Hay varias mejoras con SP1 entre las que destacan:

Transcripción

1 1. Introducción 2. Service Pack 1 de W 3. Instalación del Servic Windows Server 2003 Service Pack 1: Características de Seguridad Menú 3.1 Tipos de instalaci 3.2 Instalación 4. Agregado de nuevas 5. DEP (Data Execution 6. Firewall de Windows 7. Post instalación de l seguridad (PSSU) 8. Asistente de configur (Security Configurati 9. Revisión histórica 1. Introducción Windows 2003 Service Pack 1 tiene algunas diferencias en comparación con los Service Pack que Microso Service Pack (SP) solo incluía actualizaciones de seguridad y correcciones a fallas en los equipos Windo hotfixes, este SP al igual que el SP2 de Windows XP, tiene agregados de funcionalidad con lo cual se preten la funcionalidad de los equipos con Windows El objetivo principal de publicar un Service Pack es r usuarios dedican a la instalación de actualizaciones y correcciones mediante un empaquetado que contenga t seguridad, correcciones a problemas del Sistema operativo, compatibilidad de programas, entre otros. 2. Service Pack 1 de Windows Server 2003 El SP1 de Windows Server 2003 se caracteriza por tener actualizaciones y nuevas funcionalidades. Entre las actualizaciones que incluye este SP1 destacan las realizadas a Internet Explorer, y Outlook Expres problemas de descarga de código malicioso y el redireccionamiento a sitios Web maliciosos. En cuanto a Ou la visualización de correo en html y se coloca la opción de visualización en formato de texto. Hay varias mejoras con SP1 entre las que destacan: Soporte para hardware de no ejecución de código desde la memoria. El hardware compatible con soportado por Windows Server La protección de hardware DEP marca no ejecutable todos menos que cierta posición de memoria contenga explícitamente un código ejecutable. Esta protec ingresan datos en memoria y los ejecutan desde posiciones no ejecutables. Auditoria de la metabase de IIS 6.0. Con esta nueva característica se puede auditar los cambios en vea comprometida. Esta auditoria se activa con Auditar el acceso a objetos en las políticas de segurida 1

2 También el SP1 de Windows Server 2003 ofrece nuevas funcionalidades con las cuales se puede mejorar la esta son: Firewall de Windows. Es similar al firewall de Windows XP, la diferencia principal del de XP con 20 desactivado de forma predeterminada, por lo que se debe activar. Este firewall remplaza al Internet Co Entre las cosas que se pueden hacer con el firewall de Windows se encuentran: las excepciones para p puede seleccionar el tipo de trafico ICMP. Post Setup Security Updates (PSSU). Los servidores son vulnerables durante el tiempo que transcurr instalación y la aplicación de las últimas actualizaciones de seguridad. Para responder a esto, Microso Pack 1 utiliza el Firewall de Windows para bloquear todas las conexiones entrantes al servidor despué que Windows Update distribuya las actualizaciones de seguridad más recientes a nuevo equipo. Despu Firewall de Windows se desactiva hasta que se configure para las funciones del servidor. PSSU tambi través de la configuración inmediata de Actualizaciones Automáticas. Security Configuration Wizard (SCW). SCW es un asistente que configura la seguridad del servidor ba actuales de los servidores. SCW formula preguntas acerca de dichos roles, y, a continuación, para todo sean necesarios para ejecutar dichas funciones. SCW no añade funciones pero sí configura el servidor que realice. Esta nueva funcionalidad, cuya función consiste en cerrar las puertas que no se utilicen, a de ataque de Windows Server Instalación del Service Pack Tipos de instalación El SP1 de Windows Server 2003 esta disponible en dos versiones; tanto para 32 bit como para 64 bi Existen diferentes métodos para realizar la instalación de este SP1 entre las que se encuentran: Usando el archivo fuente para realizar una instalación individual. Para esto necesitamos: Bajar el archivo ejecutable WindowsServer2003 KB SP1 x86 XXX.exe del donde XXX es el lenguaje en el que se encuentra el SP1. CDROM con el SP1, desde el cual podremos realizar la instalación. Los archivos de instalación en un recurso compartido. Mediante Systems Management Server (SMS) se puede realizar una instalación del SP1 en to ejecutando Windows Server Para realizar esto necesitas tener SMS 2.0 con SP5, SMS 2 con SP1. Usando Windows Installer y Políticas de Grupo. Mediante esta opción necesitamos descompr poder instalarlo usando esta técnica. Integrando el SP1 de Windows Server En este método lo que se busca es integrar el SP1 instalación de Windows Server Para realizar esto se requiere de la opción /integrate de donde se encuentren los archivos de instalación de 2003, lo que ser realiza es una combinació de los archivos. 3.2 Instalación A continuación realizaremos una instalación del SP1 con el archivo que se obtuvo de la página de Mic 1. Primero se obtiene el SP1 del Sitio de Microsoft en: 2

