Cómo proteger el sitio IIS, agregar y habilitar la autenticación de Windows
De forma predeterminada, cuando crea un nuevo sitio web de Internet Information Services (IIS), está abierto a todos los que tengan habilitado el acceso anónimo: cualquiera puede acceder y ver los datos alojados en ese sitio. Obviamente, esto es un problema de seguridad para la mayoría de las organizaciones. De hecho, a menudo clientes y colegas me preguntan cómo bloquear un sitio IIS para que sólo las personas deseadas puedan acceder a él.
La respuesta es bastante simple: para proteger un sitio IIS, todo lo que hay que hacer es cambiar los permisos predeterminados, habilitar la autenticación de Windows para las cuentas de usuario y deshabilitar la autenticación anónima en el Administrador de IIS. Aquí están los pasos:
Cómo proteger su sitio IIS
1.Seleccione su sitio y haga clic en "Autenticación". En la captura de pantalla siguiente, puede ver que tengo muchos sitios IIS, incluido uno llamado "Sitio web predeterminado".
2. Si tiene la autenticación de Windows instalada para IIS, continúe con el paso 3. Si no tiene la autenticación de Windows integrada en IIS, agregue esta función desde el Administrador del servidor en "Funciones/Servicios" para IIS". EX. Función de autenticación de Windows IIS de IIS.
4. Vuelva a configurar los permisos del sitio web. Primero, romperemos la herencia y luego eliminaremos el acceso de los “Usuarios”:
4.1 Haga clic derecho en el sitio y seleccione "Editar permisos".
4.2 Haga clic en "Avanzado".
4.3 Haga clic en "Cambiar permisos".
4.4 Desmarque la casilla "Incluir permisos heredables de este objeto principal". Cuando se le solicite una advertencia, seleccione AGREGAR. Esto simplemente copia los permisos existentes sin herencia; Esto es muy importante para no dañar el sitio web ni para usted ni para el sistema en general.
4.5 Eliminar el permiso para Usuarios. Esto deshabilitará la capacidad de cualquier usuario de dominio de simplemente autenticarse en su sitio para ver los informes, al tiempo que permitirá a los administradores locales y miembros de IIS_IUSRS iniciar sesión y ver los informes. (El conjunto de permisos básicos puede variar de un sistema operativo a otro). Asegúrese también de que los principios de seguridad como "Todos" y "Usuarios autenticados" no tengan ningún acceso.
4.6 Por último, ahora puede usar el botón básico "Editar" para agregar acceso de solo lectura para usuarios y grupos seleccionados. En mi caso, le di acceso de lectura a mis informes a Frank. Para el uso básico del sitio, no se necesita nada más que acceso de lectura; No le dé a nadie acceso Modificar o Control total a menos que exista alguna necesidad especial.
Tenga en cuenta que hice esta prueba en Windows 2008 y Win 7, y no necesité rebotar IIS para que ninguno de estos cambios de configuración comenzara a funcionar.
¿Cómo puede ayudar Netwrix?
Netwrix StealthAUDIT puede ayudarlo a mejorar la seguridad de su infraestructura de Windows y minimizar el riesgo de una violación de datos. Te empodera para:
- Identifique vulnerabilidades que los atacantes pueden utilizar para comprometer los sistemas Windows y acceder a sus datos.
- Haga cumplir las políticas operativas y de seguridad a través del análisis de la configuración de referencia.
- Auditar y gobernar cuentas privilegiadas.
- Demuestre el cumplimiento más fácilmente con informes prediseñados y total transparencia del sistema.
Preguntas más frecuentes
¿Qué es la autenticación de Windows en IIS?
La autenticación de Windows en IIS es un tipo seguro de autenticación en el que las credenciales de la cuenta de usuario se procesan antes de transmitirse a través de la red.
¿La autenticación de Windows es lo mismo que Active Directory?
No. Puede utilizar la autenticación de Windows incluso si su servidor no es miembro de un dominio de Active Directory.
¿La autenticación IIS de Windows utiliza LDAP?
No. La autenticación IIS de Windows sólo admite los protocolos Kerberos y NTLM.