A lista de verificação de proteção do Windows Server 2023

Esteja você implantando centenas de servidores Windows na nuvem ou construindo manualmente servidores físicos para uma pequena empresa, ter um método adequado para garantir um ambiente seguro e confiável é crucial para manter seu ecossistema protegido contra violações de dados.

Todo mundo sabe que um servidor Windows pronto para uso pode não ter todas as medidas de segurança necessárias para entrar em produção, embora a Microsoft tenha melhorado a configuração padrão em todas as versões do servidor. O UpGuard apresenta esta lista de verificação de dez etapas para garantir que seus servidores Windows tenham sido suficientemente protegidos contra a maioria dos ataques cibernéticos.

As práticas recomendadas específicas diferem dependendo da necessidade, mas abordar essas dez áreas antes de submeter um servidor à Internet protegerá contra as explorações mais comuns. Muitas dessas são recomendações padrão que se aplicam a servidores de qualquer tipo, enquanto algumas são específicas do Windows, investigando algumas das maneiras pelas quais você pode aprimorar a plataforma de servidor da Microsoft. Detalhes sobre a proteção de servidores Linux podem ser encontrados em nosso artigo 10 etapas essenciais para configurar um novo servidor.

1. Configuração do usuário

As edições modernas do Windows Server forçam você a fazer isso, mas certifique-se de que a senha da conta de administrador local seja redefinida para algo seguro. Além disso, desative o administrador local sempre que possível. Existem muito poucos cenários em que essa conta é necessária e, por ser um alvo popular de ataque, deve ser totalmente desativada para evitar que seja explorada.

Com essa conta fora do caminho, você precisa configurar uma conta de administrador para usar. Você pode adicionar uma conta de domínio apropriada, se o servidor for membro de um Active Directory (AD), ou criar uma nova conta local e colocá-la no grupo de administradores. De qualquer forma, você pode considerar o uso de uma conta que não seja de administrador para lidar com seus negócios sempre que possível, solicitando elevação usando o equivalente do Windows sudo, "Executar como" e inserindo a senha da conta de administrador quando solicitado.

Verifique se a conta de convidado local está desabilitada quando aplicável. Nenhuma das contas integradas é segura, talvez menos do que tudo, então feche a porta. Verifique novamente seus grupos de segurança para garantir que todos estejam onde deveriam estar (adicionando contas de domínio ao grupo de usuários da área de trabalho remota, por exemplo).

Não se esqueça de proteger suas senhas. Use uma política de senha forte para garantir que as contas no servidor não possam ser comprometidas. Se o seu servidor for membro do AD, a política de senha será definida no nível do domínio na Política de Domínio Padrão. Servidores autônomos podem ser definidos no editor de política local. De qualquer forma, uma boa política de senha estabelecerá pelo menos o seguinte:

• Requisitos de complexidade e comprimento - quão forte a senha deve ser
• Expiração da senha - por quanto tempo a senha é válida
• Histórico de senhas - quanto tempo até que as senhas anteriores possam ser reutilizadas
• Bloqueio de conta - quantas tentativas de senha com falha antes que a conta seja suspensa

Senhas antigas são responsáveis por muitos hacks bem-sucedidos, portanto, certifique-se de se proteger contra eles exigindo alterações regulares de senha.

2. Configuração de rede

Os servidores de produção devem ter um IP estático para que os clientes possam encontrá-los de forma confiável. Esse IP deve estar em um segmento protegido, atrás de um firewall. Configure pelo menos dois servidores DNS para redundância e verifique a resolução de nomes usando nslookup no prompt de comando. Verifique se o servidor tem um registro A válido no DNS com o nome desejado, bem como um registro PTR para pesquisas inversas. Observe que pode levar várias horas para que as alterações de DNS se propaguem pela Internet, portanto, os endereços de produção devem ser estabelecidos bem antes de uma janela de ativação. Por fim, desative todos os serviços de rede que o servidor não usará, como IPv6. Isso depende do seu ambiente e todas as alterações aqui devem ser bem testadas antes de entrar em produção.

