salu
vous savez commen securiser un serveur IIS correctement?
jai retire les repertoir virtuel, désactiv tous les mapping dapplication ( asp idc asa . ..) et installe php sur la machine IIS
je cherch un truc different MBSA
il y a des power userz ici?

Déjà la meilleur façon de sécuriser un IIS c de le virer et de migrer sur Apache ^^ Enfin voici un petit récapitulatif de sécu sous IIS :

- bloquer tout les ports autre que le 80 via un firewall
-configurer la securité IP de windows ( parametres TCP/IP) uniquement sur le port 80 ( tcp)
-installer le dernier Service Pack + les derniers hotfix et les tenir à jour
- deleter tout les scripts d´admin ( mappé) et les ISAPI ( dll) inutlisée
- utiliser HFC régulièrement
- couper les services systèmes inutiles ( FTP, RPC, IPsec, PnP, telnet, . ..)
- utiliser le fichier de template Microsoft : hisecweb.inf pour Win2kSSTL wizard
- configurer les serveurs virtuels sur une autre partition . .. cela evite les unicode et autre " code" exploit
- toujours utiliser NTFS sur toute les partitions
- parametrer des ACL explicite sur les partitions NTFS
- enlever les droits sur la partition " web" pour " IUSR et IWAM" , " tout le monde", " users", etc . .. en écriture
- enlever tout mappage vers les ISAPI
- ne jamais mettre de données confidentielles ( mot de passes, comptes, . ..) dans les pages ASP
- desactiver le " browsing de repertoire"
- desactiver l´utilisation de repertoire parents ( evite l´utilisation de " ..")
- renomer les fichiers inc vers asp
- enlever tout les fichiers " samples"
- stopper l´administration web de IIS, n´utilisez que la console mmc
- installer la derniere version d´IE avec fix.

Bon si apres tout ca tu as encore des ennuies, linux+apache est gratos et niveau sécu c un autre niveau.

( et là bria arrive et crit " linux powa!")

Linux powaaaaaa

lol
non je vais dire autre chose:
c´est pas un hasard si les 3/4 serveurs sont sous linux ( debian) ou bsd ( openbsd souvent) et apache....

il faut savoir que win est pas the top of the top en matiere de secu . ..

c´est un peu comme si tu faisais un coffre fort avec une porte hyper epaisse mais des murs en placo ; j´exagere mais c´est les principe.

puis si il laisse passer que le 80 :; y aura pas de https

je dirais plutot ke win et linux c 2 gros coffres assez similaire, mais ke le 1er se voit son code diffusé par tout le monde et payant, et le second le code beaucoups moins diffusé mais gratuit..

Pour le https si tu laisses le services de certificats.. Tu ajoutes ton CDP dans tes propriétés dans le modules de stratégie du web4. Voilou

pour le https c´est le port 443 qu´il faut laisser ouvert.

ouaip, et sous win pro le fait de cocher le service paramétre le firewall win automatikement