Securización de Servidores Windows Grupos de Trabajo RedIRIS 2003 Rafael Calzada Pradas Universidad Carlos III de Madrid

Transcripción

1 Securización de Servidores Windows 2000 Grupos de Trabajo RedIRIS 2003 Rafael Calzada Pradas Universidad Carlos III de Madrid

2 índice Objetivo Instalación Sistema Operativo Servicios y Aplicaciones Parches Configuración Cortafuegos Auditoría IIS

3 Objetivo Puede configurarse un servidor Windows 2000 de forma que sea seguro? La seguridad absoluta no existe y Windows 2000 no es una excepción Tendremos que conformarnos con alcanzar un nivel de seguridad razonable

4 INTRODUCCIÓN Sistema Operativo Cortafuegos Antivirus IDS

5 SISTEMA OPERATIVO, Instalación Hay que realizarla desde un entorno seguro Tras cortafuegos con traducción de direcciones

6 SISTEMA OPERATIVO, Instalación Durante la instalación Instalar la versión inglesa, si es posible Utilizar particiones NTFS. Instalar sólo el protocolo TCP/IP No instalar componentes que no sean ABSOLUTAMENTE necesarios: Internet Information Services (IIS) Indexing Service SMTP Service

7 SISTEMA OPERATIVO, Instalación Deshabilitar servicios que no se utilicen Asociados a IIS FTP Publishing Service IIS Admin Service NNTP WWW Publishing Service (mejor no instalar IIS) Server (Si no se comparten impresoras/ficheros) SNMP (Salvo que se utilice para monitorización) Telnet

8 Podemos sacarlo de la incubadora?

9 SISTEMA OPERATIVO, Actualización windowsupdate.microsoft.com HFNetChk.exe Microsoft Baseline Security Advisor/Analyzer Software Update Services

10 SISTEMA OPERATIVO, Actualización windowsupdate.microsoft.com Contiene controles ActiveX Válido para equipos cliente Pero muy arriesgado para servidores Parches que facilitan DOS UPnP Parches que provocan re-instalaciones SQL Server Nueva política de parches de Microsoft?

11 SISTEMA OPERATIVO, Actualización HFNetChk.exe Analiza los parches instalados/pendientes de instalación. Puede examinar un conjunto de servidores Soporta: Windows XP, 2000 y NT 4.0 SQL Server 7.0 y 2000 IIS 4.0 y 5.0 Explorer 5.01 o superior Microsoft Data Engine (MSDE)

12 SISTEMA OPERATIVO, Actualización Microsoft Baseline Security Analyzer/Advisor Detecta configuraciones de seguridad erróneas. Necesita Windows 2000 o XP Incluye una versión gratuita de HFNetChk. Necesita IIS Common Files para evaluar servidores IIS. Interfaz gráfico Verificar vulnerabilidades Windows NT, 2000, XP y 2003, IIS, SQL, IE Parches instalados/pendientes Contraseñas débiles

13 SISTEMA OPERATIVO, Actualización

14 SISTEMA OPERATIVO, Actualización Software Update Services Copia local de windowsupdate.microsoft.com Clientes Permite seleccionar los parches disponibles Windows 2000 y XP Instalación de actualizaciones gestionable (Active Directory o Logon scripts) Servidor Windows 2000 SP2 con IIS Permite sincronización entre varios servidores SUS.

15 REFERENCIAS Herramientas de actualización Microsoft Baseline Security Analyzer MBSAhome.asp hfnetchkpro: Software Updates Services

16 Podemos sacarlo de la incubadora?

17 SISTEMA OPERATIVO, Puertos abiertos Muchos abiertos De algunos de ellos no tenemos documentación sobre su cometido. Necesitaremos: Cortafuegos Probablemente un analizador de protocolos.

18 SISTEMA OPERATIVO, Puertos abiertos Red Corporativa

19 SISTEMA OPERATIVO, Cortafuegos Incluído en Windows 2000 Fiable Poco flexible Insuficiente

20 SISTEMA OPERATIVO, Cortafuegos pktfilter Utiliza el API de RRAS Sintaxis y flexibilidad similar a IP Filter. Otros Cortafuegos Kerio Outpost Sygate Permite configuración en remoto con interfaz gráfico. Gestión centralizada de la configuración de varios servidores.

21 REFERENCIAS Cortafuegos: pktfilter, IP Filter, Cortafuegos Personales (Software) Analizadores de protocolos

22 Podemos sacarlo de la incubadora?

23 SISTEMA OPERATIVO, Cuentas Cuenta Guest/Invitado Deshabilitar la cuenta. Renombrarla a uno nombre no obvio. Fijarle una contraseña fuerte. Restringir el inicio de sesión en el sistema.. Cuenta de Administrador Renombrarla? Crear otra cuenta con permisos de Administrador

24 SISTEMA OPERATIVO, Configuración de seguridad Integrado en la consola del sistema (mmc) Gestiona desde un único punto: Política de cuentas y contraseñas. Política de auditoría y opciones de seguridad Opciones de eventos Gestión de grupos especiales Permisos acceso al registro Permisos de acceso a los sistemas de ficheros

25 SISTEMA OPERATIVO, Configuración de seguridad Permite aplicar plantillas de medidas de seguridad Son ficheros de configuración, por defecto incluye: Básica, permite volver a la seguridad por defecto. Compatible, nivel razonable para equipos de usuario. Segura, nivel de seguridad más elevado, auditoría. Alta Seguridad, implica IPSec. Controlador de Dominio dedicado, permisos especiales.

