Características de Seguridad en entornos servidor Microsoft Windows Server 2003 y Windows 2000.

Presentación del tema: "Características de Seguridad en entornos servidor Microsoft Windows Server 2003 y Windows 2000."— Transcripción de la presentación:

1 Características de Seguridad en entornos servidor Microsoft Windows Server 2003 y Windows 2000

2 ¿Qué es TechNet? El recurso que ofrece la información técnica más completa para ayudar a los profesionales IT a evaluar, implantar, optimizar y dar soporte fácilmente a los productos Microsoft http://www.microsoft.com/spain/technet

3 ¿Qué ofrece TechNet?  Suscripción CD o DVD  Nuevos Servicios para suscriptores (Chat support & Managed newsgroups support)  Recursos online  Información y documentación técnica sobre los productos de Microsoft  Descargas de software  Area de seguridad  Participación en foros técnicos  Videos Técnicos Online  Chats y Webcast técnicos  Newsgroups con técnicos de Microsoft  Cases Studies: ejemplos empresariales reales  Boletín informativo TechNet Flash  Seminarios y jornadas técnicas Microsoft TechNet

4 Agenda  Importancia de la Seguridad  Mejoras de Seguridad en Windows Server 2003.  Implementación de seguridad en Windows Server 2003 y Windows 2000

5 Proteger las estaciones de trabajo ha sido cada vez más difícil debido a gran número de razones y dificultades. La Seguridad es una Preocupación de Todos. Los Sistemas de las Empresas están Globalmente Conectados y son cada vez más Complejos. Los Ataques son cada vez más Sofisticados y Destructivos Es difícil mantenerse al día con las Actualizaciones de Seguridad

6 Impacto en la Empresa.  De acuerdo con el informe denominado “Computer Crime and Security Survey” de 2001, realizado por el CSI (Computer Crime Institute) y el FBI:  Pérdidas financieras Cuantificadas de al menos $377M, ó $2M por cada uno de los encuestados.  El 40% detectó penetración en los sistemas desde el exterior; siendo un 25% en 2000  El 94% detectó virus informáticos; siendo un 85% in 2000 Los Fallos de Seguridad Tienen Costes Reales Fuente: Computer Security Institute (CSI) Computer Crime and Security Survey 2001 Fuente: InformationWeek.com, 10/15/01

7 Érase Una Vez… (No Hace Tanto Tiempo) Mainframes conectados a “terminales tontos”. Era relativamente fácil establecer Seguridad. Mainframe

8 Arquitectura Cliente/Servidor. Se aumenta la Productividad y se está expuesto a nuevos niveles de riesgo. Se Introdujeron Nuevas Tecnologías… Servers Mainframe

