Comment sécuriser un site IIS, ajouter et activer l'authentification Windows

Par défaut, lors de la création d'un nouveau site Internet Information Services (IIS), il est ouvert à tous avec l'accès anonyme activé — n'importe qui peut accéder et voir les données hébergées par ce site. Évidemment, ceci est une préoccupation de sécurité pour la plupart des organisations. En effet, on me demande souvent, par des clients et des collègues, comment sécuriser un site IIS afin que seules les personnes souhaitées puissent y accéder.

La réponse est assez simple : Pour sécuriser un site IIS, il suffit de modifier les autorisations par défaut, d'activer l'authentification Windows pour les comptes utilisateurs et de désactiver l'authentification anonyme dans le gestionnaire IIS. Voici les étapes :

Comment sécuriser votre site IIS

1.Sélectionnez votre site et cliquez sur « Authentification ». Dans la capture d'écran ci-dessous, vous pouvez voir que j'ai de nombreux sites IIS, y compris un nommé « Default Web Site ».

2. Si vous avez Windows Authentication installé pour IIS, passez à l'étape 3. Si vous n'avez pas Windows Authentication intégré dans IIS, ajoutez cette fonctionnalité depuis le Gestionnaire de serveur sous « Rôles / Services » pour IIS.EX. IIS Windows Authentication Feature of IIS.

3. Activez l'option d'authentification Windows pour votre site :

4. Reconfigurez les permissions du site web. D'abord, nous allons rompre l'héritage puis nous retirerons les « Utilisateurs » de tout accès :

4.1 Cliquez-droit sur le site, sélectionnez « Modifier les autorisations »

4.2 Cliquez sur « Avancé ».

4.3 Cliquez sur « Modifier les autorisations ».

4.4 Décochez la case « Inclure les autorisations héritables de l'objet parent de cet objet ». Lorsque vous êtes averti par un message, sélectionnez AJOUTER. Cela copie simplement les autorisations existantes sans héritage ; c'est très important pour ne pas perturber le site pour vous-même et le système en général.

4.5 Supprimez la permission pour les utilisateurs. Cela désactivera la capacité pour tout utilisateur du domaine de simplement s'authentifier sur votre site pour consulter les rapports, tout en permettant aux administrateurs locaux et aux membres de IIS_IUSRS de se connecter et de consulter les rapports. (L'ensemble des permissions de base peut varier d'un système d'exploitation à l'autre.) Assurez-vous également que les principes de sécurité tels que « Tout le monde » et « Utilisateurs authentifiés » n'ont aucun accès.

4.6 Enfin, vous pouvez maintenant utiliser le bouton « Modifier » de base pour ajouter un accès en lecture seule pour certains utilisateurs et groupes. Dans mon cas, j'ai donné l'accès en lecture à mes rapports à Frank. Pour une utilisation basique du site, rien de plus que l'accès en lecture n'est vraiment nécessaire ; ne donnez à personne un accès Modifier ou Contrôle total à moins qu'il n'y ait un besoin spécial.

Notez que j'ai effectué ces tests sur Windows 2008 et Win 7, et je n'ai pas eu besoin de redémarrer IIS pour que ces modifications de configuration prennent effet.

Comment Netwrix peut-il aider ?

Netwrix Access Analyzer peut vous aider à renforcer la sécurité de votre infrastructure Windows et à minimiser le risque de data breach. Il vous permet de :

• Identifiez les vulnérabilités qui peuvent être exploitées par les attaquants pour compromettre les systèmes Windows et accéder à vos données.
• Appliquez des politiques de sécurité et opérationnelles grâce à l'analyse de la baseline configuration.
• Auditez et gouvernez les comptes privilégiés.
• Prouvez la conformité plus facilement avec des rapports préétablis et une transparence complète du système.

FAQ

Qu'est-ce que l'authentification Windows dans IIS ?

L'authentification Windows dans IIS est un type d'authentification sécurisé dans lequel les informations d'identification du compte utilisateur sont hachées avant d'être transmises sur le réseau.

L'authentification Windows est-elle la même que Active Directory ?

Non. Vous pouvez utiliser l'authentification Windows même si votre serveur n'est pas membre d'an Active Directory domain.

L'authentification Windows IIS utilise-t-elle LDAP ?

Non. IIS Windows Authentication prend en charge uniquement les protocoles Kerberos et NTLM.