So sichern Sie die IIS-Site, fügen die Windows-Authentifizierung hinzu und aktivieren sie
Wenn Sie eine neue Website für Internetinformationsdienste (IIS) erstellen, ist diese standardmäßig für alle geöffnet, bei denen der anonyme Zugriff aktiviert ist - jeder kann auf die von dieser Website gehosteten Daten zugreifen und diese anzeigen. Offensichtlich stellt dies für die meisten Unternehmen ein Sicherheitsrisiko dar. Tatsächlich werde ich oft von Kunden und Kollegen gefragt, wie man eine IIS-Site sperrt, damit nur die gewünschten Personen darauf zugreifen können.
Die Antwort ist ziemlich einfach: Um eine IIS-Site zu sichern, müssen Sie lediglich die Standardberechtigungen ändern, die Windows-Authentifizierung für Benutzerkonten aktivieren und die anonyme Authentifizierung im IIS-Manager deaktivieren. Hier sind die Schritte:
So sichern Sie Ihre IIS-Site
1.Wählen Sie Ihre Site aus und klicken Sie auf „Authentifizierung“. Im Screenshot unten können Sie sehen, dass ich viele IIS-Sites habe, darunter eine mit dem Namen „Standardwebsite“.
2. Wenn Sie die Windows-Authentifizierung für IIS installiert haben, fahren Sie mit Schritt 3 fort. Wenn Sie die Windows-Authentifizierung nicht in IIS integriert haben, fügen Sie diese Funktion im Server-Manager unter „Rollen/Dienste“ für IIS hinzu. EX. IIS Windows-Authentifizierungsfunktion von IIS.
4. Konfigurieren Sie die Berechtigungen der Website neu. Zuerst unterbrechen wir die Vererbung und dann entziehen wir „Benutzern“ jeglichen Zugriff:
4.1 Klicken Sie mit der rechten Maustaste auf die Site und wählen Sie „Berechtigungen bearbeiten“.
4.2 Klicken Sie auf „Erweitert“.
4.3 Klicken Sie auf „Berechtigungen ändern“.
4.4 Deaktivieren Sie das Kontrollkästchen „Vererbbare Berechtigungen von diesem übergeordneten Objekt einbeziehen“. Wenn eine Warnung angezeigt wird, wählen Sie HINZUFÜGEN aus. Dadurch werden einfach die vorhandenen Berechtigungen ohne Vererbung zurückkopiert; Dies ist sehr wichtig, um die Website und das System insgesamt nicht zu beschädigen.
4.5 Löschen Sie die Berechtigung für Benutzer. Dadurch wird die Möglichkeit für alle Domänenbenutzer deaktiviert, sich einfach bei Ihrer Site zu authentifizieren, um die Berichte anzuzeigen, während lokale Administratoren und Mitglieder von IIS_IUSRS sich anmelden und Berichte anzeigen können. (Der Satz an Basisberechtigungen kann von Betriebssystem zu Betriebssystem unterschiedlich sein.) Stellen Sie außerdem sicher, dass Sicherheitsprinzipale wie „Jeder“ und „Authentifizierte Benutzer“ keinen Zugriff haben.
4.6 Zuletzt können Sie nun über die einfache Schaltfläche „Bearbeiten“ Lesezugriff für ausgewählte Benutzer und Gruppen hinzufügen. In meinem Fall habe ich Frank Lesezugriff auf meine Berichte gewährt. Für die grundlegende Nutzung der Website ist lediglich Lesezugriff erforderlich. Gewähren Sie niemandem Zugriff auf Änderungen oder Vollzugriff, es sei denn, es besteht ein besonderer Bedarf.
Beachten Sie, dass ich diesen Test unter Windows 2008 und Win 7 durchgeführt habe und dass ich IIS nicht zurücksetzen musste, damit eine dieser Konfigurationsänderungen funktionierte.
Wie kann Netwrix helfen?
Netwrix StealthAUDIT kann Ihnen dabei helfen, die Sicherheit Ihrer Windows-Infrastruktur zu verbessern und das Risiko einer Datenschutzverletzung zu minimieren. Es ermöglicht Ihnen:
- Identifizieren Sie Schwachstellen, die Angreifer nutzen können, um Windows-Systeme zu kompromittieren und an Ihre Daten zu gelangen.
- Setzen Sie Sicherheits- und Betriebsrichtlinien durch Basiskonfigurationsanalyse durch.
- Prüfen und verwalten Sie privilegierte Konten.
- Beweisen Sie Compliance einfacher mit vorgefertigten Berichten und vollständiger Systemtransparenz.
FAQ
Was ist Windows-Authentifizierung in IIS?
Die Windows-Authentifizierung in IIS ist eine sichere Art der Authentifizierung, bei der die Anmeldeinformationen des Benutzerkontos gehasht werden, bevor sie über das Netzwerk übertragen werden.
Ist die Windows-Authentifizierung dasselbe wie Active Directory?
Nein. Sie können die Windows-Authentifizierung auch dann verwenden, wenn Ihr Server kein Mitglied einer Active Directory-Domäne ist.
Verwendet die IIS-Windows-Authentifizierung LDAP?
Nein. Die IIS-Windows-Authentifizierung unterstützt nur die Protokolle Kerberos und NTLM.