[Win2003] Server beveiligen

[Timmert]

Ik loop er al een tijdje mee rond, en na enig zoekwerk ben ik er nog niet helemaal uit

Het zit zo, ik heb hier thuis een servertje staan welke draait op Win 2k3 server. Hij speelt web-, ftp-, file- en antivirusserver. Nu ik een eigen domein heb wil ik ook een mailserver gaan draaien, met andere woorden, ik wil het semi-professioneel aan gaan pakken .
Dat maakt dat ik serieus na ga denken over beveiliging. Op dit moment staat er een Linksys router voor, met poortje 80 en 21 open. Op de server draait verder geen firewall, wel Norton Corporate Antivirus.

Als ftp server gebruik ik op dit moment nog BPFTP, maar daarvoor schakel ik binnenkort over naar Serve-U. Webserver is op dit moment nog IIS6, en wordt misschien Apache. Is de switch naar Apache aan te raden wat betreft beveiliging? Mailserver zal Kerio of MDeamon worden, daar ben ik nog niet helemaal uit.

Mijn vraag nu: is de setup die ik nu heb voldoende beveiligd, of is het aan te raden nog een software firewall op m'n server te installeren? Zo ja, met welke hebben jullie goede ervaringen?

Alvast bedankt voor jullie inbreng!

[Timmert]

Niemand advies?

[Genghis Khan]

De stap van IIS6 naar Apache (1.3.26) zou ik zeker maken, het is stukken veiliger maar bovendien ook sneller en het is veel instelbaarder. Dit zou ik dus zeker doen.

Qua veiligheid heb je volgens mij aan je NAT-routertje wel genoeg: deze laat gewoon de poorten door die jij specificeerd. Het is dan m.i. niet nodig nog eens een firewall erop te zetten die óók nog eens alle poorten tegenhoud, behalve die jij specificeerd. Is dubbelop maar als je het écht op safe wilt spelen kun je dit nog doen. Zou het zelf niet doen want kost je alleen maar resources.

Overigens als je security echt zo belangrijk vindt op je server, waarom installeer je dan niet gewoon een goeie Linux distro? Desnoods Mandrake als je er nog niet veel van snapt... Feit is dat veel Microsoft spul gewoon nog niet veilig is en in het relatief nieuwe Win2k3 zal nog wel flink wat aan lekken gevonden worden. Installeer dan Win2k met de nieuwste SP en alle updates ofzo, daar is het meeste inmiddels wel uitgehaald .

[Timmert]

Genghis Khan schreef op 21 maart 2004 @ 22:12:
De stap van IIS6 naar Apache (1.3.26) zou ik zeker maken, het is stukken veiliger maar bovendien ook sneller en het is veel instelbaarder. Dit zou ik dus zeker doen.

Ok, dat dacht ik al

Qua veiligheid heb je volgens mij aan je NAT-routertje wel genoeg: deze laat gewoon de poorten door die jij specificeerd. Het is dan m.i. niet nodig nog eens een firewall erop te zetten die óók nog eens alle poorten tegenhoud, behalve die jij specificeerd. Is dubbelop maar als je het écht op safe wilt spelen kun je dit nog doen. Zou het zelf niet doen want kost je alleen maar resources.

Ok. Mocht ik het toch dubbelop willen doen, welke firewall is aan te raden?

Overigens als je security echt zo belangrijk vindt op je server, waarom installeer je dan niet gewoon een goeie Linux distro? Desnoods Mandrake als je er nog niet veel van snapt... Feit is dat veel Microsoft spul gewoon nog niet veilig is en in het relatief nieuwe Win2k3 zal nog wel flink wat aan lekken gevonden worden. Installeer dan Win2k met de nieuwste SP en alle updates ofzo, daar is het meeste inmiddels wel uitgehaald .

Het punt is eigenlijk een beetje dat ik totaal geen verstand van Linux heb, en ook vrij weinig tijd om ermee te experimenteren. De server moet ook gewoon in 1x werken zonder gezeur en dagen vol pielwerk. Voor mij is windows dan de oplossing . Overigens, als ik 2k3 dagelijks update zal het toch niet zo heel onveilig zijn?

Wat ik me ook zit te bedenken... Is het misschien wijsheid om er een server bij te nemen voor het internetgedoe? Een simpel P2-tje als web/ftp/mailserver en m'n huidige P3 als fileserver / domein controller (toekomst). Lijkt me wel veiliger

[Genghis Khan]

Timmert schreef op 21 maart 2004 @ 22:41:
Ok. Mocht ik het toch dubbelop willen doen, welke firewall is aan te raden?