9 Internet y la movilidad aumentan los riesgos de Seguridad… Servidores Clientes Mainframe

10 Evolución de las Amenazas Ataques desde dentro por usuarios “autorizados”. Ataques desde dentro por usuarios “autorizados”. Corrupción de datos, pérdida de datos. Corrupción de datos, pérdida de datos. Penetración de Hackers (generalmente inocuo) Penetración de Hackers (generalmente inocuo) Amenazas anteriores, MÁS : Penetraciones maliciosas destructivas. Penetraciones maliciosas destructivas. Ataques de virus destructivos. Ataques de virus destructivos. Amenazas anteriores, MÁS : Caídas y Bloqueos de Sistemas. Caídas y Bloqueos de Sistemas. Manipulación y Robo de los Datos. Manipulación y Robo de los Datos. Herramientas de Seguridad en el Kit de Recursos Herramientas de Seguridad en el Kit de Recursos AutoSave AutoSave Macro Security – preguntar antes de abrir Macro Security – preguntar antes de abrir Protección de clave en el SalvaPantallas. Protección de clave en el SalvaPantallas. Soporte multi-usuario Limitado Soporte multi-usuario Limitado Herramientas y Características existentes, MÁS : Seguridad de Macros Multi-Nivel y firma de código. Seguridad de Macros Multi-Nivel y firma de código. Seguridad de Adjuntos Multi-Nivel en Outlook. Seguridad de Adjuntos Multi-Nivel en Outlook. Encriptación de Documentos; Claves en los Documentos. Encriptación de Documentos; Claves en los Documentos. Internet Connection Firewall con ISA Server Internet Connection Firewall con ISA Server Sistema de Ficheros Encriptados, PKI Sistema de Ficheros Encriptados, PKI Seguridad a Nivel de Usuario, Group Policy Objects, Auditorías. Seguridad a Nivel de Usuario, Group Policy Objects, Auditorías. Soporte para Smart Cards, Soporte Multi-usuario completo. Soporte para Smart Cards, Soporte Multi-usuario completo. 2000 2002 1997 Herramientas y Características existentes, MÁS : Seguridad en Outlook Multi-Nivel. Seguridad en Outlook Multi-Nivel. Encriptación Advanzada. Encriptación Advanzada. Herramientas de Gestión de la Seguridad Centralizadas. Herramientas de Gestión de la Seguridad Centralizadas. AutoRecovery AutoRecovery Conectividad Wireless Integrada. Conectividad Wireless Integrada. Internet Connection Firewall integrado. Internet Connection Firewall integrado. Evolución de la Tecnología Windows XP y Windows 2003

11 La Seguridad es tan Fuerte como el Eslabón más Débil.  La Tecnología no es ni el problema completo, ni la solución completa.  Los Sistemas de Seguridad dependen de: Tecnología, Procesos y Personas.

12 Estándares, Encriptación, Protección Características de Seguridad en los Productos Herramientas y Productos de Seguridad Planificación de la Seguridad PrevenciónDetecciónReacción Tecnología, Procesos, Personas Personal dedicado Formación Seguridad – mentalización y prioridad

13 Secure by Deployment Nuevas herramientas de gestión de parches. Nuevas herramientas de gestión de parches. 7 Cursos disponibles en Microsoft Official Curriculum 7 Cursos disponibles en Microsoft Official Curriculum Guías de Configuración de Seguridad Oficiales. Guías de Configuración de Seguridad Oficiales. Herramientas de Seguridad integradas. Herramientas de Seguridad integradas. Secure by Design Construir una arquitectura Segura Construir una arquitectura Segura Añadir características de Seguriad Añadir características de Seguriad Revisión de código y tests de penetración. Revisión de código y tests de penetración. Secure by Default 60% menos en la superficie de ataque por defecto respecto a Windows NT 4.0 SP3 60% menos en la superficie de ataque por defecto respecto a Windows NT 4.0 SP3 20+ servicios que no están por defecto. 20+ servicios que no están por defecto. Instalación de Servicios en modo seguro (IIS 6.0 Lockdown) Instalación de Servicios en modo seguro (IIS 6.0 Lockdown) Marco de la Seguridad: SD 3 +C Communications Writing Secure Code 2.0 Writing Secure Code 2.0 Webcasts de Architectura Webcasts de Architectura Conferencias como el IT Fourm Conferencias como el IT Fourm

14 Agenda  La importancia de la Seguridad  Mejoras de Seguridad en Windows Server 2003.

15 Seguridad en Directorio Activo  Relaciones de Confianza entre Bosques  Permite a los Administradores crear relaciones de confianza externas “forest-to-forest”  Autenticación entre Bosques  Permite acceso seguro a los recursos cuando la cuenta del usuario está en un Bosque y la cuenta de máquina pertenece a otro Bosque.  Autorización entre Bosques  Permite a los Administradores seleccionar usuarios y grupos de Bosques de confianza para incluirlos en grupos locales o ACLs.  IAS y Autenticación entre Bosques  Si los Bosques del Dir. Activo están em modo “cross- forest” con relaciones de confianza bidireccionales, entonces IAS/RADIUS pueden autenticar la cuenta de usuario del otro Bosque.

