Checklist Completa per la Sicurezza e la Hardening di Windows Server 2025

Un pillola cyber importante!

L’hardening dei server inizia ben prima dell’installazione del sistema operativo. Dopo aver installato il sistema operativo Windows Server, aggiornalo immediatamente con le patch più recenti per mitigare le vulnerabilità note.

Preparazione del Server

• Mantieni un inventario dettagliato di tutti i tuoi server.
• Isola i nuovi server dal traffico di rete ed Internet fino a quando non sono completamente protetti.
• Proteggi il BIOS/firmware con una password robusta.
• Disabilita l’accesso automatico dell’amministratore alla console di ripristino.
• Configura l’ordine di avvio dei dispositivi per impedire l’avvio da supporti alternativi.

Sicurezza degli Account Utente

• Disabilita l’account ospite su ogni server.
• Rinomina o disabilita l’account Amministratore locale e crea un nuovo account con un nome univoco.
• Minimizza il numero di membri e i permessi dei gruppi integrati come “Local System” e “Administrators”.
• Assicurati che le password degli account di sistema e amministratore aderiscano alle migliori pratiche di sicurezza: lunghezza minima di 15 caratteri e aggiornamento ogni 90-180 giorni se non disponibile la modalità 2fa.
• Configura una politica di blocco dell’account per limitare i tentativi di accesso non autorizzati.

Configurazione delle Funzionalità e dei Ruoli

• Rimuovi tutte le funzionalità e i ruoli che non sono necessari allo scopo previsto del server per ridurre la superficie di attacco.

Configurazione della Rete

• Isola il server da reti non attendibili utilizzando VLAN o subnet.
• Implementa restrizioni IP per limitare l’accesso.
• Se l’amministrazione remota è necessaria, limita l’accesso RDP a specifici indirizzi IP.

Configurazione del Firewall

• Abilita il firewall di Windows e configura i profili di rete per bloccare il traffico in entrata per impostazione predefinita.
• Apri solo le porte di rete necessarie e limita l’accesso a indirizzi IP specifici.

Cifratura

• Abilita e configura BitLocker per crittografare i dischi di sistema e considera l’uso del sistema di crittografia dei file (EFS) per proteggere i file individuali.

Antivirus

• Installa l’antivirus, meglio se un antivirus gestito

Backup

• Configura immediatamente il backup, non aspettare la fine della configurazione. Potrebbe esserti utile recuperare delle configurazioni prima della messa in produzione

Accesso Remoto

• Abilita RDP solo se strettamente necessario e limita l’accesso remoto agli utenti specifici. Usa l’autenticazione multifattore (MFA) quando possibile.