Planificación del servidor de seguridad

Servidor de funciones de revisión

La física del hardware y los componentes lógicos de la red son necesarias para proporcionar una serie de características para la red, tales como la conectividad, las rutas y la capacidad de conmutación, seguridad de la red, y el control de acceso. La infraestructura de red ha de existir antes de que los servidores necesarios para apoyar los servicios y aplicaciones que son requeridos por sus usuarios puedan desplegarse en su entorno de red. Si bien Windows Server 2003 proporciona una serie de funciones y herramientas cuando se instala en una computadora, usted tiene que aplicar nuevas características y funcionalidad en un servidor para proporcionar los servicios y las capacidades requeridas por la organización y sus usuarios.
Con Windows Server 2003 se produjo la introducción de funciones de servidor. Servidor de grupo de funciones relacionadas con tareas administrativas, y se utilizan para realizar una prestación concreta en la capacidad o función para el diseño de redes. Con Windows Server 2003, si configura un servidor para un determinado servidor de papel, una serie de servicios adicionales, características y herramientas se instalan para el servidor. De esta manera, el servidor está configurado para proporcionar los servicios necesarios a sus usuarios. Servidores se pueden configurar para realizar una serie de funciones. Las aplicaciones que el servidor está en ejecución especificar la función de cada servidor en particular.

Un servidor algunas funciones se enumeran a continuación. Para Windows Server 2003, hay una serie de funciones diferentes de servidor que puede configurar utilizando el Configure su servidor Mago del Administrar el servidor de utilidad:

Selección del Sistema Operativo (SO)

Para cada una de las mencionadas funciones diferentes de servidor que pueden ser configuradas en Windows Server 2003, es necesario que usted tome las configuraciones de seguridad que deben utilizarse para cada función de servidor. Al planificar la seguridad del servidor, uno de los elementos iniciales que usted necesita para cerciorarse de que Windows es el sistema operativo (OS), usted tiene que utilizar en la organización. Esto es particularmente importante debido a que cada sistema operativo específico de seguridad ofrece diferentes configuraciones que puede utilizar para ejecutar el servidor de seguridad.

El servidor Windows sistemas operativos se enumeran a continuación, junto con los requisitos mínimos del sistema para la instalación de cada sistema operativo. Para la instalación de un sistema operativo Windows para un servidor, el servidor debe cumplir los requisitos mínimos del sistema del sistema operativo:

Como se mencionó anteriormente, cada servidor de Windows el sistema operativo proporciona características diferentes, y diferentes configuraciones de seguridad que puede ser activado para poder mejorar la seguridad y el servidor de seguridad de la red. Por lo tanto, antes de decidir sobre el sistema operativo a utilizar, usted tiene que saber que la funcionalidad de servidor de sistema y características de seguridad son necesarios para su diseño de red, según lo determinado por la organización. Cada servidor Windows versión del sistema que se introdujo se acompaña de nuevas características y mejoras adicionales de seguridad. Este concepto se ilustra en el resto de esta sección del artículo.

Las ediciones de Windows 2000 han sido diseñadas para aumentar la fiabilidad del sistema y la disponibilidad y escalabilidad.

Windows 2000 Server soporta la función TCP / IP de redes de servicios tales como DNS dinámico (DDNS), Dynamic Host Configuration Protocol (DHCP), automática de direcciones IP privadas (APIPA), y Windows Internet Name Service (WINS) para atrás apoyo a modo de entornos mixtos. Windows 2000 Server también proporciona Servicios de Internet Information Server (IIS), Sistema de archivos distribuido (DFS), enrutamiento y acceso remoto para la política de gestión basada en los servidores de acceso remoto, la función de Servicios de Terminal Server, almacenamiento extraíble para administrar medios extraíbles, Servicios para Macintosh, Servicios de Gateway para NetWare y Servicios para Unix de interoperabilidad en un entorno de red heterogéneos. Windows 2000 también soporta la Conectividad abierta de base de datos (ODBC) de software, servicios de mensajes Queuing, y Component Object Model (COM +). Esto hace posible que las nuevas aplicaciones para interoperar con el software existente y los datos. Windows 2000 incluye nuevas impresoras, módem y controladores de hardware que simplifica aún más la instalación de hardware, y hace que sea más eficaz. Windows 2000 incluye soporte para USB, IEEE 1394, Configuración Avanzada y Power Interface (ACPI) y la configuración de dispositivos de administración de energía. Windows 2000 puede soportar tipos de dispositivo que son incómodos para su uso en Windows NT, e incluye un puerto paralelo bidireccional conductor que permite la comunicación con muchos más dispositivos. Windows 2000 incluye el Plug and Play (PnP) característica. Windows 2000 soporta el Win32 Driver Model (WDM) y el controlador de dispositivo firma característica. Por último, Windows 2000 proporciona la versión 5 de NTFS características y mejoras de seguridad.