16 Demo Relaciones de Confianza entre Bosques

17 Mejoras en PKI  Soporte de Certificaciones Cruzadas.  Plantillas de Certificados Personalizables (Versión 2)  Delta CRLs  Key Archival/Recovery  Auto-enrollment  Auditoría de las acciones del Administrador. Ref.: Windows Server 2003 PKI Operations Guide http://www.microsoft.com/technet/prodtechnol/windows server2003/maintain/operate/ws03pkog.asp http://www.microsoft.com/technet/prodtechnol/windows server2003/maintain/operate/ws03pkog.asp

18 Mejoras en IIS  Revisiones de código por parte de expertos en seguridad independientes  No se instala por defecto  Servidor en estado “bloqueado por defecto”  Extensiones del servidor Web bloqueadas por defecto.  Identidad de procesos de usuario configurables.  Cuenta de servicios con pocos priviliegios 

19 Permisos  Permisos NFTS por defecto bloqueados:  Antes: Everyone Full Control  Ahora:  Everyone, Read y Execute (Sólo en Root)  Usuarios, Read and Execute, Create Folder, Create File  SYSTEM, Creator, Administrators Full Control  Permisos por defecto en Shares:  Antes: Everyone Full Control  Ahora: Everyone Read  Nuevas Características:  Herramienta de Permisos Efectivos  Cambiar el Owner mediante GUI

20 Demo Interfaz de Usuario para los Permisos

21 Qué tiene en común todos estos Servicios?  Alerter  Clipbook  Distributed Link Tracking (Server)  Imapi CDROM Burning Service  Human Interface Devices  ICS/ICF  Intersite Messaging  KDC  License Logging Manager  Terminal Server Discovery Service  Windows Image Acquisition  Messenger  NetMeeting  NetDDE  NetDDE DSDM  RRAS  Telnet  Themes  WebClient  Windows Audio Inicio = Deshabilitado

22 Cuentas de Servicio del Sistema Local Service y Network Service No hay que gestionar passwords No hay que gestionar passwords Se ejecuta con ligeramente más permisos que Authenticated User Se ejecuta con ligeramente más permisos que Authenticated User Local Service no se puede autenticar a través de la red, Network Service se autentica como la cuenta de máquina. Local Service no se puede autenticar a través de la red, Network Service se autentica como la cuenta de máquina. Local System No hay que gestionar passwords No hay que gestionar passwords Se salta los chequeos de seguridad Se salta los chequeos de seguridad Cuentas de Usuario Se ejecuta con menos privilegios que Local System Se ejecuta con menos privilegios que Local System Almacena el password como un LSA secret Almacena el password como un LSA secret Pueden ser complejas en la configuración Pueden ser complejas en la configuración

23 Internet Connection Firewall  Apareció incialmente en Windows XP  Se habilita en cada interfaz  Soporta LAN, Wireless, RAS  Elimina por defecto todo el tráfico IP de entrada  Bloquea por defecto el tráfico ICMP  Se pueden crear reglas para permitir el acceso a servicios  Puede registrar peticiones aceptadas y rechazadas.

24 Nuevas Caracterísitcas de IPSec Gestión IP Security Monitor IP Security Monitor Gestión en línea de comando con Netsh Gestión en línea de comando con Netsh Direcciones lógicas para configuración IP local Direcciones lógicas para configuración IP local Seguridad Criptografía más Robusta (Diffie-Hellman) Criptografía más Robusta (Diffie-Hellman) Seguridad en el Inicio del Sistema Seguridad en el Inicio del Sistema Política persistente. Política persistente. Interoperabilidad Funcionalidad de IPSec con (NAT) Funcionalidad de IPSec con (NAT) Integración mejorada de IPSec con NLB Integración mejorada de IPSec con NLB

25 Reglas de Excepción por defecto en IPSec Se almacenan en el Registro: HKLM\SYSTEM\CurrentControlSet\Services\IPSEC\NoDefaultExempt Valores de NoDefaultExempt0123  RSVP  IKE  Kerberos  Multicast  Broadcast  IKE  Multicast  Broadcast  RSVP  IKE  Kerberos  IKE  RSVP  IKE  Kerberos  Multicast  Broadcast  IKE  Multicast  Broadcast XX

