Mejorando la Seguridad de Nuestro IIS

-

Hace unos meses atrás estuve realizando algunas pruebas de vulnerabilidad en los sistemas Windows específicamente en IIS, el día de hoy les mostrare una herramienta que es de mucha utilidad para los SysAdmin que se llama IIS Crypto.

IIS Crypto es una herramienta que nos permite habilitar o deshabilitar protocolos de cifrados, hash y algoritmos de intercambio de claves en Windows Server 2008, 2012 y 2016.

La herramienta la puedes descargar desde su página de interne oficial:

https://www.nartac.com/Products/IISCrypto/Download




Para descargarla debemos de hacer clic en Download y escoger la versión gráfica (IIS Crypto GUI) del aplicativo.



Nota: Para poder ejecutar este aplicativo, debemos de tener instalado el Net Framework 4.0 por lo que si necesitas descargar esta versión puedes dirigirte al siguiente enlace:


La herramenta es un executable bastante liviano no es necesaria la instalacion.

Nota: Recomiendo ejecutar la herramienta como Administrador del Sistema

Solamente basta hacer doble clic y debemos de esperar a que nos aparezcan los términos y condiciones. en ello solamente hacemos clic en Accept.


Posterior mente, hacemos clic en Best Practices que son los valores  recomendables para un servidor web.




Es hora de clic en Apply, nos pedirá que reiniciemos nuestro servidor web. clic en OK y procedemos a hacer lo indicado (el aplicativo no lo hará por nosotros).

 
Para comprobar, hacemos un escaneo y verificamos los resultados.

En mi caso lo prove haciendo una prueba de nmap  apuntado al Puerto de escucha del servidor web

USMAllInOne:~# nmap --script ssl-enum-ciphers -p 443 172.168.10.5

Espero les sea de mucha ayuda como a mi !!

Comentarios

Publicar un comentario

Entradas más populares de este blog

RDP Servidor de Escritorio Remoto en Debian 9 Stretch

-
Imagen
RDP Servidor de Escritorio Remoto en Debian 9 Stretch En ocaciones es necesario implementar un Servidor de Aplicaciones Linux de forma centralizada porque tenemos varias máquinas de bajos recursos y no queremos batallar con la instalación de un servidor Linux Terminal Server, o simplemente deseamos acceder directamente al Escritorio de uno o más equipos remotos con Linux instalado, tal y como hacemos en los equipos con sistemas operativos Microsoft Windows mediante el Microsoft Terminal Server Client. El Remote Desktop Protocol server xrdp, ofrece un inicio de sesión gráfico –graphical login– a cualquier cliente que utilice el Protocolo de Acceso Remoto a Escritorio o “Remote Desktop Protocol RDP“. xrdp se puede conectar a una sesión gráfica local creada por el servidor de las X.xorg con los drivers del paquete xorgxrdp, con un servidor VNC X11 y pasarla a otro servidor RDP. xrdp acepta conexiones desde: freerdp-x11 : Cliente gráfico -X11- RDP para Microsoft Terminal Services
Leer más

Vulnerability - Check for SSL Weak Ciphers Windows 10, Windows Server 2016, Windows Server 2008

-
Hace un par de semanas realicé un escaneo de Vulnerabilidades con OpenVas y me encontré con la siguiente vulnerabilidad en los Sistemas Windows 10 Pro, Windows Server 2016, Windows Server 2008: Vulnerability - Check for SSL Weak Ciphers Vulnerability - Check for SSL Weak Ciphers (192.168.X.X:3389) Vulnerability Detection Result: Weak ciphers offered by this service: TLS1_RSA_DES_192_CBC3_SHA TLS1_RSA_DES_192_CBC3_SHA TLS_1_2_RSA_WITH_3DES_EDE_CBC_SHA CVSS Base Vector: AV:N/AC:M/Au:N/C:P/I:N/A:N Solution: The configuration of this services should be changed so that it does not support the listed weak ciphers anymore. Summary: This routine search for weak SSL ciphers offered by a service. Insight: These rules are applied for the evaluation of the cryptographic strength: - Any SSL/TLS using no cipher is considered weak. - All SSLv2 ciphers are considered weak due to a design flaw within the SSLv2 protocol. - RC4 is considered to be weak. - Ciphers using 64 bit or less are considered to
Leer más

Analizando la seguridad de SSL/TLS con testssl.sh

-
Imagen
testssl.sh :Es una herramienta de línea de comandos gratuita que comprueba el servicio de un servidor en cualquier puerto para la compatibilidad de cifrados TLS/SSL, protocolos, así como fallas criptográficas recientes y más. Herramienta simple de instalar y utilizar flexible, confiable con un buen número de funcionalidades, la mayor ventaja que se tiene es la privacidad, ya que al correr desde línea de comandos (en un sistema privado), sólo quien corre el test es capaz de acceder a los resultados, y no una tercera parte (como cuando se usan servicios en Internet como los de Qualys). El código fuente de testssl.sh está diponible en GitHub en github.com/drwetter/testssl.sh/ . Pagina https://testssl.sh/ Para instalar esta herramienta, es posible descargar la última versión estable que se encuentre en la página Releases - drwetter/testssl.sh : #wget https://github.com/drwetter/testssl.sh/archive/v2.9.5-6.tar.gz #tar -xvf v2.9.5-6.tar.gz #cd testssl.sh-2.9.5-6/ testssl.
Leer más