ZoneAlarm wordt erg veel gebruikt, ook de firewall van Kerio is erg populair want deze is voor persoonlijk gebruik gratis . Ik heb met beide goede ervaringen.

Het punt is eigenlijk een beetje dat ik totaal geen verstand van Linux heb, en ook vrij weinig tijd om ermee te experimenteren. De server moet ook gewoon in 1x werken zonder gezeur en dagen vol pielwerk. Voor mij is windows dan de oplossing . Overigens, als ik 2k3 dagelijks update zal het toch niet zo heel onveilig zijn?

Als je weinig tijd hebt is Windows inderdaad de beste keuze, dit heb je in principe zo opgezet. Met de automatische updates functie aan ben je inderdaad wel een stuk veiliger, daar heb je gelijk in. Onthoud alleen wel dat Microsoft meestal niet meteen patches uitbrengt bij een nieuw lek, alleen als ze heel erg critical zijn gaan ze meteen aan de slag. Het is dan dus best mogelijk dat jij een week met een niet-veilige server zit en voor je het weet ben je door een script kiddie te pakken genomen. Bij veel beveiligingsupdates moet je volgens mij ook opnieuw opstarten (weet niet hoe dit met 2k3 zit) dus je zult ook regelmatig moeten omkijken naar je server.

Wat ik me ook zit te bedenken... Is het misschien wijsheid om er een server bij te nemen voor het internetgedoe? Een simpel P2-tje als web/ftp/mailserver en m'n huidige P3 als fileserver / domein controller (toekomst). Lijkt me wel veiliger

Qua veiligheid zal het niet veel uitmaken, maar als jij dat handiger vindt, ga je gang . Het is natuurlijk sowieso altijd overzichtelijker zo min mogelijk taken per PC uit te delen.

[elevator]

Genghis Khan schreef op 21 maart 2004 @ 22:12:
De stap van IIS6 naar Apache (1.3.26) zou ik zeker maken, het is stukken veiliger maar bovendien ook sneller en het is veel instelbaarder.

Mag ik vragen waar jij op baseert dat Apache 1.3 die niet native-Windows is, sneller is dan een webserver die gedeeltelijk in kernelmode draait?

[Genghis Khan]

elevator schreef op 21 maart 2004 @ 22:54:
[...]

Mag ik vragen waar jij op baseert dat Apache 1.3 die niet native-Windows is, sneller is dan een webserver die gedeeltelijk in kernelmode draait?

In mijn ervaring is een zeer goed getunede Apache-server sneller dan een IIS webserver .

IIS heeft dan wel het voordeel dat het betere integratie van het OS heeft maar Apache is veel beter te tunen op de taken die het uit moet voeren. Honderden modules zijn er verkrijgbaar en neem eens een kijkje in de httpd.conf... Standaard is IIS vast wel sneller op een win32 bak maar een gefinetunede Apache wint het echt wel.

[elevator]

Genghis Khan schreef op 21 maart 2004 @ 23:07:
In mijn ervaring is een zeer goed getunede Apache-server sneller dan een IIS webserver .

Dat vind ik een bijzondere conclusie, aangezien ook ik testen heb gedaan van zowel Apache1/Apache2 als IIS5 en IIS6, waarin IIS6 altijd als winnaar naar voren kwam.

Daarnaast heb ik bv. eens intensieve testen gedaan (en ook nog gedocumenteerd ) tussen Apache2 en IIS5 op Windows 2000:

code:

Apache:   Server version: Apache/2.0.47
Server built:   Jul  8 2003 22:02:11

-------------------------------------------------------------

Testfile: W2K4SP_EN.EXE, 135.477.136 bytes.

Test1: Stock IIS and Stock Apache.
Apache:  20:28:13 (2.71 MB/s) - `w2ksp4_en.exe.3' saved
[135477136/135477136]
IIS:   20:33:29 (18.67 MB/s) - `w2ksp4_en.exe.4' saved [135477136/135477136]

Test2: Stock IIS, and Apache with libapr.dll from first proposed patch.
IIS:  20:35:10 (18.67 MB/s) - `w2ksp4_en.exe.5' saved [135477136/135477136]
Apache:  20:36:06 (17.05 MB/s) - `w2ksp4_en.exe.6' saved
[135477136/135477136]

