Hardening Windows Server: guida tecnica e checklist CIS per PMI

Cos'è l'hardening e perché è necessario

L'hardening è il processo sistematico di riduzione della superficie di attacco di un sistema operativo eliminando o disabilitando tutto ciò che non è strettamente necessario all'operatività: servizi non usati, porte di rete aperte, account inutilizzati, permessi eccessivi, protocolli obsoleti.

Una configurazione di default di Windows Server 2019 o 2022 attiva decine di servizi — molti dei quali non servono in un ambiente PMI tipico ma ampliano la superficie esposta agli attaccanti. Un SMBv1 ancora attivo è tutto ciò che serve a un ransomware EternalBlue per propagarsi lateralmente. Un Remote Registry abilitato è un vettore di reconnaissance per un attaccante già dentro la rete.

Come evidenziato nell'analisi dei 10 errori di sicurezza più comuni nelle PMI italiane, la configurazione di default non modificata rimane uno dei problemi più diffusi e più semplici da correggere — eppure tra i più trascurati.

I CIS Benchmark: la reference per la configurazione sicura

I CIS Benchmark (Center for Internet Security) sono le linee guida di configurazione sicura più autorevoli e adottate a livello globale. Esistono Benchmark specifici per Windows Server 2019, Windows Server 2022, Windows 11 e decine di altri sistemi. Sono scaricabili gratuitamente dal sito cisecurity.org.

Ogni Benchmark è strutturato su due livelli:

• Livello 1 — configurazione baseline minima, compatibile con la stragrande maggioranza degli ambienti aziendali. Impatto operativo basso. Da applicare come punto di partenza su tutti i server
• Livello 2 — configurazione di sicurezza elevata, pensata per ambienti ad alto rischio. Alcune impostazioni potrebbero interferire con applicazioni legacy. Da valutare caso per caso

Il Benchmark Windows Server 2022 CIS v3.0 conta oltre 400 impostazioni. Non tutte sono ugualmente critiche: in questa guida ci concentriamo sulle categorie con il maggiore impatto sulla riduzione del rischio reale.

Servizi da disabilitare — priorità alta

I servizi Windows da disabilitare o configurare correttamente su server che non ne hanno bisogno:

• SMBv1 — protocollo di condivisione file obsoleto, vulnerabile a EternalBlue/WannaCry. Disabilitarlo tramite PowerShell: Set-SmbServerConfiguration -EnableSMB1Protocol $false
• Remote Registry — permette la modifica remota del registro di sistema; disabilitare se non strettamente necessario
• Print Spooler — su server che non gestiscono stampa, espone alla vulnerabilità PrintNightmare (CVE-2021-34527). Disabilitarlo con Stop-Service -Name Spooler; Set-Service -Name Spooler -StartupType Disabled
• Telnet Client — protocollo in chiaro, nessun motivo per averlo abilitato in un ambiente moderno
• NetBIOS over TCP/IP — vettore di reconnaissance per strumenti come Responder; disabilitare nelle proprietà della scheda di rete o via GPO
• LLMNR e mDNS — protocolli di risoluzione nomi locali sfruttabili per attacchi MITM; disabilitare tramite GPO (Turn off Multicast Name Resolution)

GPO di sicurezza: le impostazioni più importanti

Account e password policy

Minimum password length: 14 caratteri
Password complexity: Abilitata
Maximum password age: 60 giorni
Account lockout threshold: 5 tentativi
Account lockout duration: 30 minuti
Reset account lockout counter after: 30 minuti

Audit policy — cosa loggare

Senza auditing corretto non è possibile rilevare un attacco né fare forensics post-incidente. Le category più importanti da abilitare per Success e Failure:

• Audit Logon Events — rileva accessi riusciti e falliti, fondamentale per rilevare brute force e accessi anomali
• Audit Account Logon Events — per l'autenticazione Kerberos/NTLM su Domain Controller
• Audit Privilege Use — rileva l'uso di privilegi elevati, indicatore di privilege escalation
• Audit Process Creation — fondamentale per rilevare esecuzione di strumenti di attacco (mimikatz, cobalt strike, ecc.)
• Audit Object Access — accesso a file e cartelle sensibili (da configurare selettivamente per evitare volume eccessivo)

