Sécurité à  valeur ajoutée dans IIS 6.0

un service facultatif qui n’est pas installé par défaut. Quand on installe IIS sur un serveur prévu pour Exchange, il
faut penser à  ajouter le support SMTP, NNTP et ASP.NET. On
peut le faire en utilisant l’applet Control Panel Add ou
Remove Programs : sélectionner l’option Windows
Components, ouvrir la section Application Server, cocher la
case ASP.NET puis ouvrir la section IIS (Internet Information
Services) et cocher les cases NTTP service et SMTP service.
Comme avec Windows 2003, IIS 6.0 s’installe dans un état
verrouillé. L’un des effets les plus visibles du verrouillage est
que, par défaut, IIS ne peut gérer que des pages Web statiques.
Donc, avant d’installer Exchange 2003, il faut configurer
l’installation IIS pour le service de pages dynamiques
comme les ASP (Active Server Pages). Pour contrôler le
contenu dynamique que IIS peut servir, utilisez une nouvelle
fonction d’administration appelée Web Service Extensions
dans le snap-in Microsoft Management Console (MMC) IIS
manager. L’utilisation d’Exchange 2003 requiert le support
d’IIS ASP et ASP.NET. A noter également que le programme
d’installation d’Exchange 2003 ajoute un ensemble d’extensions
spécifiques à  Exchange, constituées principalement
des DLL qu’utilise OWA.
La nouvelle architecture d’IIS 6.0 est peut-être le changement
le plus fondamental qui le rend plus sûr par défaut.
Microsoft a complètement remanié la portion HTTP du serveur
Web. L’isolation est la principale caractéristique de cette
architecture. IIS 6.0 supporte le mode d’opération WPIM
(Worker Process Isolation Mode), qui permet à  des sites Web
différents (et à  leurs processus worker) qui fonctionnent sur
le même serveur physique, d’opérer de façon complètement
indépendante des autres : comme si l’on avait placé un parefeu
logique entre eux. Ce mode permet de configurer des paramètres
de sécurité par site Web, comme l’identité de sécurité
qu’un site Web utilise, et des paramètres de performance
comme la quantité de ressources système qu’un site Web
peut consommer. De plus, l’architecture offre une meilleure
protection contre les attaques par déni de service (DoS,
Denial of Service). De sorte qu’une attaque contre un site
Web ne met pas à  genoux tout le serveur Web et tous les
autres sites Web tournant sur ce serveur.