Site pour sécuriser IIS et Apache

par **memorys** » 17 Avr 2002 12:02

Si KKun connait un/des sites expliquant comment sécuriser (pas juste des recommandations...) un serveur IIS et Apache, qu'il me fasse signe parce que je suis partant pour en faire un donc... Si c'est déjà fait, ben je me prendrai pas la tête <IMG SRC="images/smiles/icon_biggrin.gif">

par **micj** » 17 Avr 2002 15:51

Je crois qu'essayer de sécuriser un serveur IIS est une hérèsie en tant que tel. Pourquoi ne te penches-tu pas plus vers une distribution Linux style SME.

par **memorys** » 17 Avr 2002 16:24

Je pense que l'on peut sécuriser IIS mais il faut aussi passer par une sécurisation de NT4 et 2000. D'accord, les failles s'accumulent ainsi que les patchs et que Apache 2.x est CARREMENT plus performant que IIS... Mais il y a qd meme bcp de monde qui s'interesse à IIS. Donc voili voilou <IMG SRC="images/smiles/icon_razz.gif"> En plus mon expérience en matière de webserver est + importante sur IIS donc maintenant, je connais les pièges à éviter <IMG SRC="images/smiles/icon_lol.gif"> <IMG SRC="images/smiles/icon_help.gif"> "Oui, c'est bien moi... Fantomas"

par **drlin** » 17 Avr 2002 17:42

sécuriser IIS :----> débranche le cable réseau <IMG SRC="images/smiles/icon_lol.gif"> desactive tout les mapping d'applications, (asa,asp,idc, etc....) et retire tout les répertoires virtuels, et installe PHP sur le serveur IIS... pour apache, il existe deux millions de pages de configurations qui doivent être lues pour savoir comment configurer un server apache (apache est plutôt sécurisé, c'est plutôt les scripts PHP, CGI,PERL, etc.... qui ont des problèmes de sécurité) a+

par **micj** » 17 Avr 2002 17:49

Oui mais ce que je reproche surtout à IIS c'est le serveur sous-jacent. As-tu déjà essayé d'insérer un sniffer entre un serveur NT/W2K et le réseau, et de voir ce qui passe sur le réseau pendant le démarrage - c'est effrayant le nombre de trames qui passent pour rien et qui sont en prime des sources de problèmes de sécurité flagrants.

par **memorys** » 17 Avr 2002 20:06

Bon visiblement, tout me monde tire à boulet rouge sur IIS (remarquez vous avez sans doute pas tort... <IMG SRC="images/smiles/icon_lol.gif"> ). Donc, si vous connaissez des sites expliquant "how to secure" ton webserver Apache, merci de me les faire parvenir. Amicalement <IMG SRC="images/smiles/icon_help.gif"> "Et oui c'est bien moi...Fantomas..."

par **micj** » 17 Avr 2002 20:40

Reprennons donc le problème depuis le début... tu comptes le faire tourner sur quoi ton serveur Apache? <IMG SRC="images/smiles/icon_confused.gif">

par **OXO90** » 18 Avr 2002 07:56

A titre d'information, de plus en plus de produits s'appuit sur IIS pour fonctionner car il utilise la couche Web pour leur configuration. Je pense aux antivirus et aux serveurs de messagerie notamment. <IMG SRC="images/smiles/icon_bawling.gif"> De plus dans les versions Pro de windows un IIS est inclus limité à 10 connections mais il est quand même présent. Donc je pense qu'il est nécessaire de ne pas négliger, le fait et cela mêm si je ne suis pas un fan de IIS le côté sécurité, de la bête. <IMG SRC="images/smiles/icon_frown.gif">

par **micj** » 18 Avr 2002 08:04

Il est vrai que c'est inclus, mais tout le monde sait que quand quelque chose est gratuit, cela ne vaut rien! Blague mise à part, il faut aussi envisager ce côté des choses et voir comment rendre cette machine plus ou moins potable. Tout d'abord, installer une copie neuve en n'incluant pratiquement rien dans l'OS. version minimale-minimaliste. Bon départ, supprimer tous les protocoles inutiles (uniquement tcp/ip est nécessaire, tout le reste à la poubelle) Ensuite cela doit être une machine purement standalone, sûrement pas rattachée à un domaine ou workgroup quelqconque . Troisièmement, je dirais supprimer les trois-quart des services qui tourne sur la machine en procédant par essais-erreur, pour diminuer au maximum la charge et les process inutiles. Dernière chose, installer un solide sniffer intelligent et regarder ce que ce serveur envoit encore sur le réseau comme chose inutile. Et supprimer en conséquence. Lorsque tout cela est fait se doter d'un solide antivirus et l'installer.

par **memorys** » 18 Avr 2002 11:42

Bien en fait, pour tout vous dire, je sais comment bien configurer un serveur IIS... Il ya bcp de choses à faire et en fait, je voudrai créer un site SUR la sécurisation de IIS (et Apache/Win coz je suis trop nul sur Linux)... Donc ma question était : Connaissez vous des sites qui sont dédiés à cette tâche (Sécu IIS et Apache) ? Car si çà existe déjà, je vais pas réinventer la roue <IMG SRC="images/smiles/icon_lol.gif"> <IMG SRC="images/smiles/icon_help.gif"> "Et oui c'est bien moi... Fantomas !"

par **yoz** » 18 Avr 2002 16:25

salut, j'ai trouvé ca : "Après les patchs cumulatifs pour Internet Explorer et pour IIS, Microsoft vient de mettre à disposition des administrateurs réseaux et des particuliers un utilitaire appelé Microsoft Baseline Security Analyzer. Ce dernier permet de recenser tous les patchs de sécurité manquant à votre machine. Les logiciels concernés sont : Windows NT 4.0, Windows 2000, Windows XP, Internet Information Server (IIS) 4.0 et 5.0, SQL Server 7.0 et 2000, Internet Explorer (IE) 5.01 et plus récents, Office 2000 et XP. Ce petit utilitaire de 2,5 mo est trés simple d'utilisation et posséde une interface style Windows XP trés agréable. Microsoft Baseline Security Analyzer est disponible <a href="http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/Tools/mbsahome.asp" target="_blank">http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/Tools/mbsahome.asp</a> " source : adsl-facile.com @+

par **memorys** » 18 Avr 2002 16:51

Heu... Laisses tomber MBSA... c'est HFNetchk avec un interface graphique. Et encore, çà platouille grave sur mon poste... Au fait, c'est pas une réponse à ma question çà ???!!! <IMG SRC="images/smiles/icon_razz.gif">

par **yoz** » 18 Avr 2002 19:57

je fais avec se ke je trouve... desole allez tu m'en veux pas ? <IMG SRC="images/smiles/icon_bise.gif"> lol @+

par **Ghostrider** » 18 Avr 2002 22:53

Connais tu IISFaq <a href="http://www.iisfaq.com" target="_blank">www.iisfaq.com</a> site consacré à IIS, c le seul que j'ai sous la main à proposer j'espère qu'il fera l'affaire Sinon tirez pas sur le pianiste <IMG SRC="images/smiles/icon_biggrin.gif">

par **bruno** » 18 Avr 2002 23:06

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2002-04-18 22:53, Ghostrider a écrit: c le seul que j'ai sous la main à proposer </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Sacré ghostrider ! toujours des bonnes adresses ! <IMG SRC="images/smiles/icon_biggrin.gif">

Site pour sécuriser IIS et Apache

Qui est en ligne ?