Wie kann ich testen ob mein Win 2003 Server mit IIS sicher ist?

[MaVeRiCk (AUT)]

Ich habe einen Windows 2003 Server mit IIS auf dem eine Homepage läuft eingerichtet! Wie kann ich testen ob dieser auch wirklich sicher ist?

 

[Gelöschtes Mitglied 27096]

nessus und nmap sind anhaltspunkte. bei kritischen anwendungen würde ich eine firma damit beauftragen

 

[jni]

- aktuelle Patches installieren
- Fireall aktiv, als einziger einkommender Port sollte 80 offen sein
- wichtige Ports mit Portscanner testen (WIndows Netzwerk z. B.) !
- schauen,daß nicht sinnlose Module eingschalten sind im IIS. Allerdings sind ja im IS6 die meisten unsicheren Dinge standardmäßig aus.
- Ob deine Web-Anwendungen sicher sind solltest du natürlich auch noch überprüfen

Jens

 

[Frankenheimer]

ich würde auch vorschlagen dass du dir nen weitern pc ins netz / lan hängst, ne linux live cd einwirfst und einen nessus scan aufführst. du könntest mal vorher im netz gucken ob es für nessus spezielle plugins gibt die sich nur auf dieses IIS spezialisiert haben.

 

[MaVeRiCk (AUT)]

Moment, nochmal langsam! Ich habe neben diesem Server noch 2 Linux Server laufen! Kann ich diese dafür nutzen, wenn ja wie? Habe nämlich von Linux nicht sehr viel Ahnung!

Ich musste leider mehrere Ports zum Server forwarden da ich RemoteDesktop, Port 80, 8098 und FTP öffnen!

 

[Frankenheimer]

Moment, nochmal langsam! Ich habe neben diesem Server noch 2 Linux Server laufen! Kann ich diese dafür nutzen, wenn ja wie? Habe nämlich von Linux nicht sehr viel Ahnung!

Ich musste leider mehrere Ports zum Server forwarden da ich RemoteDesktop, Port 80, 8098 und FTP öffnen!

ja du installierst auf einem der linux rechner nessus und gibst dem tool die ip deines windows pcs zum attackieren.

 

[MaVeRiCk (AUT)]

Blöde frage, wie installiere ich das Tool auf Linux? Habe nur eine Commandline!

 

[Gelöschtes Mitglied 27096]

http://www.remote-exploit.org/index.php/BackTrack ist ne livecd

 

[jAyR]

macht es euch doch nicht so schwer. wenn er keine ahnung von linux hat einfach mal nach nessus online check suchen... gibts zb auch auf www.port-scan.de soweit ich weiß