Firewalls de aplicativos no IIS

Question

Estou procurando soluções de segurança para meus servidores da web de dentro do nível de serviço da web. Existe algum software que possa ser executado sobre o IIS no Windows? Além disso, há alguma prática recomendada que os administradores da Web sigam para proteger seus servidores? (ASP.NET, IIS6 ou IIS7, e servidor 2003 ou 2008 suportado)

Já ouvi falar de firewalls de aplicativos, como o dotDefender, mas é caro. Eu vejo isso como um nível extra de segurança que pode ajudar a impedir que intrusos invadam sites não tão bem codificados.

    

Answer 1

O URLScan 3.1 está disponível para o IIS versão 5.1 e posterior (XP, 2003, 2008) e pode ser baixado aqui nas versões x86 e x64.

Ao usar o URLScan, eu recomendo strongmente que ele seja instalado como um filtro de site como um filtro global, se você tiver vários sites do IIS. Isso permitirá que você use configurações mais restritas quanto possível, enquanto ainda é o mais flexível para sites ou aplicativos que exigem isso. Leia o documento URLScan Setup para obter informações sobre como fazer isso.

    

Answer 2

O que você espera realizar? A maior parte da segurança no próprio site é tratada por meio de permissões de sites, permissões NTFS e / ou autorizações internas de aplicativos. Além disso, você está realmente olhando para um firewall completo ou um proxy da Web.

    

Answer 3

Se você estiver executando o Windows Server 2008, não será necessário instalar um firewall adicional. Ele já tem um firewall bem definido, que também pode ser configurado a partir do prompt de comando.

Os servidores da Web também devem estar por trás de um conjunto controlado de firewalls de hardware que devem permitir restrições adicionais a portas e endereços IP. Já que você é uma loja MS, você pode querer olhar para o ISA também.

configure suas permissões NTFS, como disse squillman.

Boa sorte!

    

Answer 4

Além disso, o IIS 7 vem com a filtragem de solicitações e também lançou recentemente o URLScan 3.