El protocolo de autentificación Kerberos es el protocolo de autenticación por defecto utilizado para Windows 2000, Windows XP Professional y Windows Server 2003. Autenticación Kerberos fue inicialmente introducido en Windows 2000. Kerberos utiliza autenticación mutua para verificar lo siguiente:

Autenticación Kerberos ofrece una mayor seguridad sobre el protocolo de autenticación NTLM, entre ellas las siguientes

Kerberos versión 5 hace uso de un 'ticket' estrategia válida para autenticar usuarios de la red, y proporciona autenticación mutua entre usuarios y recursos. El tipo de autenticación Kerberos depende de la distribución de claves Center (KDC) para emitir billetes. Cada red cliente hace uso de DNS para encontrar el más cercano disponible KDC para obtener un ticket de Kerberos. El billete por lo general permanece activo durante unos 8 o 10 horas. El Centro de Distribución de claves (KDC) es un servicio que se ejecuta como un componente de Active Directory. El Centro de Distribución de claves (KDC) administra la base de datos de seguridad la información de la cuenta por cada valor principal dentro de un dominio. El KDC tiene la clave criptográfica que sólo es conocida por el particular de la seguridad principal y el KDC. Esta clave criptográfica, que también se llama a largo plazo clave, se forman a partir de la contraseña de inicio de sesión del usuario, y se utiliza cuando el KDC y el director de seguridad interactúan. Debido a que cada controlador de dominio en Windows Server 2003 dominios funciona como un KDC, tolerancia a fallos está habilitado para el dominio.

Windows Server 2003 soporta el protocolo de autenticación NTLM para proporcionar compatibilidad de los anteriores sistemas operativos (SOs) como para Windows NT 4 compatibilidad. Secure Sockets Layer / Transport Layer Seguridad (SSL / TLS) y digerir la autenticación se utiliza típicamente para aplicaciones Web. SSL / TLS se basa en X.509 de clave pública permite que los certificados y autenticación mutua entre el cliente y el servidor.

Windows 2000 El sistema operativo también incluyó el apoyo para las tarjetas inteligentes. Autenticación de tarjetas inteligentes se basa en el uso de tarjetas inteligentes y se apoya en Windows 2000 y Windows Server 2003. Una tarjeta inteligente es un dispositivo de seguridad o tarjeta de crédito de tamaño token de hardware que puede ser usado para proporcionar protección adicional a las aplicaciones y protocolos de seguridad.

Las tarjetas inteligentes proporcionan las siguientes características:

En entornos de red, tarjetas inteligentes se utilizan normalmente para fines siguientes

Active Directory es, en realidad, la característica más importante introducida en Windows 2000 debido a que trae consigo unos importantes cambios estructurales de dominio. Los dominios de Active Directory en el uso de nombres de dominio DNS estructura, y no los nombres NetBIOS estructura utilizada en los dominios de Windows NT. A causa de DNS, los dominios de Active Directory están estructurados en un modelo jerárquico. Dominio de los árboles es el concepto utilizado para describir jerárquicamente estructurado grupos de dominios con un nombre contiguo, mientras que la agrupación de árboles con una noncontiguous de nombres se llaman los bosques. Puede definir las relaciones de confianza entre los bosques para facilitar la comunicación.

Con el lanzamiento de Microsoft Windows Server 2003 un buen número de mejoras y características que se introdujeron no estaban disponibles anteriormente en Windows 2000 Active Directory. Estas mejoras fueron destinadas a mejorar la escalabilidad, eficiencia, velocidad y el rendimiento de Active Directory, y abordó algunas deficiencias o insuficiencias de la versión anterior de Active Directory utilizado en Windows 2000 Server. Cuando un controlador de dominio que ejecute Windows Server 2003 se crea, una serie de Active Directory características básicas son inmediatamente instalado y disponible para el Windows Server 2003 controlador de dominio. Algunas otras características de Active Directory sólo están disponibles cuando las condiciones particulares existentes en la red.

Adicional características de Active Directory puede ser permitido, pero depende de las siguientes condiciones, o factores:

Dominio de los bosques y niveles funcionales proporciona los medios por los cuales se puede activar adicionales en todo el dominio y los bosques a escala características de Active Directory, eliminar anticuadas compatibilidad con versiones anteriores dentro de su entorno, y mejorar el rendimiento de Active Directory y la seguridad.

El dominio funcional de los niveles que se pueden establecer para Active Directory en Windows Server 2003 se enumeran a continuación. La Mezcla de Windows 2000 y Windows Native niveles funcionales de dominio estaban disponibles en Windows 2000 para permitir la compatibilidad con versiones anteriores a los sistemas operativos como Windows NT 4,0. Los dos últimos niveles funcionales sólo están disponibles con Windows Server 2003.