3 2. Ejecutamos el archivo WindowsServer2003 KB SP1 x86 ENU.exe obtenido desde el me 3. Con lo anterior inicia la extracción de los archivos del SP1. 4. A continuación aparecerá la ventana de bienvenida, la cual nos dará algunas recomendaciones, sele 3

4 5. Aparecerá el contrato de licencia en el cual se deberá de seleccionar "I Agree" en caso de d instalación. 6. La instalación crea una copia de seguridad de los archivos del sistema. De esta forma se podrá d caso de ser necesario. 7. Con lo anterior iniciará la instalación del SP1 de Windows Server

5 8. Al finalizar la instalación el sistema requerirá ser reiniciado para poder aplicar los cambios realiza finalizaría el proceso de instalación del SP1. Además tendremos la opción de no reiniciar el sistema en 4. Agregado de nuevas políticas. 5

6 Con la instalación del SP1 se agregan nuevas políticas para realizar un mayor control en Internet Explo controlar algunas aplicaciones y servicios. 5. DEP (Data Execution Prevention) Este es una de las mejoras de SP1 con este se soporta tanto en software como en hardware la DEP o Preven en memoria, la cual es un conjunto de herramientas de hardware y software destinadas a proteger la ejecuc memoria. 6

7 La protección de software que incorpora Windows Server 2003 SP1 esta diseñada para dar soporte tanto a la DEP como a los procesadores que no la poseen. De esta manera se logra una protección por software de l memoria y la minimización del riesgo. La ventaja principal de DEP es que ayuda a evitar que se ejecute código desde páginas de datos como la zona forma predeterminada, algunas pilas y pools de memoria. En las operaciones normales del sistema, el código n zona de variables dinámicas y la pila por defecto. DEP mediante hardware detecta el código que se ejecuta d lanza una excepción cuando se produce dicha ejecución. Si la excepción es no administrada, el proceso se código desde memoria protegida en modo kernel provocará un error. DEP puede ayudar a mitigar un tipo de exploits de seguridad. Concretamente, es capaz de evitar que el explo tipo de ataque haya inyectado un proceso con código adicional logre ejecutar el código inyectado. En un sist del código inyectado daría lugar a una excepción. DEP mediante software puede ayudar a mitigar los exploits de excepciones en Windows. Otra ventaja de DEP es que permite a los desarrolladores de aplicaciones y de drivers utilizar las mejores p métodos óptimos. De hecho, DEP obliga a los desarrolladores a evitar que se ejecute código fuera de las pági dichas páginas se marquen explícitamente como ejecutables. Se puede realizar una configuración de DEP en Propiedades del sistema > Avanzados > Prevención esta pestaña se puede realizar una selección de aplicaciones o servicios a los que se desea que no se les apl solo para programas y servicios esenciales de Windows. 7

8 La mayoría de las aplicaciones no presentan un problema en su funcionamiento normal que haga que DEP ocurrir una excepción entonces se presentara un mensaje de prevención al usuario alertándolo del problema. 8

9 6. Firewall de Windows Al igual que con el SP2 de Windows XP, Windows Server 2003 SP 1 tiene un firewall agregado, el cual Conection Firewall. Con el Firewall de Windows ahora no solo se pueden seleccionar puertos autor información, también se puede seleccionar aplicaciones, lo cual nos permite tener un mayor control en nuestro La gran diferencia entre el firewall de Windows XP y el 2003 radica en que este último viene deshabilitado de servicio se deberá iniciarse manualmente desde la consola de Windows Firewall en el Panel de Control. Como firewall personal, el Firewall de Windows inspecciona y filtra el tráfico TCP/IP versión 4 (IPv4) y además de poder especificar excepciones con las cuales se permite el tráfico a determinadas aplicaciones y pu Otro cambio importante en éste servicio, es que ahora las configuraciones son globales. Esto significa, por e equipo conectado por teléfono y varios ISP; en todos los casos se establece la misma configuración para cualq También podemos cambiar las configuraciones por cada una de las conexiones o desactivar el firewall para u pestaña de Avanzado de la consola del Windows Firewall. 9

