WSUS ohne SSL

[Ninu 10]

Hallo zusammen,

 

ich habe mal wieder eine doofe Frage:

 

wir machen regelmäßige Qualys-Scans über unsere Server.

Dabei sind auch auf den WSUS-Servern einige Kleinigkeiten aufgefallen, z.B. das diese Server über SSL 3.0 und SSL 2.0 für Poodle angreifbar sind.

Was macht Klein-Doofi im ersten Schreck?

Richtig! SSL 2.0 und 3.0 in der Registry deaktivieren (Client und Server), gibt ja noch SSL 1.0 und TLS.

So zumindest der Plan.

 

b***d nur, dass dann die WSUS-Server nicht mehr erreichbar sind. RDP geht, WSUS-Konsole und Updates gehen nicht mehr.

 

Google bemüht, nichts sinnvolles gefunden. Wahrscheinlich zu b***d zum suchen gewesen.

 

Nur wie bekomme ich jetzt meine WSUS-Server Poodle-fest?

 

Wir nutzen den neuesten WSUS mit allen Patchen auf BS- und WSUS-Ebene.

Als Server-BS läuft Windows 2016 mit dem dazugehörigen IIS.

 

Hat jemand einen Tipp für mich?

 

Gruß

 

Ninu

[zahni 558]

Prüfe mal den Artikel:

https://support.microsoft.com/de-de/help/2959977/windows-update-client-does-not-scan-against-wsus-3-0-sp2-if-https-is-c

 

Wie wurde denn SSL 2.0 und 3.0 deaktiviert? Ist auf den Clients der TLS 1.2-Support richtig konfiguriert.

[testperson 1.728]

Hi,

 

lade dir mal IIS Crypto von Nartac runter, wähle "Best Practice" und "Apply" und starte den Server mal durch. Dann hast du zumindest eine sinnvolle SSL / TLS Konfiguration.

 

Gruß

Jan

[NorbertFe 2.089]

wir machen regelmäßige Qualys-Scans über unsere Server.

 

Dabei sind auch auf den WSUS-Servern einige Kleinigkeiten aufgefallen

Euer WSUS ist öffentlich erreichbar? Oder wie testet ihr das? Nicht falsch verstehen, interne Server abzusichern ist auch wichtig, aber der Zusammenhang zu Qualsys erschließt sich mir grad nicht. :)

 

Bye

Norbert

[Ninu 10]

Hallo zusammen,

 

erst einmal vielen Dank, für die Antworten.

 

IISCrypto hatte ich benutzt.

Den Artikel lese ich mir gleich durch.

 

Aber ich muss mich korrigieren. Es ist nicht SSL 2.0, das kann ich deaktivieren, es ist das TLS 1.0 was mir in die Suppe spuckt.

Habe ich gerade eben erst bemerkt.

Man soll halt nicht bei der Fehlersuche schlampen und 2 Sachen gleichzeitig wieder auf "allow" stellen.

 

Zur weiteren Ergänzung: Die Clients sind auf Windows 7 Basis.

Können die TLS 1.1 bzw. 1.2?

 

Gruß

 

Ninu

Euer WSUS ist öffentlich erreichbar? Oder wie testet ihr das? Nicht falsch verstehen, interne Server abzusichern ist auch wichtig, aber der Zusammenhang zu Qualsys erschließt sich mir grad nicht. :)

Bye
Norbert

 

Nein, zumindest nicht direkt.

Aber wir haben auch Maschinen, die nicht bei uns im Haus stehe und damit potentiell gestohlen und missbraucht werden können.

Natürlich sind die gesondert noch einmal in einer gesicherten Umgebung. Aber sicher ist sicher.

[NorbertFe 2.089]

Trotzdem erschließt sich mir nicht, wie du dann den WSUS getestet hast. Oder ist einfach an der Firewall dann für die Remote Adressen Port 8531 offen?

[Dukel 457]

Qualis gibt es nicht nur als Webseite mit dem SSL Check sondern auch als Programm / Appliance.

[NorbertFe 2.089]

Hmm muß irgendwie an mir vorbeigegangen sein. Hast du nen Link parat? :)

[Dukel 457]

https://www.qualys.com/solutions/

Auf der Webseite von Qualys.

[Ninu 10]

Exakt.

[NorbertFe 2.089]

Danke :)

[Ninu 10]

Moin,

 

bin leider krank. geworden.

Nach dem das mit "Warum Qualys und wie" geklärt ist:

 

Hat jemand einen Tipp für mich wie ich den WSUS und TLS 1.0 hinbekomme?

 

 

Gruß

 

Ninu

[NorbertFe 2.089]

Also jeder moderne Windows Client spricht auch TLS 1.2 mit dem WSUS.

[Ninu 10]

Ok. Damit ist klar, woran es liegt...

TLS 1.2 ist erst ab Windows 8.1 standardmäßig drin :-)

[NorbertFe 2.089]

Genau ;)

Windows 7 sollte man das aber beibringen können.

bearbeitet 29. August 2017 von NorbertFe