere i en gruppe der f.eks hedder "websites".

Websites tildeles rettigheder til at se filer indtil den mappe dine websites ligger i, her fjerner du nedarvning af sikkerhedsindstillinger, og tildeler de respektive websitebrugere rettigheder til kun at se deres egne mapper

Det hjælper ikke at disable parent path, når man bare kan skrive "c:\"

hmm ikke så læsevenligt at kalde gruppen for "websites" :-)

Det sikreste er nok at oprette en bruger til hvert website, og så lægge alle dine brugere i en gruppe der f.eks hedder "MyWebsiteUsers".

"MyWebsiteUsers" tildeles rettigheder til at se filer indtil den mappe dine websites ligger i, her fjerner du nedarvning af sikkerhedsindstillinger, og tildeler de respektive websitebrugere rettigheder til kun at se deres egne mapper.

Jeg for står bare ikke at man kan browse hele filsystemet med aspadmin (http://www.netsrac.dk/netsrac-dk/) selvom parent path er disable.

Hvis du kan browse hele filsystemet med aspadmin, så må du jo fjerne iusr_maskinnavn fra de mapper hvor brugeren ikke skal have adgang. Hvis det er asp.net kode der er problemer med , skal du også kigge på aspnet brugeren

En mulig forklaring: Brugeren IUSR_SERVERNAVN er som standard medlem af gruppen "Guests". Den gruppe har som standard de samme rettigheder som gruppen "Users". Gruppen "Users" har som standard "List" og "Read" rettigheder på langt det meste af harddisken - selv Windows folderen, og muligvis derfor kan man gøre det.

Jeg prøvede at lave en test på en IIS6 hvor jeg fjernede "Users" gruppen fra NTFS rettighederne - så kunne dit script ikke komme ind i folderen, og fjerner man "Users" gruppen helt fra roden, så burde du slet ikke kunne komme længere ud end det web site som scriptet køres fra.

Hvis jeg køre det her : http://www.microsoft.com/technet/security/tools/urlscan.mspx
Lukker den for det :-)

Men så virker alle de sider hvor på jeg bruger "include" ikke :-(

Jeg har valgt at bruge -mundi- kommentar med at oprette en bruger for hver website, så håber jeg at sikkerhed er i top. Tak til alle for jeres deltagelse!

-mundi- smid et svar så smider jeg nogle point i din retning.:-)

et stk svar