10 Otra ventaja es la posibilidad de hacer un log de las conexiones exitosas, como así también de los paquetes Firewall. Permitiendo de esta forma analizar la conectividad de servidor. La cual puede observarse o modific pestaña de Avanzado de la consola de Windows Firewall. Windows Firewall nos permite realizar configuraciones específicas para las excepciones y de esta forma e mismas. A través de esta configuración de excepciones podremos, por ejemplo, habilitar una determinada aplicación cierto alcance fuera del equipo. Un ejemplo sería una aplicación de utilización interna de la organización y q mediante Internet, provocando que la aplicación funcione, pero no tenga más permiso del necesario. También ésta configuración de alcance está disponible para los servicios que brinde nuestro servidor. A m forzar a que el servicio de compartir archivos e impresora, sea sólo local, restringiendo el acceso desde más al Las excepciones pueden ser configuradas con varios alcances, tal como: Cualquier equipo incluyendo los del Internet. Solo los equipos de mi red. Lista de direcciones de redes. 10

11 De ésta manera podemos permitir que una aplicación, que actúa también como servicio esté habilitada. Existen 5 formas de establecer excepciones: 1. Programado: Este es el método recomendado para los ISV (Vendedores de Software Independientes) momento de la instalación del producto establecer las excepciones de la aplicación que se está instalan 2. Línea de comando: Este método es el elegido por los Administradores de IT puesto que es posible gen configuración del servicio. Este método esta disponible tanto para Windows XP SP2 como para Wind 3. GPOs: Con la instalación de Windows Server 2003 SP1 se habilitan las políticas para establecer la co Windows XP SP2 como de Windows Server 2003 SP1. 4. En el mensaje de notificación de Windows Firewall: Si disponemos de permisos de Administrador y u establecer la escucha en un puerto TCP, se abrirá un mensaje de advertencia en el equipo. Este nos pe aplicación/puerto, bloquearlo, o no dejar a la aplicación ponerse a la escucha y volver a preguntar si v 11

12 5. Configuración manual: En la consola de configuración de Windows Firewall seleccionar la aplicación Finalmente con el SP1 de 2003 se puede configurar el Firewall de Windows a través de GPOs. El contro equipos con Windows XP con SP2 y Windows Server 2003 con SP1. 12

13 7. Post instalación de las actualizaciones de seguridad (PSSU) Este asistente pos instalación sólo estará disponible en las instalaciones nuevas del producto Windows Serve 1 incluido en la fuente de instalación. También estará disponible en las instalaciones de actualización desde no así en las de Windows 2000/2003. PSSU no aparecerá cuando el servidor esté siendo actualizado desde los siguientes sistemas operativos: De Windows 2000 a Windows Server 2003 con Service Pack 1 De Windows Server 2003 a Windows Server 2003 con Service Pack 1 El asistente pos instalación limitará el tráfico entrante al servidor desde el inicio de la instalación y hasta la co será cuando el usuario finalice el asistente. Esto lo realizará con la ayuda del Firewall de Windows el cua nueva instalación de Windows Server 2003 que incluya SP1. Con esto se evitará que el equipo se contagie co Internet como Blaster. 13

14 De forma tal de asegurarnos que en el servidor no podrá haber posibilidad de que un troyano o virus ingres hayamos bajado desde Windows Update, con lo cuál para realizar este asistente necesitamos conexión a Intern Esta ventana de actualización nos permitirá bajar desde la Web las últimas actualizaciones de seguridad. iniciar por primera vez el equipo después de realizar una instalación de Windows 2003 con SP1. Al seleccionar Actualizar este servidor se nos abrirá la página de Windows Update para realizar la actu estableceremos las actualizaciones automáticas en el mismo. 14

15 Al cerrar el asistente nos mostrará un mensaje el cual nos advertirá que cuando se cierre ese mensaje se entrantes a ese servidor. Por lo que se recomienda verificar si ya se tiene todas las actualizaciones de segurida Finalmente habría que mencionar que se deben de configurar las actualizaciones automáticas, con lo cual alguna actualización importante al sistema operativo. Esto se puede realizar en Propiedades del S Actualizaciones Automáticas. 15

