Cómo mejorar el Asistente de configuración de seguridad en Win 2003

El Asistente de configuración de seguridad proporciona una manera conveniente de crear o modificar la política de seguridad de un servidor en función de una función que puede aplicarse a varios servidores de destino que ejecutan la misma función mediante la Política de grupo. También puede usar SCW para revertir una política a su configuración anterior con fines de recuperación. Con SCW, puede comparar la configuración de seguridad del servidor con las políticas de seguridad requeridas para buscar configuraciones vulnerables en su sistema. El Asistente de configuración de seguridad ayuda a determinar los eventos que ocurren en los servidores de Windows 2003 e implementa la protección. Hoy, le mostraré cómo usar este asistente.

Cuando instala SP1 o R2, el Asistente de configuración de seguridad no se instala automáticamente. Se requieren los siguientes pasos para la instalación adicional:

Haga clic en " Inicio " | " Configuración " | " Panel de control "

Seleccione " Agregar o quitar programas  

Seleccione " Agregar /Quitar componentes de Windows "

Marque " Asistente de configuración de seguridad " casilla de verificación, haga clic en " Siguiente ". Asegúrese de obtener el medio de origen.

Una vez completada la instalación, en " Inicio " " Todos los programas " | " Herramientas administrativas " | " Asistente de configuración de seguridad " Lanzador.

Si está ejecutando esta herramienta por primera vez, deberá proporcionar un servidor (cada servidor del grupo tiene políticas de seguridad diferentes debido a las diferentes funciones). En el asistente, puede ver una lista de roles de servidor: incluido el servidor y el cliente. Por ejemplo, puede haber un servidor que ejecute el servidor SMS 2003 y la otra máquina que instale el cliente SMS 2003. Seleccione un rol para el servidor. Puede elegir si desea permitir servicios de administración como BITS (Servicio de mensajería en segundo plano), navegador, administración de navegador, escritorio remoto, servidor proxy AQL y más. Microsoft no puede proporcionar todos los servicios posibles en el servidor, por lo que el asistente también brinda la opción de "ignorar o limitar" los servicios que no están en la lista.

Además de los servicios, el asistente también le permite habilitar o deshabilitar los puertos TCP /IP. También puede usar esta herramienta para restringir que una computadora o un conjunto de direcciones IP inicien sesión en un puerto TCP /IP específico. Por ejemplo, si solo permite que las personas que administran licencias de red creen conexiones con Escritorio remoto, puede limitar el puerto a 3389 para la subred.

La política se puede cambiar para afectar el procesamiento y la impresión de archivos SMB. Por ejemplo, si el servidor tiene suficiente capacidad, puede marcar todo el tráfico SMB y evitar que ambos lados del cliente ataquen. El mismo método también se puede utilizar para marcar el tráfico LDAP. En esta política, todos los clientes que ejecutan Windows 2000 SP3 y versiones posteriores reciben instrucciones para ayudar a proteger la información de LDAP en la red.

Otras áreas:

Configuración de auditoría: determine si la auditoría es posible y audite los inicios de sesión exitosos o las actividades exitosas y no exitosas.

IIS: ¿Qué extensiones de IIS deben activarse? Por ejemplo, ASP.NET 1.1, ASP.NET 2.0, Server Side Incluye y WebDAV. ¿Qué directorio virtual debe activarse? Por ejemplo, es posible que desee bloquear el directorio de inicio de sesión del archivo IISAdmin.

En resumen, el Asistente de configuración de seguridad tiene algunas tendencias extremas y se necesita mucho tiempo para adaptarse al estado de "igual de apropiado", pero es muy beneficioso para los efectos de seguridad. En Windows Server 2003 SP1 y R2, Microsoft ha configurado una nueva herramienta que puede ayudar a determinar qué programas se ejecutan en los sistemas Windows Server 2003, lo que reduce la probabilidad de ataques. En resumen, al usar el Asistente de configuración de seguridad, puede observar todo el sistema y detener funciones no deseadas.