26 Seguridad de Inicio de IPSec Demo

27 Network Access Quarantine para RRAS

28 Qué es Network Access Quarantine? El Cliente RAS cumple la política de Cuarentena El cliente RAS consigue acceso total a la red Cliente RAS desconectado 1.El cliente RAS no cumple la política de Cuarentena 2.Se alcanza el timeout de Cuarentena Cliente RAS puesto en Cuarentena El cliente Remoto se Autentica

29 Qué son las reglas de política? Las reglas de política de Cuarentena son configurables, las reglas comunes pueden incluir:  Service packs ó los últimos hotfixes instalados  Software Antivirus instalado  Ficheros de firmas de detección de Virus actualizados.  Routing deshabilitado en el cliente RAS  Internet Connection Firewall habilitado  Salvapantallas con protección de password habilitado.

30 Arquitectura de Cuarentena Perfil CM Ejecuta script personalizable post-conexiónEjecuta script personalizable post-conexión El Script ejecuta notificador RQC con “cadena de resultados”El Script ejecuta notificador RQC con “cadena de resultados” Listener RQS recibe del notificador “cadena de resultados”RQS recibe del notificador “cadena de resultados” Compara cadena conCompara cadena con posibles resultados posibles resultados Elimina time-out si seElimina time-out si se recibe respuesta pero el cliente no está recibe respuesta pero el cliente no está actualizado actualizado Quita la cuarentena si elQuita la cuarentena si el cliente está actualizado. cliente está actualizado. VSAs de Cuarentena MS-Quarantine- Session-Timeout MS-Quarantine- IPFilter Internet Cliente RAS Servidor RRAS Servidor IAS Cuarentena RQC.exe y RQS.exe están en el Kit de Recursos de Windows Server 2003

31 Proceso Detallado Connect Authenticate Authorize Quarantine VSA + Normal Filters Policy Check Result Remove Quarantine QuarantineAccess Full Access Internet Cliente RAS Servidor RRAS Servidor IAS Quarantine

32 Políticas de Restricción de Software.

33 Qué hace SRP  SRP puede:  Controlar qué programas se pueden ejecutar en una máquina  Permitir a los usuarios ejecutar exclusivamente ficheros específicos en máquinas con múltiples usuarios.  Controlar si las políticas de restricción de software afectan a todos ó a usuarios específicos.  Evitar que programas específicos se ejecuten en:  Máquina Local  Cualquier máquina en una OU, Site, ó Dominio

34 Políticas de Restricción de Software  Dos modos: Disallowed, Unrestricted  Control de código ejecutable: .ADE .ADP .BAS .BAT .CHM .CMD .CPL .CRT .EXE .HLP .HTA .INF .INS .ISP .JS .JSE .LNK .MDB .MDE .MSC .MSI .MSP .MST .PCD.PIF.REG.SCR.SCT.SHS.URL.VB.VBE.VBS.WSC.WSF.WSH

35 Contra qué no nos protege SRP  Drivers u otro software en modo kernel  No puede protegernos de SYSTEM  Cualquier programa con cuenta SYSTEM.  No puede protegernos de SYSTEM  Macros dentro de documentos Microsoft Office 2000 ó Office XP.  Utilizar opciones de seguridad de Macros  Programas escritos para “common language runtime”.  Estos programas utilizan “Code Access Security”

