IIS sicher machen für Exchange WebAccess

[Wildi 10]

Hallo Leute,

 

hab gestern mal nen Eintrag gepostet, welche Ports offen sein müssen, um von draussen über POP/SMTP sauber auf meinen Exchange Server zu kommen. Leider kam da nix.

 

Es ist mir schon klar, dass es mindestens 110 und 25 sein muss. Aber scheinbar reicht das nicht. Die Verbindung funktioniert dann immer noch nicht sauber.

 

Aber vielleicht mal was anderes deswegen:

 

Hab einen Win 2000 Server mit IIS und Exchange.

 

Wenn ich nun den Port 80 auf meinem Router zu diesem Server forwarde käme ich auf den Web Access von Exchange. Das ist auch wirklich super.

 

Jedoch ist der IIS löchrig wie ein schweizer Käse. Kann mir vielleicht jemand sagen, wie ich den so sicher bringe, dass nicht gleich nach 5 Minuten 1000 Viren und Trojaner auf dem IIS liegen.

 

Ich habe es nämlich noch nie geschafft, den IIS sicher zu bringen. Die SP's und Sicherheitsupdates sind dabei ja auch ned der Renner.

 

Ein Bekannter hat mir erzählt, bei Microsoft gibt es einen Base Analyser für IIS der alles dicht macht und mann muss dann von Hand die gewünschten Features öffnen. Hab da bei Microsoft auch mal geguckt aber nix gefunden.

 

Bitte HILFEEEEEEEEEEEEEEEEEE

[networker31 10]

eEye Digital Security"Secure IIS", gutes Tool und für Privatgebrauch umsonst. Ansonsten den OWA auf Port 443 SSL sicher mit 128 BIT machen (eigener Zert-Server) und den 8080 (oder anderen) anstatt den 80 er verwenden.

[thorgood 10]

Der Microsoft Base Analyser ist nur zum checken wie es mit der

Sicherheit bestellt ist.

Zum absichern des IIS gibt es das IISLOCKDOWN Tool

 

http://www.microsoft.com/windows2000/downloads/recommended/iislockdown/default.asp

 

thorgood

[Wildi 10]

@networker

 

SSL + Zert. ja, feine Sache. Aber soll ich mal die Hose runter lassen? OK, ich tu es. Gerade in dem Bereich habe ich Null Dunst. Hab ich mich jetzt geoutet? :-)

Aber mal Spaß beiseite, das bedeutet doch auch, dass ich auf besagtem Clientrechner dann auch ein Zert. installieren muss. Sorry, ich wiederhole mich. Hab das gleiche ja schon in meinen anderen Beitrag gestellt.

Aber speziell für Tips über SSL und Zert usw. wäre ich echt dankbar. Bin da ja wie gesagt noch Jungfrau/-mann drin

 

@thorgood

 

Danke für diese mir absolut wichtige Info. Bin ja mal gespannt ob ich es damit schaffe, einen IIS relativ sicher zu machen.

Könntest Du mir noch nen Link schicken wo ich den Analyser finde?

 

Danke erstmal an alle

[thorgood 10]

Na klar

 

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/Tools/MBSAhome.asp

 

thorgood

[Wildi 10]

Super - Merci - 1000 Dank

 

eins nur noch. Da steht, dass das Ding nur für Englische Systeme ist. Kann das sein? Auch was solls. Lass es jetzt einfach mal über mein deutsches Sys drüberrappeln :-)

[Wildi 10]

@thorgood

 

Nochmal besten Dank für die beiden Links.

 

Hätte da aber noch kurz eine Frage bezgl. Sicherheit am IIS.

Nehmen wir an der Win 2000 Server hat alle aktuellen SP's und Sicherheitsupdates. Der IIS auch und es ist das Lockdown Tool installiert. Weiter, der Router hat nur Port 80 auf den Server geforwardet. Es sind sonst keine weiteren Firewallfunktionalitäten vorhanden.

 

Wie würdest Du die Sicherheit einschätzen, insbesondere die Empfänglichkeit auf Viren und Trojaner.

 

Klar, jeder der das liest denkt wohl, spinnt der. Macht nen Port auf und knallt keine Firewall rein. Es geht hier ausschließlich um die Gefahr, die ja grundsätzlich vom IIS aus geht.

 

Also, wie sicher wäre der IIS mit den o.g. Masnahmen?

[thorgood 10]

Hi Wildi,

ich geht mal davon aus der Internetzugang ist nicht auf dem Server realisiert,

sondern der Server ist hinter einem "genatteten irgendwas" mit Portforwarding des 80ers zum Server.

Dann ist dieser nur von außen über diesen Port erreichbar.

(Muß er ja auch, sonst wärs ja sinnlos).

Wenn alle SP, Patches und IISLockdown eingespielt sind ist

der Server nach dem HEUTIGEN Kenntnisstand sicher.

 

thorgood

[Wildi 10]

Danke Dir. Dein Wort in Gottes Gehör :-)))))))

 

Sotrallala, dann werd ich jetzt mal den Port 80 an meinem Router (ja, der genattet ist) auf diesen Server forwarden und gucken was passiert.

 

Bei meinem letzten Versuch hat es nicht lange gedauert und mein Virenalarm hatte losgerattert, dass sich im inetpub ein paar tolle Dateien eingenistet haben.

 

Vielleicht funtzt es ja jetzt.

 

Merc nomal und ich liefere Feedback

[thorgood 10]

Dann schau mal in ein paar Tagen in deine Logfiles

dort findes du mit sicherheit solche Einträge.

 

GET /scripts/root.exe?/c+dir HTTP/1.0" 404 -

GET /MSADC/root.exe?/c+dir HTTP/1.0" 404 -

GET /c/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /d/winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /scripts/..%%35c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /_mem_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /scripts/..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /_vti_bin/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /scripts/..%252f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /scripts/..%c1%9c../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir HTTP/1.0" 404 -

 

Hoffentlich mit der 404 am Ende.

Dafür sorgt das IISLockdown.

 

Nimbda und Konsorten sind immernoch unterwegs.

 

thorgood

[Wildi 10]

@thorgood

 

:-) :-) Meinen Rekord geschlagen :-) :-)

 

Irgendwie konnte ich nicht richtig schlafen. Also aufgestanden und nochmal nachgeguckt, wie's denn so meinem IIS geht.

 

Also bisher haben Deine Tips meinen Rekord geschlagen. Nicht ein Futzelchen an Virus zu sehen ... null, nadaaaaaaaa, nothing.

 

Bin echt zuversichtlich, dass das diesmal so bleibt.

 

So, etz geh ich aber wieder in die Heia. Mal gucken, wie oft ich heute noch aufwach :D