Protegendo um servidor da Web público do Windows Server 2008 R2

Question

Estou configurando um servidor da Web público: Windows Server 2008 R2, IIS7.5. Alguém tem um tutorial / passo a passo / dicas sobre como proteger adequadamente um servidor web público? Eu vi alguns tutoriais, mas principalmente focados no Windows Server 2003.

O que eu fiz até agora:

• Criado uma conta de usuário específica para o site / pool de aplicativos,
• Conta de administrador renomeada,
• FTPS instalado,
• Firewall configurado para bloquear qualquer serviço não público (web / https),
• Firewall configurado para permitir acesso a interfaces de gerenciamento somente a partir de endereços IP específicos (rdp, gerenciamento do IIS, ftp)

Talvez algumas outras coisas, mas não consigam lembrar no momento ...

ICMP é permitido ... Devo desativar todos, exceto o ping?

O rastreamento de portas revela somente portas da Web e https.

Alguma outra sugestão?

Obrigado

    

Answer 1

No que diz respeito ao ICMP, não o desativo. Certas mensagens ICMP controlam o dimensionamento de janelas TCP e a descoberta de caminhos MTU. Desativar o ICMP pode levar a problemas de conexão.

refs:

link < - Problema do MTU do caminho

link < - Política de filtragem ICMP

    

Answer 2

Parece bom. Você tem alguma coisa na frente do servidor web?

    

Answer 3

Verifique se esta pergunta (embora muito somente se aplique ao IIS6) e dê uma olhada no Servidor 2008 Security Compliance Manager para criar e aplicar uma política de segurança local.