Сайт на IIS 5.0 W2k, помогите закрыть уязвимости

[Pantalone Профиль]

Есть сайт у хостера. Начальство захотело свой подсайт. С хостером договорился, привязали мой выделенный IP к урлу http://www.subdomen.maindomen.com. Соответственно установил у себя в локалке на сервере терминалов IIS идущую в комплекте с W2k. Может стоило конечно на отдельном компе, ну да ладно пока. Сам подсайт представляет из себя несколько страничек написанных на ASP.NET. Так вот, как избежать влома и проникновения ко мне в локалку и прочих атак связанных с опубликованными веб-серверами на IIS?
В свойствах IIS для сайта стоит галка анонимного доступа, встроенная проверка подлинности отключена. Т.е. кто хочет могут свободно попасть ко мне на стартовую страничку. А на самой страничке уже предлагается логин для клиентов фирмы, логин проверяю сам в коде, который смотрит созданную мной табличку учетных записей на SQL Server на этом же компе. Пока это все настройки безопасности, подозреваю что они недостаточны.
Помимо общих рекомендаций интересует от имени какого юзера делать анонимный доступ, пока он делается от имени IUSR_Имя компа.
Честно говоря не знаю какими правами наделена эта учетка, судя по всему она появляется при установке IIS, это понятно. Должна ли она входить в домен? Стоит ли ее поменять на другую, созданную лично или просто пароль у нее поменять на более сложный?
Далее не понятно какие права доступа и для каких юзеров установить на папки Inetpub, wwwroot, и на папку моего сайта?
Есть ли в инете какие службы или сканеры, позволяющие проверить насколько уязвим мой IIS сайт на данный момент?
Какой аудит нужно настроить чтобы отслеживать доступ к вышеперечисленным папкам и нужен ли этот аудит вообще?

[Sura Профиль]

Там и можно найти патчи которые закрывают уязвимость "unicode" в IIS:
Патч для IIS 4.0 - http://www.microsoft.com/Downloads/Rele ... seID=29787
Патч для IIS 5.0 - http://www.microsoft.com/Downloads/Rele ... seID=29764

А как поставиш эти заплатки ОБЯЗАТЕЛЬНО убери СMD, MSDAC и прочую ненужную для IIS вещи и фронтпейдж убрать расширении IIS...

И подпишись на рассылку bugtraq

Уязвимости сервера очень хорошо показывает сканер SSS.

А по поводу настроек читай хелп по IIS или загляни на http://www.microsoft.com/ там все покажут и раскажут что и как делать.

[Pantalone Профиль]

А как поставиш эти заплатки ОБЯЗАТЕЛЬНО убери СMD, MSDAC и прочую ненужную для IIS вещи и фронтпейдж убрать расширении IIS...
Можно подробнее немного, все это появится после установки заплаток или стоит по умолчанию? Где именно это можно найти и убрать? И о фронтпейдж можно немного расписать?

Уязвимости сервера очень хорошо показывает сканер SSS.
Где бы его можно найти, это веб-сервис проверки или программа?

[Sura Профиль]

1) Все это утелиты Windows'a. Зачем их убирать? Так для того что бы у нехорошего человека меньше было сподручных средст на вашем сервере, пусть немного поизголяется.

Примеры взлома IIS самые простые от которых помогают заплатки. Думаю сам поймеш какие утилиты надо будет убрать
http://www.dchack.net/?redirect=clauses ... ca74bfff98
http://zyko.narod.ru/IIS-HacK/IIS-hack.html
http://cnsteam.w6.ru/hacked.php?hack=iis

2) http://www.softkey.ru/catalog/program.p ... o&compid=1