IIS7

Conceptos y funcionamiento
El ISS (Internet Information Server) es un servidor web y un conjunto de servicios creado por Microsoft para su uso en el sistema operativo Microsoft Windows. Es el servidor web mas usado tras el Apache HTTP Server en un 15,66% de los servidores. Los servicios que ofrece el IIS son los servicios de software que admiten la creacin, configuracin y administracin de sitios Web, ademas de otras funciones de Internet. Se incluyen el Protocolo de transferencias de noticias a traves de la web (NNTP Network News Transport Protocol), el Protocolo de transferencias de archivos (FTP File Transfer Protocol) y el Protocolo simple de transferencias de correos (SMTP Simple Mail Transfer Protocol).

Conceptos y funcionamiento
El primer servidor web de Microsoft fue un projecto desarrolladoen la EMWAC (European Microsoft Windows NT Academic Centre), parte de la academia de Edimburgo, en Escocia, y fue distribuido como Freeware. Pero como el servidor de la EMWAC resulto ser insuficiente para el volumen de trfico que iba a Microsoft.com, Microsoft se vi forzada a desarrollar su propio servidor web, el IIS. Generalmente, cada lanzamiento de una nueva versin de Microsoft Windows va acompaada de una version del IIS.

Conceptos y funcionamiento
VERSIONES DEL IIS
- IIS 1.0, Windows NT 3.51 Service Pack 3 - IIS 2.0, Windows NT 4.0 - IIS 3.0, Windows NT 4.0 Service Pack 3 - IIS 4.0, Windows NT 4.0 Option Pack - IIS 5.0, Windows 2000 - IIS 5.1, Windows XP Professional - IIS 6.0, Windows Server 2003 y Windows XP Profesional x64 Edition - IIS 7.0, Windows Vista (Solo Business y Ultimate) y Windows Server 2008 - IIS 7.5, Windows 7 y Windows Server 2008 R2

Conceptos y funcionamiento
El IIS se lanzo incialmente como un conjunto de servicios en Internet para Windows NT 3.51. IIS 3.0 introduco las Activa Server Pages, una tecnologa de scripting dinmico popularmente conocida como ASP Clsico y actualmente reemplazada por el ASP.NET. IIS 4.0 elimin el soporte para el protocolo Gopher (servicio que permite el acceso a la informacin a traves de menus) y fue aadido como un CD opcional para Windows NT.

Conceptos y funcionamiento
IIS 5.1 es la version actual que soporta el Windows XP Professional y que consiste en una version compacta del IIS. Soporta un mximo de 10 conexiones simultneas y solo un sitio web. El IIS 7.0 viene preinstalado con el Windows Vista. No limita el nmero de conexiones permitidas pero limita el flujo de tareas basndose en las solicitudes activas concurrentes, mejorando el uso y el rendimiento en redes punto-a-punto (en cada canal de datos se usa para comunicar dos nodods). La version mas actual es la 7.5 para Windows 7 y Windows Server 2008. Soporta HTTP, HTTPS, FTP, FTPS, SMTP and NNTP y tiene como agregado el soporte para Ipv6.

Conceptos y funcionamiento
CARACTERISTICAS
La arquitectura del ISS 7 es modular. Los modulos, tambien llamados extensiones pueden ser aadidos o suprimidos de manera que solo los modulos necesarios para una funcionalidad especifica tengan que ser instalados. IIS 7 incluye una serie de modulos nativos como parte de la instalacin completa. Estos modulos son caractersticas individual que el servidor usa para procesar pedidos e incluyen los siguientes:

Conceptos y funcionamiento
HTTP.- Usados para realizar tareas especficas para el HTTP como responder a la informacin y cuestiones enviados por el encabezado del cliente (Client headers), devolver errores HTTP y redireccionar pedidos. Seguridad.- Usado para tareas relacionadas con la seguridad como autentificaciones, realizar autorizaciones URL y filtrar pedidos. Contenido.- Usado para las tareas relacionadas con el contenido, como el procesamiento de pedidos para archivos estticos, el retorno a la pgina por defecto o el listado de los contenidos de un directorio.

Conceptos y funcionamiento
Compresin.- Usada para tareas relacionadas con la compresin, como la compresion de respuestas. Captura.- Usada para tareas relacionadas con la captura, como el almacenaje de la informacion procesada en la memoria del servidor y el uso de contenido cach en las siguientes pedidos de la misma fuente. Alta y diagnostico.- Usada para tareas relacionadas con el alta y diagnostico, como el la transferencia de informacin y el procesamiento de estado al HTTP.sys para darse de alta y el seguimiento de pedidos ejecutados en el proceso de trabajo.

Instalacin IIS7
Nos vamos a inicio y seguidamente a administrador del servidor

Instalacin IIS7
Hacemos clic en agregar funciones:

Instalacin IIS7
Escogemos la funcion web server (IIS)

Instalacin IIS7
Dejamos todo como esta y continuamos con la instalacin

Instalacin IIS7
En esta pantalla se nos informa de las funciones que van a ser instaladas. Finalmente le damos a Instalar.

