1. Instituto Tecnológico de Sonora
Servicios Web y FTP
en Windows
José Manuel Acosta Rendón
Enero 2011

2. Internet Information Services
Internet Information Services o IIS es un servidor web y un conjunto
de servicios para el sistema operativo Microsoft Windows. Originalmente
era parte del Option Pack para Windows NT. Luego fue integrado en otros
sistemas operativos de Microsoft destinados a ofrecer servicios, como
Windows 2000 o Windows Server 2003. Windows XP Profesional incluye
una versión limitada de IIS. Los servicios que ofrece son: FTP, SMTP,
NNTP y HTTP/HTTPS.
Este servicio convierte a una PC en un servidor web para Internet o una
intranet, es decir que en las computadoras que tienen este servicio
instalado se pueden publicar páginas web tanto local como remotamente.
Los servicios de Internet Information Services proporcionan las
herramientas y funciones necesarias para administrar de forma sencilla un
servidor web seguro.
El servidor web se basa en varios módulos que le dan capacidad para
procesar distintos tipos de páginas. Por ejemplo, Microsoft incluye los de
Active Server Pages (ASP) y ASP.NET. También pueden ser incluidos los de
otros fabricantes, como PHP o Perl.

3. Historia
IIS fue inicialmente lanzado como un conjunto de servicios basados en
Internet para Windows NT 3.51. IIS 2.0 siguió agregando soporte para el
sistema operativo Windows NT 4.0 e IIS 3.0 introdujo las Active Server
Pages, una tecnología de scripting dinámico.
IIS 4.0 eliminó el soporte para el protocolo Gopher y fue puesto con
Windows NT como un CD-ROM de "Paquete Opcional" separado.
La versión actual de IIS es la 6.0 para Windows Server 2003 e IIS 5.1
para Windows XP Professional. IIS 5.1 para Windows XP es una versión
compacta del IIS que soporta sólo 10 conexiones simultáneas y sólo un
sitio web. IIS 6.0 ha agregado soporte para IPv6.
Windows Vista viene con IIS 7.0 preinstalado. No limitará el número de
conexiones permitidas pero limitará el flujo de tareas basándose en las
solicitudes activas concurrentes, mejorando el uso y el rendimiento en
escenarios punto-a-punto (peer-to-peer).

4. Versiones
• IIS 1.0, Windows NT 3.51 Service Pack 3
• IIS 2.0, Windows NT 4.0
• IIS 3.0, Windows NT 4.0 Service Pack 3
• IIS 4.0, Windows NT 4.0 Option Pack
• IIS 5.0, Windows 2000
• IIS 5.1, Windows XP Professional
• IIS 6.0, Windows Server 2003 y Windows XP Profesional x64 Edition
• IIS 7.0, Windows Vista (Solo Business y Ultimate) y Windows Server
2008
• IIS 7.5, Windows 7 y Windows Server 2008 R2

5. Mejores prácticas
A continuación vamos a ver algunas recomendaciones a la hora de
configurar nuestro servidor IIS. Muchas de estas configuraciones son
aplicables no solo a IIS, sino a cualquier servidor.
1. No instalar IIS en un servidor donde no va a ser usado ya que con ello
estamos exponiendo nuestro servidor al tener una superficie atacable
mayor.
2. No instalar servicios de IIS que no vamos a usar o deshabilitarlos si
vamos a dejar de usarlos por un tiempo.
3. No descargar o ejecutar programas desde fuentes no confiables. Es
más, no navegar por Internet o usar el servidor como un equipo más.
4. Mantenerse al día en actualizaciones de seguridad o definiciones de
virus.
5. Darse de alta en lista de correo o RSS de seguridad como los boletines
de seguridad de Microsoft.
6. Usar NTFS y restringir el acceso de las cuentas de red al sistema de
ficheros.
7. Muy recomendable restringir los permisos de escritura de la cuenta que
por defecto se usa para los usuarios anónimos IUSR_ComputerName,
donde ComputerName es el nombre del servidor.

6. Mejores prácticas
8. Almacenar ficheros ejecutables en directorios separados de nuestro servidor,
así evitamos ejecuciones de otras cuando una tiene un fallo de seguridad.
9. Crear un grupo para todas las cuentas de usuarios anónimas.
10. No permitir la ejecución de nada a los grupos de usuarios anónimos.
11. Restringir las direcciones IP desde las que se pueden conectarse al
servidor si vamos a administrar IIS de forma remota.
12. Asignar siempre los permisos más restrictivos a cualquier cuenta o
aplicación.
13.No habilitar los siguientes permisos en la configuración del Sitio Web
Directorio Virtual:
• Acceso al código fuente de secuencias de comandos
• Escritura
• Ejecución de Secuencias de comandos y ejecutables
14. Usar una partición diferente (en el mismo disco u otro) a la del sistema para
almacenar las diferentes Webs.
15. No instalar Kit de Recursos en el servidor de producción.
16. Deshabilitar la depuración de las aplicaciones ASP y ASP.NET en el servidor
de producción.

7. Procesado de peticiones
Autenticación Implementación
NTLM Basic Anon Monolítica. Instala todo o
… nada…
CGI
Determinar Static
Manejador File ASP.NET
ISAPI
… PHP
Envio de Respuestas
Log Compresión Extensibilidad del la funcionalidad
del servidor solamente a través
de ISAPI…

8. ¿ Dudas ?

9. ¡¡ Gracias ¡¡
José Manuel Acosta R.
Enero 2011