36 Tipos de reglas SRP Regla de Path Compara el path de un fichero contra una lista de paths permitidos Compara el path de un fichero contra una lista de paths permitidos Utilizar cuando se tiene una carpeta con múltiples ficheros de una aplicación. Utilizar cuando se tiene una carpeta con múltiples ficheros de una aplicación. Regla Hash Compara el hash MD5 ó SHA1 de un fichero respecto del que se intenta ejecutar Compara el hash MD5 ó SHA1 de un fichero respecto del que se intenta ejecutar Utilizarlo cuando se quiere permitir/prohibir la ejecución de cierta versión de un fichero. Utilizarlo cuando se quiere permitir/prohibir la ejecución de cierta versión de un fichero. Regla de Certificado Chequea la firma digital de las aplicaciones (i.e.Authenticode) Chequea la firma digital de las aplicaciones (i.e.Authenticode) Utilizar cuando se quiera restringir tanto aplicaciones win32 como contenido ActiveX Utilizar cuando se quiera restringir tanto aplicaciones win32 como contenido ActiveX Regla de Zona Internet Controla cómo se puede acceder a Zonas de Internet Controla cómo se puede acceder a Zonas de Internet Utilizar en entornos de alta seguridad para controlar el acceso a aplicaciones web Utilizar en entornos de alta seguridad para controlar el acceso a aplicaciones web

37 Precedencia de las Reglas  Qué ocurre cuando un programa cumple varias reglas?  Intentando ejecutar la calculadora c:\winntUnrestricted A6A44A0E8A76C7B2174DE68C5B0F724D:114688:32771Disallowed c:\winnt\system32\calc.exeDisallowed  Tiene precedencia la regla más específica: 1. Hash rule 2. Certificate rule 3. Path rule 4. Zone rule

38 Mejoras Generales

39  Cambio en la prioridad de búsqueda de DLL desde el directorio de trabajo a \windows\system32  Encriptación por defecto AES-256-bit en EFS  El grupo Everyone ya no incluye usuarios anónimos (Users y Guests)  Encriptación WebDAV  Carpetas offline encriptadas

40 Mejoras Generales  Soporte PEAP  Delegación restringida  Auditoría de seguridad detallada.  Auditoría de inicio de sesión de cuentas habilitado por defecto.  Integración DPAPI  Fichero de Ayuda ampliado en temas de Seguridad

41 Las Personas son los Activos de más valor.  Plantilla de Seguridad dedicada  Grupo de Seguridad especializado  Experiencia específica en seguridad  Formación  Formación en estándares, tecnologías, y procesos  Contribución de todas las partes de la Organización.  Conocimiento y cumplimiento de las directrices de la empresa para la seguridad física, políticas de passwords, procedimientos de acceso a datos.

42 Quarantine Whitepaper: Network Access Quarantine Whitepaper: http://www.microsoft.com/windowsserver2003/techinfo/overview/qu arantine.mspx http://www.microsoft.com/windowsserver2003/techinfo/overview/qu arantine.mspx Software Restriction Policy http://www.microsoft.com/windows2000/technologies/security/redir- wnetsafer.asp http://www.microsoft.com/windows2000/technologies/security/redir- wnetsafer.asp Windows Server 2003 Resource Kit Tools Download: http://go.microsoft.com/fwlink/?LinkId=4544 Apéndice Apéndice

43 Windows Server 2003 Security Configuration Guide  Windows Server 2003 Security Guide http://go.microsoft.com/fwlink/?LinkId=14846  Threats and Countermeasures: Security Settings in Windows Server 2003 and Windows XP http://go.microsoft.com/fwlink/?LinkId=15160

44 Implementación de Seguridad en el Servidor Windows 2000 y Windows Server 2003

45 Agenda  Necesidad de Seguridad.  Definición del Problema.  Seguridad de Servidores.  Seguridad del Dominio.  Fortificación de Servidores  Política para Servidores Independientes.  Fortificación de Controladores de Dominio.  Fortificación de Servidores según su Rol

46 Conocimientos Necesarios  Experiencia en conocimiento relacionado con Seguridad de Windows 2000 ó 2003.  Familiaridad con herramientas de Gestión de Windows.  Familiaridad con Políticas de Grupo. Level 200

47 Agenda  Necesidad de Seguridad.  Definición del Problema.  Seguridad de Servidores.  Seguridad del Dominio.  Fortificación de Servidores  Política para Servidores Independientes.  Fortificación de Controladores de Dominio.  Fortificación de Servidores según su Rol

48 Necesidad de Seguridad  Proteger Información  Proteger los canales de información  Minimizar paradas del servicio  Proteger los beneficios.  Evitar daño a la imagen  Proteger los procesos de los trabajadores

49 Definición del Problema Pequeña y Mediana Empresa Domain ControllerSQL Server IIS Server File Server Print Server  Los Servidores cumplen multitud de Roles.  Servidores Limitados  Recursos Disponibles Limitados  Características de Disponibilidad de Servicio Limitada.

50 Definición del Problema Pequeña y Mediana Empresa  Amenaza Accidental  Amenaza Interna  Servidor Comprometido ó Fallido  Afecta a múltiples Servicios Discove r Request Acknowledge Offer

51 Definición del Problema Pequeña y Mediana Empresa  Acceso a Internet  Recursos Limitados para implementar Seguridad completa.  Posibilidad de acceso malicioso a la red.

52 Definición del Problema Pequeña y Mediana Empresa  Departamentos IT pequeños.  No existe experiencia específica en Seguridad. Administrador del Dominio con algo de conocimiento en Seguridad. Soporte a Usuarios Poco conocimiento en Seguridad Soporte de Aplicaciones Algún Conocimiento de Seguridad de Aplicaciones.

53 Definición del Problema Pequeña y Mediana Empresa  Utilización de Sistemas antiguos  NO son posibles algunas configuraciones de Seguridad No se puede establecer comunicación SMB firmada digitalmente

54 Seguridad de Servidores Seguridad Física  El acceso físico a los Servidores anula algunos procedimientos de Seguridad

55 Seguridad de Servidores Acceso Autorizado Seguro  Componentes de un Acceso Autorizado Seguro  Autenticación  Listas de Control de Acceso  Cuenta del Administrador por defecto  Un Acceso Autorizado Seguro proporciona  Confidencialidad  Integridad  Seguimiento

56 Seguridad del Dominio Fronteras del Dominio  Fronteras de Seguridad  Bosque  Administradores Fiables  Fronteras de Gestión  Dominio  Unidades Organizativas  Fronteras Administrativas  Administradores del Dominio  Administradores de Servicios  Administradores de Datos

57 Seguridad del Dominio Configuración de Seguridad  Unidades Organizativas  Grupos Administrativos  Plantillas de Seguridad  Sincronización de Tiempo  Kerberos

58 Seguridad del Dominio Política del Dominio Account Policies User Rights Assignment Security Options  Políticas de Cuentas  Políticas de Claves  Políticas de Bloqueo  Políticas Kerberos

59 Demonstrar Estructuras de OU Demostrar Grupos Administrativos Crear y Mostrar los Fiecheros.inf de las Plantillas de Seguridad. Demostrar Configuraciones de Políticas de Cuentas Demo 1 Política del Dominio

60  Securidad vs Functionalidad  Configuraciones de Seguridad  Limitar la Superficie de Ataque  Evitar Acceso Innecesario  Comunicación Segura  Actualizaciones de Seguridad Fortificación de Servidores

61  Microsoft Baseline Security Analyzer  Análisis y Configuración de Seguridad  Plantillas de Seguridad  Group Policy  Secedit  GPResult  GPUpdate Fortificación de Servidores

62 Política para Servidores Independientes Parámetros de las Políticas  Aplicar Políticas a la OU de Servidores Independientes  Configuración Heredada por las OU hijas Política de Auditoría Asignación de Derechos de Usuario Opciones de Seguridad Registros de Eventos Servicios del Sistema Servidores Independientes

63 Política para Servidores Independientes Línea Base de Seguridad  Configuración Manual  Renombrar y cambiar la descripcion de las cuentas pre-definidas  Restringir el acceso de las cuentas pre- definidas y cuentas de servicio  No utilizar cuentas del dominio para los servicios en la medida de lo posible  Utilizar NTFS  Configurar encriptación en Terminal Services  No configurar “error reporting” (Sólo en Windows Server 2003)

64 Demo 2 Aplicar la Política de Servidores Independientes Aplicar Política GPUpdate GPResult

65 Fortificación de Controladores de Dominio Parámetros de las Políticas  A los Domain Controllers no les afecta la política de Servidores Independientes  Aplicar la Política a la OU de Domain Controllers Política de Auditoría Asignación de Derechos de Usuario Opciones de Seguridad Registros de Sucesos Servicios del Sistema Domain Controllers

66 Fortificación de Controladores de Domino Parámetros Adicionales  Adicionalmente  Cuentas específicas del Dominio en la Asignación de Derechos de Usuario  Ubicación del fichero log de Active Directory  Utilidad System Key(Syskey)  DNS integrado en Active Directory  IP Security (IPSec)

67 Demo 3 Fortificación de Controladores de Dominio Aplicar la Política de Domain Controller Ver SysKey

68 Fortificación de Servidores Según su Rol Servidores de Infraestructura  Heredan la configuración de la Política de Servidores Independientes  Configurar parámetros de Servicios  Dynamic Host Configuration Protocol (DHCP)  Windows Internet Name Service (WINS) Registro de Servicios Características de Disponibilidad Seguridad en cuentas locales IPSec

69 Fortificación de Servidores Según su Rol Servidores de Ficheros  Hereda la configuración de la política de Servidores Independientes  Configurar Servicios  Distributed File System (DFS)  File Replication Service (FRS)  Asegurar cuentas pre-definidas y de servicios  Configurar IPSec

70 Fortificación de Servidores Según su Rol Servidores de Impresoras  Hereda la configuración de la política de Servidores Independientes  Configurar Opciones de Seguridad  Configurar Servicios  Asegurar cuentas pre-definidas y de Servicios  Configurar IPSec

71 Fortificación de Servidores Según su Rol Internet Information Services (IIS)  Hereda los valores de la Política de Servidores Independientes  Configurar asignación de derechos de usuarios  Configurar Servicios  Habilitar únicamente los componentes esenciales de IIS  IIS deshabilitado por defecto en Windows Server 2003  Instalación nueva únicamente en servidores con contenido estático  Asegurar cuentas pre-definidas y de servicio  Configurar IPSec

72 Demo 4 Fortificación de Servidores Según su Rol Demonstrar Seguridad en IIS Aplicar Política de Seguridad de Servidor de Ficheros

73 Ejemplo de Combinación de Roles Servidor de Ficheros e Impresoras  Servidor de Ficheros: configurar firma digital de comunicaciones SMB  Servidor de Impresoras: La firma digital SMB no evita que se imiprima SINO QUE se vea la cola de impresión

74 Ejemplo de Servidor Aislado  No es parte de un Dominio  No se aplican Políticas de Grupo  Políticas locales  Herramienta de Configuración y Análisis de Seguridad  Secedit

75 Demo 5 Combinación de Roles y Fortificación de un Servidor Aislado Configuración y Análisis de Seguridad Secedit

76 Resumen  Necesidad de Seguridad.  Definición del Problema.  Seguridad de Servidores.  Seguridad del Dominio.  Fortificación de Servidores  Política para Servidores Independientes.  Fortificación de Controladores de Dominio.  Fortificación de Servidores según su Rol

77 Más Información  Información y recursos sobre seguridad de Microsoft  www.microsoft.com/spain/seguridad www.microsoft.com/spain/seguridad  www.microsoft.com/spain/technet/seguridad www.microsoft.com/spain/technet/seguridad  Windows 2000 Server Security Guide  http://www.microsoft.com/technet/treeview/d efault.asp?url=/technet/security/chklist/w2ks vrcl.asp http://www.microsoft.com/technet/treeview/d efault.asp?url=/technet/security/chklist/w2ks vrcl.asp http://www.microsoft.com/technet/treeview/d efault.asp?url=/technet/security/chklist/w2ks vrcl.asp  Guia de Seguridad de Windows Server 2003  http://www.microsoft.com/spain/technet/segu ridad/guias/guia_ws2003.asp http://www.microsoft.com/spain/technet/segu ridad/guias/guia_ws2003.asp http://www.microsoft.com/spain/technet/segu ridad/guias/guia_ws2003.asp

78