10 dicas para proteger servidores de arquivos do Windows
Os dados mais valiosos da sua organização provavelmente serão mantidos no Active Directory (AD), em bancos de dados e em servidores de arquivos. Freqüentemente, prestamos muita atenção à proteção do AD e dos bancos de dados, mas os servidores de arquivos também devem ser protegidos de forma adequada.
Aqui estão minhas 10 principais dicas para manter os servidores de arquivos protegidos.
Dez principais dicas para proteger servidores de arquivos do Windows
1. Segurança física
Não deixe ninguém sair pela porta com seu servidor de arquivos. Mas o roubo de servidores não é o único risco. Depois que um hacker tiver acesso físico a um servidor, os controles de segurança implementados poderão ser contornados mais facilmente.
2. Mantenha todos os softwares corrigidos/atualizados
Para evitar o acesso não autorizado a servidores de arquivos críticos, é importante manter software e sistemas operacionais atualizados. Software desatualizado e sem correção cria vulnerabilidades que podem ser exploradas por invasores. Mesmo que um servidor de arquivos do Windows não esteja conectado à Internet, as atualizações de software podem ser aplicadas executando o Windows Server Update Services (WSUS) em outro servidor da rede. Se for necessário acesso à Internet, é recomendável ativar o download e a instalação automática de patches por meio do Windows Update, a menos que um processo de teste manual esteja em vigor. Além disso, habilitar a Configuração de Segurança Reforçada do Internet Explorer no servidor, mesmo que ele não seja usado para navegação, pode fornecer segurança adicional. Isso pode ser feito acessando o painel de controle e selecionando a opção Configuração de segurança aprimorada da Internet na seção Adicionar componentes do Windows.
3. Linha de base de segurança da Microsoft
Aplique as configurações básicas de segurança da Microsoft para Windows Server 2016. Existem milhares de configurações que podem ser definidas. Deixe a Microsoft fazer o trabalho duro para determinar quais recursos devem ser desabilitados. A Microsoft já estava recomendando a desativação do protocolo legado Server Message Block (SMB) v1, que era vulnerável a ataques, com o lançamento da Atualização para Criadores na primavera deste ano. Baixe o Security Compliance Toolkit para desativar o SMBv1 agora.
4. Habilite o BitLocker
Criptografe todos os volumes de disco do servidor. Mesmo que o seu servidor seja fisicamente seguro, a criptografia BitLocker adiciona proteção se a segurança física falhar ou se os discos rígidos forem descartados de forma inadequada.
5. Randomize e armazene a senha do administrador local
Certifique-se de que a senha do administrador local em seu servidor de arquivos seja exclusiva, alterada regularmente e armazenada com segurança. Você pode usar a Solução de senha de administrador local (LAPS) da Microsoft para randomizar automaticamente as senhas em servidores e armazená-las com segurança no AD. E não se esqueça de outras práticas recomendadas de segurança, como usar o mínimo de privilégios e restringir o uso de contas de administrador de domínio a DCs.
6. Bloqueie o acesso à Internet no firewall do perímetro
Os servidores de arquivos geralmente não precisam de acesso à Internet. Restrinja o acesso aos sites necessários, como os servidores de atualização da Microsoft, se você não tiver o Windows Server Update Services (WSUS) disponível na intranet da sua empresa.
7. Mantenha as permissões simples
Planeje como você concederá permissões para compartilhamentos de arquivos. Mantenha-o o mais simples possível e planeje o acesso com base nas funções dos usuários na sua organização. Adicione ACLs às pastas e mantenha as permissões de compartilhamento de arquivos definidas como Usuários Autenticados, que é como Todos, mas exclui contas de segurança integradas como SERVICE, LOCAL_SERVICE e NETWORK_SERVICE.
8. Backup testado
é crucial garantir que você tenha um procedimento de backup testado e seguro. Se os controles de segurança não protegerem os dados, você poderá recuperar seus valiosos ativos de dados.
9. Adicione um grupo de negação global a cada pasta
Crie um grupo que tenha permissões de negação em cada pasta compartilhada. Negar sempre substitui permissões de permissão, portanto, você pode adicionar usuários a esse grupo se precisar bloquear rapidamente o acesso aos recursos do servidor de arquivos.
10. Habilite a auditoria de compartilhamentos e pastas
Por fim, ative a auditoria de pastas e compartilhamentos para que o acesso aos arquivos seja monitorado e as alterações nas permissões sejam registradas. Você também pode usar a solução de auditoria de servidor de arquivos da Lepide para auditar alterações feitas em arquivos, pastas e suas permissões.
Melhores práticas adicionais para proteger servidores de arquivos
Endureça seu firewall
Para diminuir possíveis pontos de ataque, limite o acesso à Internet aos seus servidores de arquivos. Permita apenas que os serviços DNS e NTP da sua rede se conectem aos servidores de arquivos. Use um firewall para monitorar o tráfego de entrada e saída, examinar portas acessíveis e evitar tentativas de acesso de endereços IP desconhecidos e duvidosos.
Use ferramentas de detecção de malware em tempo real
Software malicioso, como ransomware, pode causar um aumento repentino na atividade de arquivos (criptografar, renomear e excluir arquivos). É crucial utilizar uma ferramenta de resposta a incidentes de segurança capaz de identificar rapidamente tais ataques e desencadear ações destinadas a parar o ataque e isolar os dispositivos infetados para uma investigação mais aprofundada.
Avalie vulnerabilidades de segurança
Descubra pontos fracos de segurança ocultos em seus servidores de arquivos, como métodos de autenticação inadequados, exposição excessiva de dados confidenciais, problemas com gerenciamento de permissões, transferências de dados inseguras e outras preocupações semelhantes. Aproveite os insights práticos obtidos nas avaliações de segurança para identificar e eliminar essas lacunas na sua estrutura de segurança.
Remova software desnecessário
Software desnecessário geralmente vem com vulnerabilidades extras e pontos fracos de segurança que podem ser explorados. Ao remover esses aplicativos, o servidor fica menos sujeito a ataques, pois há menos oportunidades para os hackers explorarem vulnerabilidades conhecidas. Além disso, simplificar o ambiente de software do servidor facilita o controle de atualizações e patches de segurança, melhorando a manutenção geral e a postura de segurança do servidor de arquivos.
Desative serviços desnecessários
Cada serviço em execução no servidor apresenta vulnerabilidades potenciais que podem ser exploradas por agentes mal-intencionados. Além disso, serviços desnecessários podem ser executados com privilégios excessivos, o que aumenta o risco de ataques de escalonamento de privilégios. Além disso, interromper serviços desnecessários também ajuda a conservar os recursos do sistema e melhora o desempenho, liberando memória, ciclos de CPU e largura de banda da rede. A menos que você tenha uma necessidade específica deles, é aconselhável desabilitar o serviço de fax, Messenger, administrador do IIS, SMTP, agendador de tarefas, Telnet, serviços de terminal e serviços de publicação na World Wide Web no Windows.