So sichern Sie eine IIS-Website, fügen Sie hinzu & aktivieren Sie die Windows-Authentifizierung

Standardmäßig ist eine neu erstellte Internet Information Services (IIS)-Website für jeden mit aktiviertem anonymen Zugriff offen – jeder kann auf die von dieser Website gehosteten Daten zugreifen und sie einsehen. Natürlich ist dies für die meisten Organisationen ein Sicherheitsrisiko. Tatsächlich werde ich oft von Kunden und Kollegen gefragt, wie man eine IIS-Website absichert, sodass nur die gewünschten Personen darauf zugreifen können.

Die Antwort ist ziemlich einfach: Um eine IIS-Website zu sichern, muss man lediglich die Standardberechtigungen ändern, die Windows-Authentifizierung für Benutzerkonten aktivieren und die anonyme Authentifizierung im IIS-Manager deaktivieren. Hier sind die Schritte:

So sichern Sie Ihre IIS-Website

1.Wählen Sie Ihre Website aus und klicken Sie auf „Authentifizierung“. Im folgenden Screenshot können Sie sehen, dass ich viele IIS-Websites habe, einschließlich einer mit dem Namen „Default Web Site“.

2. Wenn Sie Windows-Authentifizierung für IIS installiert haben, fahren Sie mit Schritt 3 fort. Wenn Sie keine Windows-Authentifizierung in IIS integriert haben, fügen Sie dieses Feature über den Server-Manager unter „Rollen/Dienste“ für IIS hinzu. Bsp. IIS Windows Authentication Feature of IIS.

3. Aktivieren Sie die Windows-Authentifizierungsoption für Ihre Website:

4. Konfigurieren Sie die Berechtigungen der Website neu. Zuerst werden wir die Vererbung unterbrechen und dann entfernen wir „Benutzer“ von jeglichem Zugriff:

4.1 Klicken Sie mit der rechten Maustaste auf die Website und wählen Sie „Berechtigungen bearbeiten“

4.2 Klicken Sie auf „Erweitert.“

4.3 Klicken Sie auf „Berechtigungen ändern.“

4.4 Deaktivieren Sie das Kästchen „Vererbbare Berechtigungen von übergeordnetem Objekt einbeziehen“. Wenn eine Warnung erscheint, wählen Sie HINZUFÜGEN. Dadurch werden die bestehenden Berechtigungen einfach ohne Vererbung kopiert; das ist sehr wichtig, um die Website für Sie selbst und das System im Allgemeinen nicht zu beeinträchtigen.

4.5 Löschen Sie die Berechtigung für Benutzer. Dadurch wird die Möglichkeit für alle Domänenbenutzer deaktiviert, sich einfach zu authentifizieren, um die Berichte auf Ihrer Website anzusehen, während lokalen Administratoren und Mitgliedern von IIS_IUSRS weiterhin der Login und das Ansehen der Berichte ermöglicht wird. (Der Satz der Basisberechtigungen kann von Betriebssystem zu Betriebssystem variieren.) Stellen Sie außerdem sicher, dass Sicherheitsprinzipale wie „Jeder“ und „Authentifizierte Benutzer“ keinen Zugang haben.

4.6 Zuletzt können Sie nun den grundlegenden „Bearbeiten“-Button verwenden, um ausgewählten Benutzern und Gruppen Lesezugriff zu gewähren. In meinem Fall habe ich Frank Lesezugriff auf meine Berichte gegeben. Für die grundlegende Nutzung der Website ist wirklich nichts mehr als Lesezugriff erforderlich; geben Sie niemandem Änderungs- oder Vollzugriff, es sei denn, es besteht ein besonderer Bedarf.

Beachten Sie, dass ich diese Tests auf Windows 2008 und Win 7 durchgeführt habe und es nicht notwendig war, IIS neu zu starten, damit diese Konfigurationsänderungen wirksam wurden.

Wie kann Netwrix helfen?

Netwrix Access Analyzer kann Ihnen helfen, die Sicherheit Ihrer Windows-Infrastruktur zu verbessern und das Risiko einer Datenpanne zu minimieren. Es ermöglicht Ihnen Folgendes:

• Identifizieren Sie Schwachstellen, die von Angreifern genutzt werden können, um Windows-Systeme zu kompromittieren und an Ihre Daten zu gelangen.
• Durchsetzung von Sicherheits- und Betriebsrichtlinien durch Baseline Configuration-Analyse.
• Auditieren und verwalten Sie Privileged Accounts.
• Erweisen Sie Compliance einfacher mit vorgefertigten Berichten und vollständiger Systemtransparenz.

FAQ

Was ist Windows-Authentifizierung in IIS?

Windows-Authentifizierung in IIS ist eine sichere Authentifizierungsart, bei der die Benutzerkontozugangsdaten gehasht werden, bevor sie über das Netzwerk übertragen werden.

Ist die Windows-Authentifizierung dasselbe wie Active Directory?

Nein. Sie können Windows-Authentifizierung verwenden, auch wenn Ihr Server kein Mitglied einer Active Directory domain ist.

Verwendet die IIS Windows-Authentifizierung LDAP?

Nein. IIS Windows Authentication unterstützt nur die Protokolle Kerberos und NTLM.