Abstimmen von Plesk auf PCI DSS unter Windows¶
Dieser Abschnitt beschreibt die Schritte, die Sie bei einem Microsoft Windows-Server befolgen sollten, um Ihren Server zu sichern und Compliance mit PCI DSS zu gewährleisten.
Warnung
Es wird dringend empfohlen, die Windows Firewall im Server-Betriebssystem so zu konfigurieren, dass alle Remoteprozeduraufrufe (RPC) und Kommunikationen zu Diensten der Windows-Verwaltungsinstrumentation (WMI) blockiert werden.
Sichern von Remote-Desktop-Verbindungen¶
Richten Sie eine Verschlüsselung für Remotedesktopverbindungen ein, um „Man-in-the-Middle“-Angriffen vorzubeugen. Anweisungen dazu finden Sie hier: http://technet.microsoft.com/en-us/library/cc782610.aspx.
Ändern des Ports für Remotedesktopverbindungen¶
Manche PCI-Scanner melden eine „Man-in-the-middle“-Attacke, wenn Sie den Wert des RDP-Ports nicht in einen benutzerdefinierten Wert abändern. Gehen Sie dazu folgendermaßen vor:
Führen Sie das Dienstprogramm
regedit
durch Klicken auf Start > Ausführen aus und geben Sie regedit ein. Klicken Sie dann auf OK.Ändern Sie den Port-Wert, indem Sie folgenden Registrierungsschlüssel abändern:
HKEY_LOCAL_MACHINESystemCurrentControlSetControlTerminalServerWinStationsRDP-TcpPortNumber
Unterbinden des Zugriffs auf MySQL-Datenbankserver von externen Adressen aus¶
Verwenden Sie die in Ihrem Plesk integrierten Firewall-Funktionen.
Deaktivieren schwacher SSL/TLS-Verschlüsselungen für Webserver in Plesk für Microsoft Windows Server 2003 und 2008¶
Kopieren Sie folgenden Text in die Zwischenablage:
REGEDIT4 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0\Server] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 56/56] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\NULL] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 128/128] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 40/128] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 56/128] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128] "Enabled"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes\MD5] "Enabled"=dword:00000000
Melden Sie sich über eine Remotedesktopverbindung beim Server an.
Öffnen Sie Notepad oder ein anderes Textbearbeitungsprogramm im Betriebssystem des Servers, um eine Datei mit der Erweiterung
reg
zu erstellen.Fügen Sie den Text aus der Zwischenablage in diese Datei ein.
Speichern Sie die Datei.
Öffnen Sie die Datei per Doppelklick.
Bestätigen Sie das Hinzufügen neuer Schlüssel zum Verzeichnis, wenn Sie dazu aufgefordert werden.
Starten Sie das Betriebssystem neu.
Bemerkung
Manche Anwendungen auf dem Server, die schwache SSL/TLS-Verschlüsselungen und Protokolle verwenden, hören möglicherweise auf, zu funktionieren.
Sichern von FTP-Verbindungen¶
Wenn Sie FTP-Verbindungen auf Ihrem Server zulassen, müssen Sie alle FTP-Verbindungen verbieten, mit Ausnahme der sicheren FTPS-Verbindungen.
So lassen Sie nur FTPS-Verbindungen auf Ihrem Server zu: