Оптимальная настройка безопасности Windows Server 2008 R2?

Question

[Павел]

Взял dedicated server на Windows Server 2008 R2 Web Edition (у OVH.COM).


На сервере будет крутиться IIS + SQL Server Express 2012.

Будет всего 1 сайт, которым будут пользоваться только сотрудники компании.


Когда сайт работал внутри интранет-сети все настройки были по-умолчанию и меня это устраивало. Но так как теперь сервер и сайт будут доступны в интернете появились повышенные требования к безопасности.


Подскажите или дайте ссылки на руководство по настройке безопасности iis и sqlexpress для боевых условий.

Нужна максимальная безопасность.


Доступ к сайту будет только по https-протоколу (создал бесплатный SSL-сертификат от startssl).

Answer 1

[qxfusion]

создал бесплатный SSL-сертификат от startssl
и
Нужна максимальная безопасность.
слабо совместимы…

Советую сразу взять Server 2012 Datacore — а так стандартно, фаервалл (можно стандартно), настройки пользователей, запуск IIS с пониженными привилегиями, залив данных тоже ограничить. Остальное зависит от того какая платформа у сайта…

Comments

[Павел]

можно по iis подробнее, как выставить эти пониженные привелегии?
Платформа .NET FW 3.5 ASP.NET

[qxfusion]

При запуске фабрики нужно указать запуск от лица другого пользователя с более низкими привилегиями — почитайте в разделе IIS Security technet.microsoft.com/ru-ru/library/dd450371(v=ws.10).aspx (не обращяйте внимание что это для версии 2008)

Answer 2

[bugaga0112358]

IIS 5.0 Baseline Security Checklist

А вообще я использую такой запрос к гуглу:

%product% security baseline

Помогает быстро и эффективно отсеять ненужное =)