3. Configuração de recursos e funções do Windows

A Microsoft usa funções e recursos para gerenciar pacotes de sistema operacional. As funções são basicamente uma coleção de recursos projetados para uma finalidade específica, portanto, geralmente, as funções podem ser escolhidas se o servidor se encaixar em uma e, em seguida, os recursos podem ser personalizados a partir daí. Duas coisas igualmente importantes a fazer são 1) certifique-se de que tudo o que você precisa esteja instalado. Pode ser uma versão do .NET Framework ou do IIS, mas sem as partes certas, seus aplicativos não funcionarão. 2) Desinstale tudo o que você não precisa. Pacotes estranhos estendem desnecessariamente a superfície de ataque do servidor e devem ser removidos sempre que possível. Isso é igualmente verdadeiro para aplicativos padrão instalados no servidor que não serão usados. Os servidores devem ser projetados com a necessidade em mente e despojados para que as peças necessárias funcionem da maneira mais suave e rápida possível.

4. Instalação da atualização

Isso pode parecer desnecessário dizer, mas a melhor maneira de manter seu servidor seguro é mantê-lo atualizado. Isso não significa necessariamente viver na vanguarda e aplicar atualizações assim que forem lançadas com pouco ou nenhum teste, mas simplesmente ter um processo para garantir que as atualizações sejam aplicadas dentro de uma janela razoável. A maioria das vulnerabilidades exploradas tem mais de um ano, embora as atualizações críticas devam ser aplicadas o mais rápido possível nos testes e depois na produção, se não houver problemas.

Existem diferentes tipos de atualizações: os patches tendem a abordar uma única vulnerabilidade; Os pacotes cumulativos são um grupo de pacotes que abordam várias vulnerabilidades, talvez relacionadas, e os service packs são atualizações para uma ampla gama de vulnerabilidades, compostas por dezenas ou centenas de patches individuais. Certifique-se de dar uma olhada nos muitos fóruns de usuários da Microsoft após o lançamento de uma atualização para descobrir que tipo de experiência outras pessoas estão tendo com ela. Lembre-se de que a versão do sistema operacional também é um tipo de atualização, e o uso de versões de servidor de anos atrás coloca você bem atrás da curva de segurança.

Se o seu cronograma de produção permitir, você deve configurar atualizações automáticas em seu servidor. Infelizmente, falta mão de obra para revisar e testar todos os patches em muitas lojas de TI e isso pode levar à estagnação quando se trata de instalar atualizações. É muito mais perigoso, no entanto, deixar um sistema de produção sem patch do que atualizá-lo automaticamente, pelo menos para patches críticos. Se possível, as atualizações devem ser escalonadas para que os ambientes de teste as recebam uma semana ou mais antes, dando às equipes a chance de observar seu comportamento. As atualizações opcionais podem ser feitas manualmente, pois geralmente resolvem problemas menores.

Outros softwares da MS também são atualizados por meio do Windows Update, portanto, certifique-se de ativar as atualizações para outros produtos se estiver executando o Exchange, SQL ou outra tecnologia de servidor MS. Cada aplicativo deve ser atualizado regularmente e com testes.

5. Configuração NTP

Uma diferença de tempo de apenas 5 minutos interromperá completamente os logons do Windows e várias outras funções que dependem da autenticação Kerberos. Os servidores que são membros do domínio terão automaticamente seu tempo sincronizado com um controlador de domínio ao ingressar no domínio, mas os servidores autônomos precisam ter o NTP configurado para sincronizar com uma fonte externa para que o relógio permaneça preciso. Os controladores de domínio também devem ter seu tempo sincronizado com um servidor de horário, garantindo que todo o domínio permaneça dentro do intervalo operacional do tempo real.

6. Configuração do firewall

Se você estiver construindo um servidor web, por exemplo, você só vai querer portas web (80 e 443) abertas para esse servidor a partir da internet. Se os clientes anônimos da Internet puderem se comunicar com o servidor em outras portas, isso abre um risco de segurança enorme e desnecessário. Se o servidor tiver outras funções, como área de trabalho remota (RDP) para gerenciamento, elas só devem estar disponíveis em uma conexão VPN, garantindo que pessoas não autorizadas não possam explorar a porta à vontade da rede.

O firewall do Windows é um firewall de software integrado decente que permite a configuração do tráfego baseado em porta de dentro do sistema operacional. Em um servidor autônomo, ou em qualquer servidor sem um firewall de hardware na frente dele, o firewall do Windows fornecerá pelo menos alguma proteção contra ataques baseados em rede, limitando a superfície de ataque às portas permitidas. Dito isso, um firewall de hardware é sempre uma escolha melhor porque descarrega o tráfego para outro dispositivo e oferece mais opções para lidar com esse tráfego, deixando o servidor para executar sua função principal. Seja qual for o método usado, o ponto principal é restringir o tráfego apenas aos caminhos necessários.