Security options critiche

• LAN Manager authentication level: impostare a "Send NTLMv2 response only. Refuse LM & NTLM" — impedisce downgrade ad autenticazione debole
• Do not store LAN Manager hash value: abilitato — impedisce il password cracking via hash LM
• Interactive logon: Do not display last user name: abilitato — impedisce la reconnaissance sugli account
• Shut down system immediately if unable to log security audits: valutare per sistemi ad alta criticità

Patch management: la difesa più trascurata

Il 60% degli attacchi alle PMI italiane sfrutta vulnerabilità note con patch disponibili da mesi o anni. Il patch management sistematico è quindi una delle contromisure a più alto impatto in termini di sicurezza/costo.

Architettura consigliata per PMI

1. WSUS o Windows Update for Business — per la gestione centralizzata degli aggiornamenti Windows. WSUS permette di testare le patch in staging prima del deploy in produzione
2. Classificazione dei server — suddividi i server in ring: staging (patch subito), produzione non critica (patch entro 14 giorni), produzione critica (patch entro 30 giorni con test)
3. Patch di terze parti — strumenti come WSUS non coprono software di terze parti (Java, Adobe, 7zip, browser). Usa soluzioni come PDQ Deploy, ManageEngine o Microsoft Intune per coprire l'intero parco software
4. Patch dei dispositivi di rete — firewall, switch, VPN concentrator spesso vengono dimenticati. Schedula aggiornamenti firmware trimestrali per tutti i dispositivi di rete

Monitoring e centralizzazione dei log

L'hardening senza monitoring è incompleto: puoi avere la configurazione più sicura del mondo, ma se non rilevi quando qualcosa di anomalo accade, non saprai mai che sei sotto attacco. Il SIEM & Log Management di FrameSec centralizza i log da tutti i sistemi Windows, correla gli eventi e genera alert in tempo reale su comportamenti sospetti.

Configura Windows Event Forwarding (WEF) per raccogliere i log da tutti i server verso un collector centralizzato. Gli Event ID da monitorare con priorità alta:

• Event ID 4625 — Failed logon: alert su soglie elevate (brute force)
• Event ID 4720 — Account creato: alert immediato su nuovi account amministrativi
• Event ID 4732 — Membro aggiunto a gruppo privilegiato: alert su aggiunte ai gruppi Domain Admins, Enterprise Admins
• Event ID 4688 — Process creation: correlazione con lista di processi sospetti (mimikatz, psexec, certutil, powershell -enc)
• Event ID 7045 — Nuovo servizio installato: alert immediato, spesso usato da malware per persistenza

Un sistema di monitoring 24/7 MDR garantisce che questi alert vengano analizzati e risposti anche fuori dall'orario di lavoro — quando la maggior parte degli attacchi viene attivata dagli attaccanti.

Domande frequenti

Cos'è l'hardening di Windows Server e perché è necessario?
L'hardening riduce la superficie di attacco eliminando servizi inutili, porte aperte, account inutilizzati e permessi eccessivi. Una configurazione di default ha decine di servizi attivi non necessari che ampliano l'esposizione agli attaccanti. È una delle misure con il miglior rapporto sicurezza/costo.

Cosa sono i CIS Benchmark e come si usano per Windows Server?
Linee guida di configurazione sicura del Center for Internet Security, disponibili gratuitamente per Windows Server 2019/2022. Il livello 1 è la baseline minima applicabile a quasi tutti gli ambienti; il livello 2 è per ambienti ad alto rischio. Vanno applicati testando prima in staging per evitare impatti operativi.

L'hardening interferisce con le applicazioni aziendali?
Alcune impostazioni possono interferire con applicazioni legacy che dipendono da protocolli insicuri (SMBv1, NTLM, TLS 1.0). Per questo è essenziale testare in staging e procedere gradualmente, partendo dalle impostazioni a minor rischio di impatto operativo.