16 8. Asistente de configuración de seguridad (Security Configuration Wizard, SCW) El Asistente de Configuración de Seguridad (SCW) es una herramienta que te permite reducir la superfi Windows 2003 con SP1. SCW determina la funcionalidad mínima requerida para una determinada fun deshabilita funcionalidades que no son requeridas para el servidor. Entre las funcionalidades que pod Controlador de Dominio, DHCP, WINS, DNS, Servidor de aplicaciones, servidor de archivos, Microso impresión, entre otros. Por lo que el asistente de configuración de seguridad realiza: Deshabilita servicios no necesarios. Deshabilita extensiones Web del Internet Information Services (IIS). Bloquea puertas sin usar. Soporta escenarios de direcciones múltiples de servidor. Abre puertos seguros mediante el uso de Internet Protocol Security (IPSec). Reduce la exposición de los protocolos LDAP, NTLM y SMB. Importa plantilla de seguridad de Windows para configuraciones de aplicaciones que no son configura Puede realizar análisis de equipos remotamente. No instala componentes o inicia servicios para realizar determinadas funciones. Este asistente no está instalado en forma predeterminada, sino que hay que incluirlo desde los componentes d control > Agregar o quitar programas > Agregar o quitar componentes de Windows. En el asi Windows buscamos Asistente de configuración de seguridad y seleccionamos siguiente. Con lo cual terminar herramienta. 16

17 Ya instalada la herramienta esta puede encontrarse en Herramientas administrativas > Asistente p seguridad. Este asistente en forma muy completa, nos guiará en el proceso de configuración que comienza la ventana de A continuación nos mostrara la ventana de Acciones de configuración, dicha ventana nos permitirá realizar las Crear una nueva política de seguridad: Con la posibilidad luego de guardarla en un archivo "XML" p otros servidores sin necesidad de completar nuevamente todos los pasos. Editar una política de seguridad desde un archivo XML: De esta forma, podemos cambiar una config aplicarla en el mismo u otro equipo. Aplicar una configuración existente: A través de un archivo XML ya confeccionado establecemos la c en el equipo en el cuál estamos utilizando el asistente, sin necesidad de especificar paso a paso la conf Volver al estado anterior de configuración: Muy útil si se ha cometido un error en la aplicación de un Este paso nos vuelve al último estado antes de la aplicación de la mencionada errónea política de segu 17

18 Al elegir crear una nueva política de seguridad veremos la siguiente ventana que nos pedirá el nombre del s establecer la política de seguridad. Paso siguiente se realizará el análisis de las funciones del servidor basándose en la base de datos que el asisten Una vez realizada la verificación de las funciones del servidor se le pedirá al usuario intervención para selecc cuales quitar del servidor. Una de las características importantes en esta parte, es la posibilidad de analizar en forma más específica c breve descripción de su funcionalidad y servicios asociados. 18

19 Luego de la selección de las funciones que dejaremos y cuales quitaremos del servidor, especificaremos ta puertos que deseamos dejar abiertos en el servidor. En estas ventanas estableceremos también en forma avanzada, tanto el alcance de un determinado puerto ó a cifrado u otras opciones de la comunicación. 19

20 También mediante este asistente configuraremos las opciones del registro en cuanto a qué sistemas operativ conectarse al servidor y los métodos de autentificación que contra él serán aceptados. Paso siguiente configuraremos las opciones de auditoria del servidor. 20

21 Una vez terminada la configuración, guardaremos la misma en un archivo XML si lo deseamos y tendremo incluir en él las plantilla de seguridad hasta hoy existentes desde Windows

22 Por último elegiremos si deseamos aplicar esta configuración en el momento o luego, a través del archivo gua Finalmente el asistente de configuración de seguridad incluye un comando para la línea de comandos el cual e se logrará aplicar políticas de seguridad a múltiples máquinas en la organización a través de un script, el cual s 9. Revisión histórica Última Actualización y Revisión: 08 de Septiembre de 2005 El Departamento de Seguridad en Computo/UNAM CERT agradece el apoyo en la elaboración y revisión de Juan López Morales (jlopez@correo.seguridad.unam.mx) Para mayor información acerca de éste tutorial de seguridad contactar a: 22

23 UNAM CERT Equipo de Respuesta a Incidentes UNAM Departamento de Seguridad en Cómputo DGSCA UNAM E Mail : seguridad@seguridad.unam.mx cert.unam.mx ftp://ftp.seguridad.unam.mx Tel : Fax :