Qui descriviamo le procedure consigliate per configurare la sicurezza di un server Web che esegue Microsoft Windows e Internet Information Services (IIS). Essendo il Web server un processo, il quale viene eseguito all'interno del sistema operativo, è tacito che una buona sicurezza del sistema inizi proprio nel considerare l'interazione di IIS col sistema.

IPSec: è consigliabile impostare i criteri per il filtraggio di pacchetti IPSec (Internet Protocol Security) in ogni server Web. Questi criteri implementano un ulteriore livello di sicurezza in caso di violazione dei firewall . È buona norma impostare più livelli di sicurezza: se ne fallisce uno, c'è sempre una seconda porta da forzare. In generale è necessario bloccare tutti i protocolli TCP/IP diversi dai protocolli che si desidera supportare e le porte da utilizzare. Per l'implementazione dei criteri IPSec, è possibile utilizzare lo strumento di amministrazione IPSec o lo strumento della riga di comando IPSecPol.

Telnet: se si prevede di utilizzare il server Telnet incluso in Windows, è consigliabile specificare gli utenti che sono autorizzati ad accedere al servizio. A tale scopo, eseguire la procedura seguente:

• Avviare lo strumento Utenti e gruppi locali.
• Fare clic con il pulsante destro del mouse sul nodo Gruppo e scegliere Nuovo gruppo dal menu di scelta rapida.
• Nella casella Nome gruppo digitare >TelnetClients.
• Fare clic su Aggiungi e aggiungere gli utenti a cui si desidera consentire l'accesso telnet al computer.
• Fare clic su Crea e quindi su Chiudi.

Dopo l'aggiunta del gruppo TelnetClients, il servizio Telnet consente l'accesso al server solo agli utenti appartenenti al gruppo creato in precedenza.

Impostazione degli elenchi ACL appropriati nelle directory virtuali: Sebbene la procedura descritta di seguito vari a seconda dell' applicazione , è possibile definire alcune regole che permettono di evitare intrusioni comuni nel sistema. Ecco una serie di operazioni utili:

• Elenchi ACL predefiniti consigliati in base al tipo di file: Anziché impostare gli elenchi ACL per ogni file, è consigliabile creare nuove directory per ogni tipo di file, impostare gli ACL per le directory e consentire l'ereditarietà degli elenchi per i file. Una struttura di directory potrebbe essere simile alla seguente:
  • c:\inetpub\wwwroot\mioserver\static(.html).
  • c:\inetpub\wwwroot\mioserver\inclusione (.inc).
  • c:\inetpub\wwwroot\mioserver\script (.asp).
  • c:\inetpub\wwwroot\mioserver\eseguibili (.dll).
  • c:\inetpub\wwwroot\mioserver\immagini (.gif, .jpeg).
  È inoltre importante prestare particolare attenzione alle seguenti directory:
  • c:\inetpub\ftproot ( server FTP).
  • c:\inetpub\mailroot ( server SMTP).
  In entrambe queste directory l'elenco ACL è Everyone (Controllo completo) e deve essere sovrascritto con autorizzazioni più restrittive a seconda del livello di funzionalità del sistema in uso. Se si desidera supportare Everyone (Scrittura), spostare la cartella in un volume diverso da quello del server IIS oppure, tramite le quote disco di Windows 2000, limitare la quantità di dati che è possibile scrivere in queste directory.

  Tipo di file	Elenchi di controllo di accesso (ACL>, Access Control List)
  Processi CGI (.exe, .dll, .cmd, .pl)	Everyone (X) Administrators (Controllo completo) System (Controllo completo)
  Inclusioni lato server (.asp)	Everyone (X) Administrators (Controllo completo) System (Controllo completo)
  File di inclusione (.inc, .shtm, .shtml)	Everyone (X) Administrators (Controllo completo) System (Controllo completo)
  Oggetti statici (.txt, .gif, . jpg, .html)	Everyone (R) Administrators (Controllo completo) System (Controllo completo)

• Rimuovere ciò che non serve: L'installazione delle applicazioni di esempio, che non devono essere mai installate in un server di produzione, non viene eseguita per impostazione predefinita. Alcune applicazioni vengono installate in modo che siano accessibili solo da http://localhost, o 127.0.0.1. È comunque necessario rimuoverle.

  Applicazione di esempio	Directory virtuale	Posizione
  Applicazioni di esempi IIS	IISSamples	c:\inetpub\iissamples
  Documentazione IIS	IISHelp	c:\winnt\help\iishelp
  Accesso ai dati	\MSADC	c:\Programmi\Filecomuni\System\Msadc

Disabilitazione o rimozione di componenti COM non necessari: per la maggior parte delle applicazioni alcuni componenti COM non sono necessari e devono essere rimossi. In particolare, è consigliabile disabilitare il componente File System Object. Con questa operazione, tuttavia, viene rimosso anche l'oggetto Dictionary. È importante tenere presente che i componenti disabilitati potrebbero essere necessari per alcuni programmi. Ad esempio, Site Server 3.0 utilizza il componente File System Object, che è possibile disabilitare tramite il comando seguente:

Rimozione della directory virtuale IISADMPWD: la directory virtuale IISADMPWD consente di ripristinare la password di Windows NT e di Windows 2000. La directory è stata progettata principalmente per reti Intranet. Non viene installata automaticamente insieme a IIS 5 e non viene rimossa quando si aggiorna un server IIS 4 a IIS 5. È necessario rimuoverla se non si utilizza una rete Intranet o se il server viene connesso al Web.

Rimozione di mapping di script non utilizzati: IIS è stato preconfigurato per il supporto delle estensioni di nomi di file comuni, quali asp e shtm. Le richieste di uno di questi tipi di file ricevute da IIS vengono gestite da una DLL. Se alcune di queste estensioni o funzionalità non vengono utilizzate, è necessario rimuovere i riferimenti corrispondenti eseguendo la procedura seguente:

• Aprire Gestione Internet Services.
• Fare clic con il pulsante destro del mouse sul server Web e scegliere Proprietà.
• Proprietà principali.
• Scegliere Servizio WWW, quindi Modifica, HomeDirectory e infine Configurazione.
• Rimuovere i riferimenti indicati di seguito.

Disabilitazione dei percorsi principali: L'opzione Abilita percorsi principali consente di utilizzare .. nelle chiamate a funzioni quali MapPath. Per impostazione predefinita, l'opzione è selezionata e deve essere disattivata. A tale scopo, eseguire la procedura seguente:

• Fare clic con il pulsante destro del mouse sulla radice del sito Web e scegliere Proprietà dal menu di scelta rapida.
• Fare clic sulla scheda Home directory.
• Fare clic su Configurazione.
• Fare clic sulla scheda Opzioni applicazione .
• Deselezionare la casella di controllo Abilita percorsi principali.