Test3: Stock IIS, and Stock Apache with "EnableSendFile Off" in httpd.conf
IIS:  20:39:48 (18.25 MB/s) - `w2ksp4_en.exe.7' saved [135477136/135477136]
Apache:  20:40:14 (18.92 MB/s) - `w2ksp4_en.exe.8' saved
[135477136/135477136]

Test4: Apache, libapr.dll compiled from source (no changes)
Apache:  20:44:31 (2.43 MB/s) - `w2ksp4_en.exe.9' saved
[135477136/135477136]

Test5: Apache, libapr.dll compiled from source - MAX_SEGMENT_SIZE changed to
1048576
Apache:  20:47:04 (36.11 MB/s) - `w2ksp4_en.exe.10' saved
[135477136/135477136]

Test6: Apache, libapr.dll compiled from source - MAX_SEGMENT_SIZE changed to
131072
Apache:  20:48:42 (23.29 MB/s) - `w2ksp4_en.exe.11' saved
[135477136/135477136]

Test7: Apache, libapr.dll compiled from source - MAX_SEGMENT_SIZE changed to
85535
Apache:  20:50:50 (13.56 MB/s) - `w2ksp4_en.exe.12' saved
[135477136/135477136]

Test8: Apache, libapr.dll compiled from source - MAX_SEGMENT_SIZE changed to
419304
IIS:  20:55:26 (19.14 MB/s) - `w2ksp4_en.exe.14' saved [135477136/135477136]
Apache:  20:52:05 (40.14 MB/s) - `w2ksp4_en.exe.13' saved
[135477136/135477136]

Test9: Apache, libapr.dll compiled from source, MAX_SEGMENT_SIZE set to
65536, dwFlags to 0x10 (USE_SYSTEM_THREAD)
Apache:  21:10:04 (2.01 MB/s) - `w2ksp4_en.exe.16' saved
[135477136/135477136]

Test10: Apache, libapr.dll compiled from source, MAX_SEGMENT_SIZE set to
65536, dwFlags to 0x20 (USE_KERNEL_APC)
Apache:  21:13:24 (1.86 MB/s) - `w2ksp4_en.exe.17' saved
[135477136/135477136]

Test11: special written test program that doesnt stop sending. Segment size
of 65536
a.exe:  3.87M/s

Test12: special written test prorgram that doesnt stop sending. Segment size
of 419304
a.exe:  33.86M/s

-------------------------------------------------------------
-------------------------------------------------------------
Same tests but then with an Windows 2000 Advanced Server running in an
VMware machine.

Test13: Windows 2000 IIS and Apache 2.0.47
IIS:  21:53:51 (9.42 MB/s) - `sql2kdesksp3.exe' saved [72503896/72503896]
Apache:  21:55:38 (8.94 MB/s) - `sql2kdesksp3.exe.2' saved
[72503896/72503896]

Test14: Windows 2000 IIS and Apache 2.0.47 with MAX_SEGMENT_SIZE set to
131072
Apache:  22:00:50 (8.72 MB/s) - `sql2kdesksp3.exe.4' saved
[72503896/72503896]

De patches waar ik het over heb zijn dus patches aan Apache om Apache beter te laten peformen, en kunnen dus niet gezien worden als betere performance.

[sverzijl]

Genghis Khan schreef op 21 maart 2004 @ 23:07:
[...]

In mijn ervaring is een zeer goed getunede Apache-server sneller dan een IIS webserver .

IIS heeft dan wel het voordeel dat het betere integratie van het OS heeft maar Apache is veel beter te tunen op de taken die het uit moet voeren. Honderden modules zijn er verkrijgbaar en neem eens een kijkje in de httpd.conf... Standaard is IIS vast wel sneller op een win32 bak maar een gefinetunede Apache wint het echt wel.

TS geeft nou juist aan dat hij weinig tijd heeft. Als alleen 'een zeer goed getunede Apache server' sneller is dan IIS OOTB is TS beter af met IIS. Daarnaast, het gaat om een 'thuis servertje'. Daar zullen vast geen honderden concurrent users op trekken

[Timmert]

sverzijl schreef op 21 maart 2004 @ 23:17:
[...]

TS geeft nou juist aan dat hij weinig tijd heeft. Als alleen 'een zeer goed getunede Apache server' sneller is dan IIS OOTB is TS beter af met IIS. Daarnaast, het gaat om een 'thuis servertje'. Daar zullen vast geen honderden concurrent users op trekken

Nee, er zullen max 10 users tegelijk op komen, niks spannends. Veiligheid gaat bij mij boven snelheid eigenlijk. Ik denk dat ik misschien toch maar een extra pctje erbij ga zetten als web/ftp/mailserver, die kan ik dan mooi gescheiden houden van m'n (imho vrij kwetsbare) fileserver

[Genghis Khan]

elevator schreef op 21 maart 2004 @ 23:14:
[...]

