Nous pourrions vous donner une réponse plus détaillée si vous nous indiquez le service que vous souhaitez fournir sur cette boîte Windows publique. Par exemple, IIS, OWA, DNS, etc.?
Pour verrouiller la boîte elle-même, commencez par la réponse de vlad en supprimant (ou ne pas installer pour commencer) les services / rôles supplémentaires sur la boîte qui ne seront plus nécessaires. Cela inclut tout logiciel tiers (pas Acrobat Reader, Flash, etc.) qui ne devrait pas être utilisé sur un serveur. Bien sûr, gardez les choses patches.
Configurez vos stratégies de pare-feu pour autoriser uniquement le trafic vers les ports appropriés pour les services que vous exécutez
Configurez un IDS / IPS avec des règles associées aux services que vous exécutez.
En fonction du risque / de la valeur de l'actif, envisagez d'installer un système IPS basé sur l'hôte en plus de votre système IPS périphérique, de préférence auprès d'un autre fournisseur.
En supposant que l'objectif principal est d'héberger un site Web, verrouiller IIS pose nettement moins de problèmes avec la version 7.5 (2008 R2), même si vous devez tout de même vous assurer que vous faites certaines choses telles que:
- Stocker les fichiers de site Web sur un volume différent des fichiers du système d'exploitation
- Saisissez un modèle de sécurité XML auprès de Microsoft, NSA, etc. comme base
- Supprimer ou verrouiller via NTFS tous les scripts de
\InetPub\AdminScripts
- Verrouillez les fichiers dangereux tels que appcmd, cmd.exe, etc.
- Utiliser IPSec pour contrôler le trafic entre la zone démilitarisée et les hôtes internes autorisés
- Si vous avez besoin d'AD, utilisez une forêt distincte dans votre zone démilitarisée que votre réseau interne.
- Assurez-vous que tous les sites requièrent des valeurs d'en-tête d'hôte (évitent l'analyse automatisée).
- Activez l'audit Windows de tous les événements ayant échoué et ayant abouti, à l'exception des événements suivants: accès au service Director, suivi des processus et événements système.
- Utilisez l'audit NTFS sur le système de fichiers pour consigner les actions ayant échoué par le groupe Tout le monde et veillez à augmenter la taille de votre journal de sécurité à une taille appropriée en fonction des sauvegardes (environ 500 Mo).
- Activer la journalisation HTTP pour le dossier racine
- Ne donnez pas de droits inutiles aux comptes d'utilisateurs exécutant des pools d'applications.
- Supprimez les modules ISAPI et CGI si vous n'en avez pas besoin.
Je ne veux pas faire cela trop longtemps, donc si vous avez besoin de plus d’informations sur une puce en particulier, laissez un commentaire.