El bosque niveles funcionales que pueden establecerse para Active Directory en Windows Server 2003 se indican a continuación.

Cómo comprobar qué nivel de dominio función se establece para el dominio

  1. Abra el Active Directory Dominios y confía en la consola.
  2. Haga clic derecho en el dominio particular, cuyo nivel funcional que desea comprobar y seleccione Levante de dominio de nivel funcional el menú contextual.
  3. Elevar el nivel funcional de dominio cuadro de diálogo se abre.
  4. Puede ver el actual nivel funcional de dominio para el dominio en el dominio actual nivel funcional.

Cómo elevar el nivel funcional de dominio a Windows 2000 los nativos de dominio o nivel funcional de Windows Server 2003 dominio funcional

Antes de que pueda elevar el nivel funcional de dominio a Windows Server 2003 dominio de nivel funcional, cada controlador de dominio en el dominio tiene que ejecute Windows Server 2003.

Para elevar el nivel funcional de dominio de un dominio,

  1. Abra la dominios de Active Directory y confía en consola
  2. Haga clic derecho en el dominio particular, cuyo nivel funcional que desee plantear, y seleccione Levante de dominio de nivel funcional el menú contextual.
  3. Elevar el nivel funcional de dominio cuadro de diálogo se abre.
  4. Utilice el Seleccione un dominio disponibles nivel funcional lista para elegir el nivel funcional de dominio para el dominio.
  5. Haga clic en Levante.
  6. Haga clic en Aceptar.

Cómo comprobar que el nivel funcional del bosque se ha fijado para el bosque

  1. Abra la dominios de Active Directory y confía en consola
  2. Haga clic derecho en Active Directory Dominios y fideicomisos en el árbol de consola, y seleccione Aumentar Bosque nivel funcional del menú de acceso directo.
  3. Elevar el nivel funcional Bosque cuadro de diálogo se abre
  4. Puede ver el bosque funcionales existentes en el nivel actual de los bosques a nivel funcional.

Cómo elevar el nivel funcional del bosque a Windows Server 2003 los bosques nivel funcional

Cada controlador de dominio en el bosque se ha de ejecutar Windows Server 2003 antes de que usted puede cambiar el nivel funcional del bosque a Windows Server 2003. Al elevar el nivel funcional del bosque, todos los dominios en el bosque tendrá automáticamente su nivel de dominio funcional planteado para Windows Server 2003.

Para elevar el nivel funcional del bosque de un bosque,

  1. Abra la dominios de Active Directory y confía en consola
  2. Haga clic derecho en Active Directory Dominios y confía en el árbol de consola, y seleccione Levante forestales de nivel funcional el menú contextual.
  3. Elevar el nivel funcional de dominio cuadro de diálogo se abre
  4. Haga clic en Levante.
  5. Haga clic en Aceptar.

Comprender las características de seguridad de los Firewalls

El método, por la que se puede asegurar físicamente la red, es mediante el uso de cortafuegos. Si bien los cortafuegos proporcionar un cierto nivel de seguridad física, usted debe tener en cuenta que los cortafuegos son sólo obstáculos que hacen difícil para los intrusos para atacar a la red.

Los cortafuegos se clasifican de la siguiente manera:

Firewalls labor de control de paquetes para determinar si los paquetes se debe permitir que se transmitirá, paquetes o si debe suprimirse. La función principal del firewall es filtrar el tráfico. TCP / IP los paquetes tienen un paquete IP de cabecera, seguido por el contenido real del paquete. La cabecera del paquete IP sea una cabecera TCP o UDP cabecera. La cabecera TCP o UDP cabecera contiene las direcciones IP y número de puerto del remitente (fuente), y las direcciones IP y números de puerto del receptor (destino). Una cabecera TCP contiene la siguiente información adicional así como: números de secuencia y reconocimiento números, y la conversación estado.

Como pasar por alto los paquetes del firewall, paquetes son examinados de acuerdo con los parámetros de filtrado para configurar el cortafuegos para filtrar tráfico. El filtrado de los parámetros que definen los paquetes deben poder pasar por alto el firewall. La configuración por defecto es que los cortafuegos suelen negar todos los paquetes que no sean las que se ha creado explícitamente para permitir. En entornos de redes, firewalls suelen ser configurado para bloquear todo el tráfico, y para permitir el tráfico saliente de la red interna privada.

De filtrado de paquetes se utilizan para definir los tipos de tráfico que se le debe negar por un cortafuegos. Usted necesidad de aplicar los cortafuegos y router de filtrado de paquetes para garantizar los recursos dentro de su red privada de usuarios de Internet.