7. Configuração de acesso remoto

Como mencionado acima, se você usa RDP, certifique-se de que ele só seja acessível via VPN, se possível. Deixá-lo aberto na Internet não garante que você será hackeado, mas oferece aos hackers em potencial outra incursão em seu servidor.

Certifique-se de que o RDP só seja acessível por usuários autorizados. Por padrão, todos os administradores podem usar o RDP depois que ele estiver habilitado no servidor. Pessoas adicionais podem ingressar no grupo Usuários da Área de Trabalho Remota para acesso sem se tornarem administradores.

Além do RDP, vários outros mecanismos de acesso remoto, como Powershell e SSH, devem ser cuidadosamente bloqueados se usados e disponibilizados apenas em um ambiente VPN. O Telnet nunca deve ser usado, pois passa informações em texto simples e é lamentavelmente inseguro de várias maneiras. O mesmo vale para FTP. Use SFTP ou SSH (de uma VPN) sempre que possível e evite completamente qualquer comunicação não criptografada.

8. Configuração do serviço

O Windows Server tem um conjunto de serviços padrão que são iniciados automaticamente e executados em segundo plano. Muitos deles são necessários para que o sistema operacional funcione, mas alguns não são e devem ser desativados se não estiverem em uso. Seguindo a mesma lógica do firewall, queremos minimizar a superfície de ataque do servidor desativando tudo o que não seja a funcionalidade primária. As versões mais antigas do MS Server têm mais serviços desnecessários do que as mais recentes, portanto, verifique cuidadosamente os servidores 2008 ou 2003 (!).

Serviços importantes devem ser configurados para iniciar automaticamente para que o servidor possa se recuperar sem interação humana após a falha. Para aplicativos mais complexos, aproveite a opção Automático (Início Atrasado) para dar a outros serviços a chance de iniciar antes de iniciar serviços de aplicativos intensivos. Você também pode configurar dependências de serviço nas quais um serviço aguardará que outro serviço ou conjunto de serviços seja iniciado com êxito antes de iniciar. As dependências também permitem que você pare e inicie uma cadeia inteira de uma só vez, o que pode ser útil quando o tempo é importante.

Finalmente, cada serviço é executado no contexto de segurança de um usuário específico. Para serviços padrão do Windows, geralmente é como as contas do Sistema Local, Serviço Local ou Serviço de Rede. Essa configuração pode funcionar na maioria das vezes, mas para serviços de aplicativo e usuário, a prática recomendada determina a configuração de contas específicas de serviço, localmente ou no AD, para lidar com esses serviços com a quantidade mínima de acesso necessária. Isso impede que agentes mal-intencionados que comprometeram um aplicativo estendam esse comprometimento para outras áreas do servidor ou domínio.

9. Endurecimento adicional

A Microsoft fornece analisadores de práticas recomendadas com base na função e na versão do servidor que podem ajudá-lo a fortalecer ainda mais seus sistemas verificando e fazendo recomendações.

Embora o UAC (Controle de Conta de Usuário) possa ser irritante, ele serve ao importante propósito de abstrair executáveis do contexto de segurança do usuário conectado. Isso significa que, mesmo quando você estiver conectado como administrador, o UAC impedirá que os aplicativos sejam executados como você sem o seu consentimento. Isso impede que malware seja executado em segundo plano e sites maliciosos iniciem instaladores ou outro código. Deixe o UAC ligado sempre que possível.

As dicas deste guia ajudam a proteger o sistema operacional Windows, mas todos os aplicativos que você executa também devem ser protegidos. Aplicativos comuns de servidor da Microsoft, como MSSQL e Exchange, têm mecanismos de segurança específicos que podem ajudar a protegê-los contra ataques como ransomware, como o WannaCry, certifique-se de pesquisar e ajustar cada aplicativo para obter o máximo de resiliência. Se você estiver construindo um servidor web, também poderá seguir nosso guia de proteção para melhorar sua segurança voltada para a Internet.

10. Registro e monitoramento

Por fim, você precisa garantir que seus logs e monitoramento estejam configurados e capturando os dados desejados para que, em caso de problema, você possa encontrar rapidamente o que precisa e corrigi-lo. O registro em log funciona de forma diferente dependendo se o servidor faz parte de um domínio. Os logons de domínio são processados por controladores de domínio e, como tal, eles têm os logs de auditoria dessa atividade, não o sistema local. Os servidores autônomos terão auditorias de segurança disponíveis e podem ser configurados para mostrar passes e/ou falhas.

