Windowsで公開サーバを立てる時の、セキュリティ設定

Question

IIS(ASP.NET) + SQL Serverで公開サーバを作りたいのですが、セキュリティ的に考慮すべきことはあるでしょうか？

ポートスキャンは無視、IISでは不要な権限を付けない程度しか思いつかないのですが...
Windows Serverはデフォルトで高いセキュリティをレベルにあると思うので...

---

追加情報

環境：
Windows Server 2012 R2 Standard
SQL Server 2014

この環境で、IISを動かそうとしています。
お金の関係で、IISとSQL Serverが1台のマシンに乗っかります。

セキュリティ的にやろうと思っていることは
・443(https)以外はポートを開けない
・httpsはオレオレ証明書ではなく、ちゃんとしたところから購入します。
・IIS → パススルー認証で運用します(ディレクトリにはIIS_USERに読み書きの権限を与えます)
・IIS → 匿名認証で運用します
・SQL ServerはWindows認証で運用
・Windows Updateで常に最新の状態で運用

と、セキュリティ的に考慮している事はこのくらいです。
なので、本当にこれで運用していいのかな？と思っています。

KoichiSugiyamaさん、指摘ありがとう。

Comments

[KoichiSugiyama]

質問がかなり漠然としているので回答が付きにくいと思います。
・Windows Serverのバージョン(SQL Serverのバージョン)
・公開サーバとして公開するサービスの種類
を具体的に書いてもらえば、回答が付きやすいと思います。

Answer 1

Winodwsサーバを公開用に構築したことはないので、あくまで一般論として、

・利用しないサービスは起動しない(ポート公開の有無に限らず)
・定期的にパスワードを変更する
・定期的にシステムのログをチェックする

というような運用面での対策をしておけば良いと思います。あと、予算が許せばサーバ向けのアンチウィルスソフトが導入できればより安心だと思います。