26 SISTEMA OPERATIVO, Configuración de Seguridad Plantillas de seguridad disponibles desde otros organismos (NSA, NIST). Permite aplicar la misma política en todos los servidores similares. Más rápido. Más fiable. Además las medidas se añaden a las existentes en el sistema Se pueden personalizar las plantillas

27 SISTEMA OPERATIVO, Configuración de seguridad Permite contrastar una plantilla con la política existente.

28 SISTEMA OPERATIVO, Fotografía del sistema Antes de que se contamine. Permitirá tener una referencia para cuando suceda algo Qué tiene que incluir esta foto? Relación de cosas que se ejecutan Programas. Servicios. Controladores de dispositivo. Puertos abiertos y programa asociado a ellos. Librerías dinámicas utlizadas por los programas. Resumen (MD5 o SHA1) de los ficheros importantes

29 SISTEMA OPERATIVO, Fotografía del sistema Para hacer la foto al sistema en ejecución Forensic Incident Response Environment CD (FIRE) pstools + fport msinfo32.exe /report swenv.txt /categories +swenv Sistemas de Gestión de Integridad OSIRIS, compatible windows/unix. AIDE, requiere cygwin sysdiff, incorporada en Windows Resource Kit

30 REFERENCIAS Programas para fotografiar el sistema FIRE, pstools, fport, msinfo32, Sistemas de Gestión de Integridad de Ficheros Osiris, AIDE,

31 APLICACIONES, Antivirus e IDS Antivirus, Con actualización periódica y automatizada. Sistema de Detección de Intrusiones (IDS) Necesario para cubrir las zonas de sombra del IDS corporativo. Monitoriza intentos interesantes Relacionados con el Sistema Operativo y los servicios. Recolección de trazas centralizada. Debe ser ligero

32 REFERENCIAS Sistemas de Detección de Intrusiones

33 Podemos sacarlo de la incubadora? Meta Volante Meta Volante

34 SERVIDOR IIS, Pasos a seguir Realizar la instalación y configuración desde la incubadora. Restringir los restantes servicios Deshabilitar NetBIOS sobre TCP/IP Hacer la fotografía del sistema. Configuración segura de IIS.

35 IIS, Instalación No instalar el servidor Web en el directorio por defecto X:\inetpub\wwwroot Eliminiar el interfaz de administración Web Utilizar Terminal Server o VNC Aplicar una plantilla de seguridad restrictiva Hisecweb.inf

36 IIS, IIS Lockdown y UrlScan IIS Lockdown Plantilla de permisos de IIS Deshabilita directorios peligrosos Instala UrlScan. Versión obsoleta

37 IIS, IIS Lockdown y UrlScan UrlScan Filtro ISAPI Monitoriza las peticiones que se realizan a IIS Permite rechazar peticiones Por tamaño, tipo de petición, contenido de la URL, etc Permite guardar traza de su funcionamiento La última versión no está incluída en IIS Lockdown IIS 6.0 incorpora algunas de sus funcionalidades Configuración C:\Winnt\System32\inetsrv\urlscan\urlscan.ini

38 IIS, ACLs de directorios Tipo de Fichero Permisos Todos Admin. System CGI (.exe,.dll,.cmd,.pl) Ejecución Total Total Script (.asp) Ejecución Total Total Includes (.inc,.shtm,. shtml) Estático (.txt,.gif,.jpg,. htm) Ejecución Total Total Lectura Total Total

39 IIS, Activar trazas y Control IP Añadir las indicadas en rojo Dirección IP del cliente Usuario Método URI Stem HTTP Status Win32 Status User Agent Dirección IP y puerto del servidor (en clúster) Si se puede, restringir el rango de IP de los clientes

40 IIS, Eliminar extensiones no utilizadas Passwd reset.htr Internet Database Connector.idc Internet Printing.printer Index Server.htw,.ida,.idq

41 IIS, Toques finales Eliminar los componentes COM no utilizados File System Object, utilizado al menos por Site Server regsvr32 scrrun.dll /u Deshabilitar directorios padre Permitida por defecto, permite referenciar ficheros desde ASP. O vigilar los permisos de ejecución de los directorios padre

42 REFERENCIAS Guias de configuración segura de IIS IIS 5.0 Baseline Security Checklist Secure Internet Information Services 5 Checklist Plantilla de seguridad hisecweb.inf

43 CONSEJOS FINALES Monitorizar el funcionamiento del servidor Ficheros de traza y visor de eventos. No utilizar el servidor como estación personal Para navegar, leer el correo, etc. No utilizar Internet Explorer salvo que sea estrictamente necesario Y sólo para visualizar servidores Web de confianza La seguridad no depende sólo del servidor Tener en cuenta a los clientes.

44 REFERENCIAS Guías de seguridad de Windows /secwin2k/default.asp Configuración de Seguridad, plantillas

45 DESPEDIDA MUCHAS GRACIAS POR VUESTRA ATENCIÓN