Verifique o tamanho máximo de seus logs e defina o escopo deles para um tamanho apropriado. Os padrões de log são quase sempre muito pequenos para monitorar aplicativos de produção complexos. Dessa forma, o espaço em disco deve ser alocado durante as compilações do servidor para registro, especialmente para aplicativos como o MS Exchange. O backup dos logs deve ser feito de acordo com as políticas de retenção da sua organização e, em seguida, limpo para liberar espaço para eventos mais atuais.

Considere uma solução de gerenciamento de log centralizada se o manuseio de logs individualmente em servidores for complicado. Como um servidor syslog no mundo Linux, um visualizador de eventos centralizado para servidores Windows pode ajudar a acelerar a solução de problemas e os tempos de correção para ambientes de médio a grande porte.

Estabeleça uma linha de base de desempenho e configure limites de notificação para métricas importantes. Se você usa o monitor de desempenho interno do Windows ou uma solução de terceiros que usa um cliente ou SNMP para coletar dados, você precisa coletar informações de desempenho em cada servidor. Coisas como espaço em disco disponível, uso de processador e memória, atividade de rede e até temperatura devem ser constantemente analisadas e registradas para que as anomalias possam ser facilmente identificadas e tratadas. Essa etapa geralmente é ignorada devido à natureza agitada dos cronogramas de produção, mas, a longo prazo, pagará dividendos porque a solução de problemas sem linhas de base estabelecidas é basicamente um tiro no escuro.

11. Perguntas frequentes sobre a proteção do Windows Server

O que é proteção de servidor?

Hardening é um termo abrangente para as alterações feitas na configuração, controle de acesso, configurações de rede e ambiente de servidor, incluindo aplicativos, a fim de melhorar a segurança do servidor e a segurança geral da infraestrutura de TI de uma organização. Existem diferentes benchmarks para proteção de servidores Windows, incluindo Microsoft Security Benchmarks, bem como padrões de proteção CIS Benchmark estabelecidos pelo Center For Internet Security. Os benchmarks do CIS cobrem o fortalecimento da segurança de rede para plataformas de nuvem, como o Microsoft Azure, bem como a política de segurança de aplicativos para software, como o Microsoft SharePoint, juntamente com o fortalecimento do banco de dados para o Microsoft SQL Server, entre outros.

Como faço para proteger um servidor web?

É uma boa prática seguir um processo de proteção de servidor Web padrão para novos servidores antes que eles entrem em produção. Nunca tente proteger os servidores Web em uso, pois isso pode afetar suas cargas de trabalho de produção, com interrupções imprevisíveis, portanto, provisione novos servidores para proteção e, em seguida, migre seus aplicativos após proteger e testar totalmente a configuração. Um bom primeiro passo ao proteger um servidor Web Windows envolve corrigir o servidor com os service packs mais recentes da Microsoft antes de passar para a proteção do software do servidor Web, como Microsoft IIS, Apache, PHP ou Nginx.

Proteja o acesso ao sistema e configure controles de tráfego de rede, incluindo a definição do comprimento mínimo da senha, configure o Firewall do Windows, que permite implementar funcionalidades semelhantes ao iptables usando a política de tráfego, configure um firewall de hardware, se houver um disponível, e defina sua política de auditoria, bem como as configurações de log. Elimine possíveis backdoors que podem ser usados por um invasor, começando no nível do firmware, garantindo que seus servidores tenham o firmware do BIOS mais recente que seja protegido contra ataques de firmware, até as regras de endereço IP para limitar o acesso não autorizado e desinstalar serviços não utilizados ou software desnecessário. Certifique-se de que todos os volumes do sistema de arquivos usem o sistema de arquivos NTFS e configure as permissões de arquivo para limitar a permissão do usuário ao acesso com privilégios mínimos. Você também deve instalar um software antivírus como parte da configuração padrão de segurança do servidor, de preferência com atualizações diárias e proteção em tempo real.

Qual é o processo mais importante no Windows Server Hardening?

Para realmente proteger seus servidores contra os ataques mais comuns, você deve adotar algo da mentalidade hacker, o que significa verificar possíveis vulnerabilidades do ponto de vista de como um invasor mal-intencionado pode procurar uma abertura. Inevitavelmente, os maiores hacks tendem a ocorrer quando os servidores têm permissões de controle de acesso ruins ou incorretas, variando de permissões negligentes do sistema de arquivos a permissões de rede e dispositivo. Em um estudo estatístico de violações de segurança recentes, o gerenciamento de acesso deficiente é a causa raiz por trás da esmagadora maioria das violações de dados, com 74% das violações envolvendo o uso de uma conta privilegiada de uma forma ou de outra.