Dat vind ik een bijzondere conclusie, aangezien ook ik testen heb gedaan van zowel Apache1/Apache2 als IIS5 en IIS6, waarin IIS6 altijd als winnaar naar voren kwam.

Daarnaast heb ik bv. eens intensieve testen gedaan (en ook nog gedocumenteerd ) tussen Apache2 en IIS5 op Windows 2000:
[knip]
De patches waar ik het over heb zijn dus patches aan Apache om Apache beter te laten peformen, en kunnen dus niet gezien worden als betere performance.

Ik weet niet hoe jij dan getest hebt, maar je hebt zeker niet zoveel veranderd in de instellingen van Apache? .

Ik lees hier nu trouwens dat Apache2 een nóg betere keuze is voor Windows-platformen, dit is wel als native Windows applicatie geschreven namelijk. Zie ook: Apache 2.0 Beats IIS at Its Own Game.

Nu heeft de titel van dit artikel natuurlijk betrekking op het hele plaatje in het algemeen maar toch wil ik even dit stukje quoten:

And, based on our tests, we agree. eWEEK Labs compared the performance of Apache 2.0 and Microsoft Corp.'s Internet Information Services 5.0, both running on Windows 2000 Advanced Server. Apache kept pace with IIS during the entire test, which means that sites that move from IIS to Apache 2.0 on Windows won't have to worry about taking a performance hit.

Nu weet ik niet of er in 2k3 veel veranderd is maar blijkbaar presteerd IIS helemaal niet zo goed vergeleken met Apache voor een webserver die het voordeel heeft zichzelf helemaal te kunnen integreren in het OS.

sverzijl schreef op 21 maart 2004 @ 23:17:
[...]

TS geeft nou juist aan dat hij weinig tijd heeft. Als alleen 'een zeer goed getunede Apache server' sneller is dan IIS OOTB is TS beter af met IIS. Daarnaast, het gaat om een 'thuis servertje'. Daar zullen vast geen honderden concurrent users op trekken

Zelfs voor een "thuisservertje" zou ik het niet eens vertikken IIS te installeren. Misschien is dit een beetje een principieel standpunt, geef ik best toe, maar ga eens na wat voor aantallen security leaks alle versies van IIS bij elkaar hebben en alle Apache-versies. Zelfs nu nog worden lekke IIS-servers per bosjes gehacked om warez mee te verspreiden. Wat een feest.

[elevator]

Genghis Khan schreef op 21 maart 2004 @ 23:51:
Ik weet niet hoe jij dan getest hebt, maar je hebt zeker niet zoveel veranderd in de instellingen van Apache?

Er valt niet bijzonder veel te tunen aan Apache - wel op het gebied van concurrent performance, maar veel minder op het gebied van raw throughput in een single sessie.

Ik lees hier nu trouwens dat Apache2 een nóg betere keuze is voor Windows-platformen, dit is wel als native Windows applicatie geschreven namelijk.

Dit is bekend - de testen hierboven zijn dan ook met Apache2 uitgevoerd

Nu weet ik niet of er in 2k3 veel veranderd is maar blijkbaar presteerd IIS helemaal niet zo goed vergeleken met Apache voor een webserver die het voordeel heeft zichzelf helemaal te kunnen integreren in het OS.

Mjah - sorry hoor maar ik heb niet het idee dat je heel erg weet waar je het over hebt. IIS6 is een bijzonder grote rewrite van IIS5, waarin onder andere een kernelmode driver geimplementeerd is om static files direct in kernel mode te serven (vergelijkbaar met bv. een Tux op Linux), en er grote aandacht besteed is aan performance en veiligheid.

Zelfs voor een "thuisservertje" zou ik het niet eens vertikken IIS te installeren. Misschien is dit een beetje een principieel standpunt, geef ik best toe, maar ga eens na wat voor aantallen security leaks alle versies van IIS bij elkaar hebben en alle Apache-versies. Zelfs nu nog worden lekke IIS-servers per bosjes gehacked om warez mee te verspreiden. Wat een feest.

In IIS6 (waar TS het over heeft) zijn vziw nog geen enkele security fouten gevonden.

