保护面向 Web 的 Windows 服务器的“待办事项”是什么？

Question

我目前开始部署面向 Web 的 Windows 服务器。

我想知道您保护服务器的方法是什么？你在用什么软件？

在 Linux 上，我使用 Fail2ban 来防止暴力破解，并使用 Logwatch 来获取有关我的服务器上正在发生的事情的每日报告。Windows 上是否有与这些软件等效的软件？如果没有，您建议使用什么来保护服务器？

Answer 1

首先，您需要考虑您的网络设计。最好至少使用一个 DMZ 以保护内部网络。如果您不想购买新的 2012 Server，那么适合公众使用的良好 Windows 系统将是 Windows Server 2008 R2。我们至少有四个基于 Windows 的网络服务器，它们可以完美地作为网络服务器运行，所有这些都基于 2008 R2。请务必执行以下操作：

• 使用 DMZ（1 或 2）
• 不要安装未使用的服务器角色
• 务必停止您不需要的服务
• 确保只在内部网络中打开 RDP 端口（如果需要）
• 确保关闭所有未使用的端口
• 在服务器前使用适当的防火墙解决方案，如 Cisco、Juniper 或 Checkpoint
• 使您的服务器保持最新状态（至少每月更新一次）
• 使其冗余（至少使用两台服务器，一台用于备份）
• 良好的监控：Nagios（我喜欢它；-)）

（可选）为您的网络服务器及其备份系统使用 Hyper-V。更容易更新和检查您的更新是否不会以某种方式干扰网络服务。在这种情况下，您将需要两台相同的硬件机器才能在发生硬件故障时提供冗余。但这可能相当昂贵。

希望对你有帮助！

Answer 2

如果您告诉我们您想在这个面向公众的 Windows 盒子上提供什么服务，我们可以为您提供更详细的答案。例如 IIS、OWA、DNS 等？

要锁定盒子本身，请从 vlad 的答案开始，删除（或不安装）盒子上不需要的任何其他服务/角色。这包括不应在服务器上使用的任何 3rd 方软件（无 acrobat 阅读器、闪存等）。任何当然保持修补。

配置您的防火墙策略以只允许流量到您正在运行的服务的适当端口

使用与您正在运行的服务相关联的规则配置 IDS/IPS。

根据资产的风险/价值，除了您的外围 IPS 之外，还可以考虑安装基于主机的 IPS，最好是来自其他供应商。

假设主要目的是托管网站，使用 7.5 (2008 R2) 锁定 IIS 的麻烦要小得多，但您仍应确保执行以下操作，例如：

• 将网站文件与操作系统文件存储在不同的卷上
• 从 Microsoft、NSA 等获取 XML 安全模板作为基线
• 通过 NTFS 删除或锁定所有脚本 \InetPub\AdminScripts
• 锁定危险的 exe，如 appcmd、cmd.exe 等
• 使用 IPSec 控制 DMZ 和授权内部主机之间的流量
• 如果您需要 AD，请在 DMZ 中使用与内部网络不同的林
• 确保所有站点都需要主机标头值（有助于防止自动扫描）
• 启用对所有失败和成功事件的 Windows 审核，但以下成功事件除外：Director 服务访问、进程跟踪和系统事件。
• 在文件系统上使用 NTFS 审计来记录 Everyone 组的失败操作，并确保根据备份将安全日志的大小增加到适当的大小（500Mb 左右）
• 为根文件夹启用 HTTP 日志记录
• 不要向运行应用程序池的用户帐户授予不必要的权限。
• 如果您不需要 ISAPI 和 CGI​​ 模块，请删除它们。

我不想把它写得太长，所以如果你需要/想要更多关于特定项目符号的信息，请发表评论。

Answer 3

这里现有的答案很好，但他们错过了一个关键方面。当你的服务器会发生什么情况不得到折扣？

当人们问这个问题时，ServerFault 上的答案几乎总是关闭问题，因为我的服务器被黑客入侵了紧急情况！ 顶部答案中的说明描述了如何找到危害的原因/方法以及如何从备份中恢复。

要遵循这些说明，您必须有大量的日志记录和定期备份。您必须有足够的日志记录，以便您可以使用它来确定攻击者在何时做了什么。为此，您需要一种关联来自不同机器的日志文件的方法，这需要 NTP。您可能还需要某种日志关联引擎。

日志记录和备份通常应该无法从受感染的机器上获得。

一旦您知道您的服务器已被入侵，您就可以将其脱机并开始调查。一旦您知道攻击者何时以及如何获得它，您就可以修补备用机器上的缺陷并将其上线。如果备用机器也有数据泄露（因为它是从活动机器同步的），那么您需要在将其联机之前从比泄露更早的备份中恢复数据。

通过上面链接的答案，看看您是否可以真正执行这些步骤，然后添加/更改内容，直到可以为止。