Sicherheit eines Domino Web Servers der im WWW steht !!!

[dertoaster]

Hallo zusammen,

ich habe für unseren europaweiten Support einen Domino Server 5.0.10 auf W2K Server SP3 aufgesetzt.

Auf diesem Server läuft eine Helpdeskanwendung. Diese soll über das Internet für verschiedene Partner erreichbar sein.  Der Server steht in der DMZ unserer Zentrale. Für eingehende Verbindungen werden nur die Ports 80 und 443 in der Firewall freigeschaltet.  

Die User können nur über SSL eine Verbindung aufbauen, da ich im Serverdokument den Port 80 auf Redirect to SSL eingestellt habe.

Den IIS 5.0 habe ich bei der Installation des OS gar nicht mit installiert.

Im Serverdokument des Domino Web Servers habe ich das Session Logging auf Single Server eingestellt . Das Logging des Web Servers mache ich mit der domlog.nsf.

Gibt es sonst iregndwelche Sachen, die ich noch beachten muss, damit dieser Server von außen nicht zu schnell verwundbar ist? Sei es Notesseitig oder von der Konfiguration des Betreibsystems her. Das war mein erster Server, den ich der Art aufgesetzt habe.

Bin für jeden Tip dankbar!

Gruß
Toaster

[Meff]

Hi Toaster,

Dominoseitig ist immer auf die ACL Einstellungen (vorallem von Systemdatenbanken) hinzuweisen. Die sind (leider) oft ziemlich offen.
Du kannst Deinen Server auch testen lassen :

http://80.218.88.33/ref/iscandomino.nsf

Meff

P.S.: Such mal hier im Forum, da wurde schon so einiges zu dem Thema gepostet.

[Hoshee]

Yoo,

grundsätzlich würde ich von einem Microsoft-BS in der DMZ absehen und lieber auf Linux setzen!
Wichtig ist natürlich auch das eine gescheite Firewall am start ist, die nur das auf den Server lässt, was Du willst.
Ich weiß nu' nicht wie eure IT aufgestellt ist, aber wenn sich z.B. kritische Daten auf dem Server liegen, dann kann man evtl. auch schon mal an so etwas wie VPN denken um den Zugriff abzusichern.

Gruss ...

Hoshee

[Fis]

Hier noch ne kostenlose Variante einer Dominoscanners

http://jnotes.de/DominoChecker

[robert]

Hi Dertoaster,

überprüfe auch die ACL der DB's auf dem Server, wie z.B. log.nsf etc., denn diese hatte ich bei meinem Server nicht bedacht, die sollten aber ziemlich dicht gemacht sein.

Gruß

Robert