Microsoft publica un conjunto de guías y herramientas para ayudar a los
administradores de sistemas en la comprensión e implementación de los
mecanismos de seguridad existentes en el sistema operativo Windows 2000
Server.
En los últimos meses Microsoft está hablando del concepto “trustworthy
computing” o informática de confianza. Se trata de uno de esos conceptos
difusos y poco explicados que Microsoft frecuentemente utiliza.
Básicamente el objetivo es poder ofrecer unos productos que puedan
considerarse como “seguros en su diseño, seguros en su configuración por
defecto, seguros en el momento de desplegarlos y seguros en los
mecanismos de comunicaciones utilizados”. El lector de “una-al-día” sabe
que estos objetivos todavía están lejos de alcanzarse.
Para ayudar a los administradores de sistemas en la planificación de
todos los procesos y decisiones que son necesarios tomar para obtener un
nivel adecuado de seguridad y garantizar que dicho nivel se mantenga,
Microsoft ha publicado un conjunto de guías y herramientas que cubren
todo el abanico de opciones de seguridad existentes en Windows 2000
Server así como en Internet Information Server 5.0.
* Securing Windows 2000 Server
La primera guía está dividida en once capítulos que tratan los
siguientes temas:
1. Introducción a la seguridad de Windows 2000 Server.
2. Discusión de los componentes de seguridad necesarios para realizar un
análisis de la organización.
3. Metodologías para el análisis de la seguridad.
4. Aplicando disciplinas de gestión de riesgos de seguridad.
5. Protección de la infraestructura de dominio.
6. Fortalecimiento de Windows 2000 Server.
7. Fortalecimiento de los roles específicos para servidores-
8. Gestión de parches.
9. Auditoría y detección de intrusiones.
10. Respuesta a incidencias de seguridad.
11. Conclusiones.
* IIS Lockdown
El objetivo de esta herramienta es desactivar todas aquellas
características disponibles en IIS que no son utilizadas o que pueden
afectar a la seguridad del sistema.
* URLScan
Esta es una herramienta de seguridad muy potente que permite aplicar
mecanismos para la restricción de las peticiones HTTP tratadas por el
servidor web, de forma que es posible bloquear posibles peticiones
malévolas como las utilizadas en ataques de desbordamiento de búfer.
* Lista de verificación de la seguridad de IIS
Este documento incluye algunas recomendaciones y buenas prácticas para
la protección de los servidores web basados en IIS y Windows 2000 con el
objetivo de disponer de la configuración más segura.
xavi@hispasec.com
Deja un comentario