Cuando se configura filtros de paquete IP, puede especificar qué tráfico se permite o deniega, sobre la base de los siguientes:

Filtros de paquete IP se debe utilizar para los fines:

Avanzada cortafuegos incluyen una serie de características de seguridad adicionales, incluyendo:

Entender las redes de perímetro

La función principal de un perímetro de la red, también llamada zona desmilitarizada (DMZ), es proporcionar una capa adicional de protección para la red privada interna cuando un servidor en la red perimetral se ve comprometida. El perímetro de red normalmente alberga los servicios Web que se extienden a los clientes de Internet.

A perimeter network usually consists of the following elements:

A perimeter network is either a single firewall configuration, or back to back firewall configuration:

Web Content servers and front end servers usually reside in the perimeter network. A perimeter network can be further segmented:

Understanding Windows Server 2003 Security Settings

Auditing enables you to determine which activities are occurring on your system. Through auditing, administrators can collect information associated with resource access and usage on your system. You can audit system logon, file access, object access, as well as any configuration changes. When an event or action takes place that is configured for auditing, the action or event is written to the security log. Security auditing events are written to the security log of the system, and can be accessed from Event Viewer.

The main types of events which you should audit are listed below:

You can define audit polices for the local computer, a domain controller, a domain or an organization unit (OU).

The audit policies that you can configure with Windows Server 2003 are listed here:

For each of the above mentioned event categories, you can choose between three values when you enable auditing. These values in turn determine the condition for which an audit entry would be created:

An important management tool for administrators of Windows Server 2003 is the Event Log. Event Viewer stores events that are logged in a system log, application log, and security log. You can access Event Viewer from the Administrative Tools folder.

The maximum size of the Event Log, Event Log performance, and other attributes are controlled by the following Event Log policies:

You can enable the Security Options policies to secure certain server components from a number of threats and accidents. Through Security Options policies, you can secure specific server components. A few Security Options policies which you should consider activating are listed below:

Services can be defined as system programs, processes or routines running in the background that performs a specific operation within the operating system. Administrators need to monitor services and also change the configuration of services when necessary. When the Windows Server 2003 operating system installs, some services are automatically installed with the operating system. These services are usually set with the Automatic startup type. This means that the service starts automatically when the operating system starts or boots. The startup type specified for the service controls when and how the service starts.
A few services that have the Automatic startup type configured are Automatic Updates, DHCP Client, DNS Client, IPSec Services, Remote Procedure Call (RPC), Server, Security Accounts Manager, and System Event Notification.

For those services that have the Automatic startup type configured, you can use System Services policies to disable those services which a specific server does not require. A few services for which you can configure the startup type as Disabled (if the server does not require the service) are Application Management, Distributed File System, Distributed Transaction Coordinator, Fax Service, ClipBook, Indexing Service, Internet Connection Sharing (ICS), and Smart Card.

Restricted Groups contains groups for specific security restrictions. You can configure Restricted Groups to ensure that group memberships remain defined as it was specified. Restricted Groups policies ensure that the Members attributes and Members Of attributes remain consistent. You configure Restricted Groups policies by adding a policy and then specifying the members of the policy.

Account Policies include attributes for password policy, account lockout policy and Kerberos policy. Password policy determines settings for passwords for domain user accounts, and local user accounts. You can implement strong password policies by using the following security policy settings located in the Password Policy node in Account Policies:

Account lockout policies should be implemented if your environment is particularly vulnerable to threats arising from passwords which are being guessed. Implementing an account lockout policy basically ensures that the account of a user is locked after an individual has unsuccessfully tried for several times to provide the correct password. The important factor to remember when defining an account lockout policy is that you should implement a policy that permits some degree of user error, but that also prevents unauthorized usage of your user accounts.

The following password and account lockout settings are located in the Account Lockout Policy area in Account Policies:

How to Plan a Security Framework

A security framework can be defined as the process used when the organization has to perform the activities listed below:

Most organizations use a security design committee or team to determine the security needs of the organization and to deploy security policies which can meet these requirements.

A security design committee/team includes individuals that are knowledgeable on the following factors:

A typical security life cycle is made up of the following steps:

Because the security requirements of organizations differ, you have to determine which security features, tools and policies are needed by the specific organization whose server security you are planning. From the discussions so far, it becomes evident that identifying the security requirements of the organization is a task requiring quite some analysis. One of the initial steps to identifying the security requirements of the organization is to determine which security weaknesses or vulnerabilities currently exist, the threats to which the mission critical resources of the organization is exposed, and the resources which are mainly at risk to being compromised.

There are a number of different risks that have an impact on an organization. Some of the primary threats which you should address are listed here:

Once the risk which your organization is vulnerable to is determined, you have to determine which resources and assets of the company could become affected by each identified risk/threat.

Assets and company resources can be categorized as follows:

To secure company assets and resources from all identified security risks, you have to determine which security configurations can match the security requirements of the organization.




Bookmark Planning Server Security

Últimas entradas de blog


Copyright 2008 Tech-preguntas más frecuentes. Todos los derechos reservados.