Talvez a forma mais perigosa, mas difundida, de controle de acesso deficiente seja a concessão de permissões de gravação/modificação ou leitura de todos em arquivos e pastas com conteúdo confidencial, o que ocorre com tanta frequência como um desdobramento natural de estruturas complexas de equipes colaborativas organizacionais. Para reduzir a exposição por meio do controle de acesso, defina a política de grupo e as permissões para os privilégios mínimos aceitáveis e considere a implementação de protocolos rígidos, como autenticação de 2 fatores, bem como privilégio de confiança zero para garantir que os recursos sejam acessados apenas por atores autenticados.

Outras áreas comuns de vulnerabilidade incluem engenharia social e servidores executados com software sem patch, para os quais sua equipe deve passar por treinamento regular de segurança cibernética e você deve testar e aplicar regularmente os patches de segurança mais recentes para software em execução em seus servidores. Neste último, você deseja remover serviços desnecessários de seus servidores, pois eles prejudicam a segurança de sua infraestrutura de TI de duas maneiras cruciais, em primeiro lugar, ampliando a área de destino potencial do invasor, bem como executando serviços antigos em segundo plano que podem estar vários patches atrás. Estes podem ser alvos atraentes para explorações. Na realidade, não existe uma bala de prata de proteção do sistema que proteja seu servidor Windows contra todo e qualquer ataque. O melhor processo de proteção segue as melhores práticas de segurança da informação de ponta a ponta, desde a proteção do próprio sistema operacional até a proteção de aplicativos e bancos de dados.

Qual versão do Windows Server é a mais segura?

As versões mais recentes do Windows Server tendem a ser as mais seguras, pois usam as práticas recomendadas de segurança de servidor mais atuais. Para segurança de servidor de ponta, você deve examinar as versões recentes, incluindo Windows Server 2008 R2, Windows Server 2012 R2, Windows Server 2016 e a versão mais recente, Windows Server 2019. A Microsoft adicionou significativamente ao perfil de segurança de seu sistema operacional de servidor no Windows Server 2019, com atualizações de longo alcance focadas em segurança que reconhecem o impacto generalizado de violações e ataques. Esses novos recursos tornam o Windows Server 2019 o mais formidável da linha do ponto de vista da segurança.

Os recursos do Windows Server 2019, como o Windows Defender ATP Exploit Guard e o ASR (Attack Surface Reduction), ajudam a bloquear seus sistemas contra invasões e fornecem ferramentas avançadas para bloquear o acesso a arquivos mal-intencionados, scripts, ransomware e outros ataques. Os recursos de proteção de rede no Windows Server 2019 fornecem proteção contra ataques da Web por meio do bloqueio de IP para eliminar processos de saída para hosts não confiáveis. As configurações avançadas de política de auditoria no Windows Server 2019, incluindo a fila de Incidentes de Proteção Avançada contra Ameaças do Microsoft Defender, ajudam você a obter um log de eventos granular para monitorar ameaças que exigem ação manual ou acompanhamento.

Considerações Finais

Definir seu estado ideal é uma primeira etapa importante para o gerenciamento do servidor. Criar novos servidores para atender a esse ideal dá um passo adiante. Mas a criação de um processo de gerenciamento de servidor confiável e escalável requer testes contínuos do estado real em relação ao ideal esperado. Isso ocorre porque as configurações variam com o tempo: atualizações, alterações feitas pela TI, integração de novos softwares - as causas são infinitas.

O UpGuard fornece visibilidade incomparável do seu ambiente de TI e os meios para controlar o desvio de configuração, verificando-o em relação ao estado desejado e notificando-o quando os ativos não estiverem em conformidade. Compare sistemas entre si ou em grupo para ver como as configurações diferem ou compare um sistema consigo mesmo ao longo do tempo para descobrir tendências históricas.

Sua empresa corre o risco de uma violação de segurança?

O UpGuard pode proteger sua empresa contra violações de dados, identificar todos os seus vazamentos de dados e ajudá-lo a monitorar continuamente a postura de segurança de todos os seus fornecedores.

O UpGuard também oferece suporte à conformidade em uma infinidade de estruturas de segurança, incluindo os novos requisitos estabelecidos pela Ordem Executiva de Segurança Cibernética de Biden.

Teste a segurança do seu site, CLIQUE AQUI para receber sua pontuação de segurança instantânea agora!