Instalacin IIS7
Una vez terminada la instalacin cerramos la ventana y reiniciamos el S.O.

Instalacion

Problemas y vulnerabilidades de seguridad

Vulnerabilidad en IIS 7.5
VUPEN ha confirmado que una vulnerabilidad en Microsoft Internet Information Services (IIS) versin 7.5 en Windows 7 (VUPEN/ADV-2010-3305). Esta vulnerabilidad reportada por Matthew Bergin podra ser explotada por atacantes remotos no autenticados y les permitira ejecutar cdigo arbitrario con privilegios elevados y/o tomar el control completo de un sistema vulnerable.

Problemas y vulnerabilidades de seguridad

Vulnerabilidad en IIS 7.5
Detalles tcnicos: El fallo se debe a un desbordamiento de memoria intermedia en la funcin 'OnSendData'. Este fallo podra ser aprovechado por un atacante remoto (sin necesidad de poseer usuario en ese FTP) para causar una denegacin de servicio a travs de peticiones de usuario especialmente manipuladas. Por tratarse de un desbordamiento de memoria intermedia podra llegar a permitir la ejecucin de cdigo arbitrario.

Problemas y vulnerabilidades de seguridad

Vulnerabilidad en IIS 7.5
Esta vulnerabilidad slo afecta al servicio FTP de IIS y no afecta en absoluto a los IIS Web Services. Por lo tanto una Denegacin de Servicio en el FTP Service no afectar a ninguno de los servicios de web alojados en IIS, sino slo al servicio FTP.

Mecanismos de seguridad
Filtros ISAPI
Filtros de interfaz de programacin de aplicaciones para servidores de Internet

Seguridad en directorios
Autenticacin Restricciones de direcciones IP y dominios

Conexiones seguras SSL

Permite comunicaciones seguras utilizando un certificado de seguridad para el sitio web

Mecanismos de seguridad
Filtros ISAPI
Los filtros de interfaz de programacin de aplicaciones para servidores de Internet (ISAPI) son DLL opcionales que llevan a cabo acciones concretas cuando IIS procesa una solicitud http de un cliente. Los filtros ISAPI realizan su accin antes de que el servidor responda realmente a la propia solicitud de http, por lo que permiten establecer un primer nivel de seguridad ante un posible ataque.

Mecanismos de seguridad
Filtros ISAPI
Existen muchos tipos de filtros ISAPI, pero uno de los ms utilizados es UrlScan. UrlScan es una herramienta de seguridad que restringe los tipos de peticiones HTTP que puede procesar Internet Informacin Services. Al bloquear peticiones HTTP concretas, se previene la posibilidad de que peticiones potencialmente dainas puedan alcanzar el servidor.

Mecanismos de seguridad
Seguridad en directorios
El control de seguridad de directorios se puede realizar de dos formas diferentes: habilitando la autentificacin y el control de acceso, y estableciendo restricciones por nombre de dominio y direccin IP.
Autenticacin

La autenticacin sirve para confirmar la identidad de clientes que solicitan el acceso a sus sitios y aplicaciones. IIS 7 admite la autenticacin annima e integrada de Windows de forma predeterminada.

Mecanismos de seguridad
Seguridad en directorios
Restricciones de direcciones IP y dominios

De igual forma, en la ventana del sitio web, tambin es posible restringir o permitir el acceso al sitio web desde una determinada direccin IP o un nombre de dominio DNS concretos.
Agregar una entrada de permiso para una direccin IPv4 o dominio especfica, o un intervalo de direcciones IPv4. Al contrario, agregar una entrada de denegacin para una direccin IPv4 o dominio especfico, o un intervalo de direcciones IPv4

Mecanismos de seguridad
Conexiones seguras SSL
Para poder permitir comunicaciones seguras es necesario utilizar un certificado de seguridad para el sitio web que se desea proteger. Puede obtener el certificado a travs de una empresa certificadora oficial o puede emitir su propio certificado. La ventaja de comprar el certificado a una empresa oficial es que los navegadores de Internet confiarn directamente en el certificado; y si lo emitimos nosotros, el navegador le mostrar un mensaje indicndole que la empresa emisora no es de confianza. La principal ventaja de emitir nuestro propio certificado es que es gratuito

Mecanismos de seguridad
Conexiones seguras SSL
Para instalar el certificado, seleccione el sitio web donde quiere instalar el certificado, seleccione el acceso directo /Certificados de servidor /y en la ventana que aparece en la figura puede realizar las siguientes acciones:

Mecanismos de seguridad
Conexiones seguras SSL
Importar un certificado. Permite importar un certificado existente. Para ello debe indicar su ubicacin e introducir su contrasea. Crear una solicitud de certificado. Inicia un asistente que le gua en el proceso. Primero debe introducir informacin relativa al nombre distintivo Completar solicitud de certificado. Permite completar una solicitud de certificado que contiene la respuesta de la entidad de certificacin. Tambin puede Crear un certificado de dominio (para lo cual hay que especificar una entidad de certificacin en lnea) o Crear certificado autoafirmado.