In Apache 2.0 toch al behoorlijk wat (http://httpd.apache.org/)

[ Voor 19% gewijzigd door elevator op 22-03-2004 00:06 ]

[MuddyMagical]

Zullen we de oorlog over wie er sneller is ergens anders uitvechten en proberen de TS te helpen met nog eventuele vragen/problemen?

[SysRq]

Ik zie niet zo goed in waarom je apache wilt installeren. IIS is zeker zo goed te beveiligen. Ook Serve-U zou ik niet gebruiken, maar gewoon de ftp-server van win2k3 pakken. In ieder geval zorgen dat je alle patches geinstalleerd hebt. IISlockdown uitvoeren (is tegenwoordig ook beschikbaar voor iis 6.0). Zoek ook eens op Microsoft.com naar "securing windows 2003".

[Timmert]

MuddyMagical schreef op 22 maart 2004 @ 14:31:
Zullen we de oorlog over wie er sneller is ergens anders uitvechten en proberen de TS te helpen met nog eventuele vragen/problemen?

Opzich vind ik de discussie wel interessant hoor, maar helemaal ontopic ist idd niet...

SysRq schreef op 22 maart 2004 @ 15:28:
Ik zie niet zo goed in waarom je apache wilt installeren. IIS is zeker zo goed te beveiligen. Ook Serve-U zou ik niet gebruiken, maar gewoon de ftp-server van win2k3 pakken. In ieder geval zorgen dat je alle patches geinstalleerd hebt. IISlockdown uitvoeren (is tegenwoordig ook beschikbaar voor iis 6.0). Zoek ook eens op Microsoft.com naar "securing windows 2003".

Ok, ik ben nu aan het testen met IIS6, wat zijn volgens jou de voordelen daarvan boven BP/Serv-U?

Ik speel toch met de gedachte om een apart servertje neer te zetten voor al het webgedoe... Wie van jullie zou dat aanbevelen?

[SysRq]

Als je het veilig op wilt zetten kun je het beste:

1. Dedicated webserver (ftp/web) in dmz (met firewall) of achter nat. Hoeft geen zware pc te zijn.
2. Domain Controller/fileserver/dns server enz in intern netwerk.

In Serv-u worden de laatste tijd behoorlijk wat lekken gevonden. In de ftp-server van IIS niet. Over het verschil in snelheid tussen Serv-u en IIS kan ik niets zeggen. Op google vast wel te vinden.

[Timmert]

SysRq schreef op 23 maart 2004 @ 10:21:
Als je het veilig op wilt zetten kun je het beste:

1. Dedicated webserver (ftp/web) in dmz (met firewall) of achter nat. Hoeft geen zware pc te zijn.
2. Domain Controller/fileserver/dns server enz in intern netwerk.

In Serv-u worden de laatste tijd behoorlijk wat lekken gevonden. In de ftp-server van IIS niet. Over het verschil in snelheid tussen Serv-u en IIS kan ik niets zeggen. Op google vast wel te vinden.

Ok. Ik heb namelijk nog een HP P2-300 bakje staan, die kan dan mooi web/ftp/mailserver gaan spelen denk ik . IIS ftp heb ik gister mee zitten spelen, maar ik vind de interface niet echt intuïtief eigenlijk. Ik kreeg hem ook niet aan de praat, ook niet na technet en iisfaq geraadpleegt te hebben, ik vermoed dat ik iets heel simpels over t hoofd zie ofzo... Ga er vanavond iig mee verder i guess

[Stewie!]

De FTP van IIS6 is inderdaad bagger om in te stellen. Als je een user wilt koppelen aan een eigen homedir moet je bijvoorbeeld een virtuele map maken die exact dezelfde naam heeft als de user. Dat soort dingen weet je vaak niet in het begin. Verder zijn de mogelijkheden soms beperkt (maximale ftp snelheid instellen bijvoorbeeld, waar??). Echter, de rest van IIS6 maakt het meer dan goed. Je kan wel een programma als apache gebruiken maar dat is echt geen applicatieserver. En dan kunnen mensen wel gaan roepen: httpd.conf, modules die je kan downloaden, blabla MAAR in iis6 heb je metabase.xml en kan je net zo goed zeer handige features erbij downloaden. Zaken die je in Apache ook graag wilt moet je extra als modules installen terwijl ze in IIS6 native worden ondersteunt (bandbreedte gebruik van een site beperken bijvoorbeeld).

BTW vind ik een vergelijking tussen iis5 en iis6 niet kunnen.