Hardening Server: Guida Completa alla Configurazione Iniziale di un Server Dedicato
Di solito quando viene consegnato nuovo server dedicato, la configurazione di base del sistema operativo è pensata per garantire la massima compatibilità e usabilità ma non la massima sicurezza. Lasciare un server esposto su internet con le impostazioni di base significa renderlo un bersaglio facile.
Il processo di messa in sicurezza prende il nome di Server Hardening. Ed in questa guida andremo a capire come mettere in sicurezza l’infrastruttura partendo dalle basi.
Hardening Server: Cos’è e perché il CIS benchmark è lo standard
L’hardening è il processo di riduzione della possibilità di un attacco al sistema. Consiste nella disabilitazione dei servizi non necessari, nell’applicazione dei principi minimi dei privilegi e nella configurazione di policy di sicurezza restrittive.
Il CIS Benchmark ha delle linee guida sviluppate da una community globale di esperti di cybersecurity. Seguire queste direttive supporta i requisiti tecnici di sicurezza richiesti da normative come GDPR e NIS2.
Per agevolare le operazioni di hardening, noi di Servereasy.it includiamo gratuitamente l’accesso IPMI/KVM in ogni nostro server dedicato. Questo permette di operare in sicurezza da remoto fin dal primo avvio, come se si fosse fisicamente davanti alla console della macchina nel nostro datacenter di Settimo Milanese.
Hardening Windows Server: Ecco alcuni controlli prima di iniziare
L’ecosistema Windows richiede un’attenzione particolare alle policy di dominio, ai protocolli legacy e agli accessi remoti. Infatti proprio per questo noi consigliamo di testare sempre l’impatto di queste configurazioni in un ambiente di staging prima dell’applicazione definitiva.
Consigliamo di iniziare con la verifica degli aggiornamenti del sistema operativo, driver, i runtime e le applicazioni aggiornanti. Installare solo componenti necessari e rimuovere i ruoli non utilizzati, tool amministrativi non indispensabili, e software da terze parti non gestiti. Gli account amministrativi inoltre devono essere gestiti secondo il principio minimo di privilegio ovvero:
- Separare gli account personali da quelli “privileged”
- limitare l’uso quotidiano degli account amministrativi
- limitare il logon ai sistemi autorizzati.
- Utilizzare gruppi dedicati
- Gli account di emergenza devono essere protetti e monitorati e sottoposti a procedure di utilizzo controllato.
Un altro controllo importante da fare è quello di proteggere le credenziali e la memoria di autenticazione. Bisogna quindi abilitare le applicazioni compatibili con il ruolo, hardware e applicazioni.
Ad esempio il “Credential Guard“, protezione LSASS, Secure Boot e le funzionalità Secured-core. Eliminare i protocolli legacy e rafforzare l’autenticazione. Applicare la segmentazione di rete e Windows Defender Firewall (Il firewall host deve rimanere attivo su tutti i profili) e consentire solo il traffico necessario preferendo regole basate su subnet, host di gestione e applicazioni.
Uno dei fattori più importanti è quello di proteggere l’accesso remoto e RDP: non eseporre direttamente TCP 3389 a internet, utilizzare VPN, RD Gateway, ZTNA con autenticazione di livello alto e controllo della provenienza. Rafforzare SMB e le Condivisioni questo richiede la firma SMB lato server e client, su Windows Server 2025 la firma in uscita è richiesta per impostazione predefinita, mentre i requisiti di ingresso devono essere verificati e governati tramite policy. Bisogna disabilitare SSL e TLS 1.0/1.1 solo dopo aver rilevato e corretto le dipendenze. Mantenere TLS 1.2 come requisito minimo e utilizzare TLS 1.3 su Windows Server 2022/2025.
Altri controlli da fare:
- Distribuire antivirus, EDR (Endpoint Detection and Response) e controlli della superficie di attacco
- Controllo esecuzione applicazioni, script e powershell
- Proteggere dati, file system e configurazioni
- Audit avanzato, logging centralizzato e alert
- Progettare backup e recovery come controllo di sicurezza: I backup devono essere separati dal dominio amministrativo, protetti con MFA e con copie anche offline.
Puoi scaricare e consultare il documento ufficiale CIS Microsoft Windows Server 2025 Benchmark v2.1.0
Checklist hardening Linux (Ubuntu/Debian)
Il primo passo da fare è quello di mantenere l’ambiente linux sempre aggiornato, così da installare eventuali fix di sicurezza e bug noti, dopo bisogna impostare la gestione degli utenti e il controllo degli accessi: accedere in un server con utente root o con i privilegi alti non è consigliato in quanto in caso di possibile compromissione i malintenzionati possono avere pieno accesso alla macchina.
La modifica del file sshd_config è importante perchè impostando PasswordAuthentication no e PubkeyAuthentication yes evitiamo che le password siano vulnerabili al brute force. Configurare il fail2ban che permette di bloccare automaticamente gli IP che tentano accessi brute force su SSH e servizi web. Noi di Servereasy.it suggeriamo valori di base come bantime=3600, findtime=600, maxretry=5, da adattare poi alle proprie esigenze.
Altre cose fondmentali sono:
- Disabilitare login root: Impostando PermitRootLogin no nel servizio SSH
- Disabilita servizi non necessari: Impiega systemctl disable e mask per bloccare del tutto l’avvio di demoni non richiesti (es. avahi-daemon, cups, bluetooth).
- Password GRUB: Proteggi il bootloader eseguendo grub-mkpasswd-pbkdf2. Questa configurazione impedisce avvii indesiderati da chiavette USB live o l’alterazione fraudolenta dei parametri di avvio
- Configurazione del firewall
- Backup e Gestione dei Log
Hardening checklist per PMI: Ecco le 10 azioni che consigliamo noi di Servereasy
Circa 9 PMI su 10, molte volte non hanno un team di esperti di cybersecurity, ma con le leggi che ci sono oggi in caso problemi sono chiamati a rispondere anhe a livello legale. Abbiamo preparto 10 priorità secondo le nostre analisi e quelle basate sul CIS Benchmark
| Priorità | Cosa consigliamo di fare |
|---|---|
| 1 | Disabilitare servizi non necessari come Print Spooler, Fax, Browser e Remote Registry sui server che non li utilizzano esplicitamente. |
| 2 | Applicare tutte le patch di sicurezza (Windows Update, firmware, driver) evitando di accumulare patch critiche obsolete. |
| 3 | Configurare la Password policy via GPO: password lunga almeno 14 caratteri e complessa con segni speciali, lockout dopo 5 tentativi e rotazione consigliata ogni 90 giorni. |
| 4 | Disabilitare SMBv1 e i protocolli obsoleti come TLS 1.0 e TLS 1.1 direttamente dal registro di sistema o via PowerShell. |
| 5 | Abilitare audit policy avanzate per tracciare Logon/logoff, accesso agli oggetti, modifiche alle policy e gestione degli account. |
| 6 | Configurare Windows Firewall per bloccare tutto in ingresso di default, permettendo gli accessi amministrativi solo da IP conosciuti. |
| 7 | Abilitare Credential Guard: supportato da Windows Server 2016 e versioni successive, protegge a livello hardware le credenziali NTLM e i ticket Kerberos. |
| 8 | Implementare Windows LAPS nativo per generare e ruotare in automatico password complesse e uniche per l’amministratore locale. |
| 9 | Applicare la crittografia disco con BitLocker, con chip TPM 2.0 fortemente raccomandato per un’integrazione fluida. |
| 10 | Documentare e testare ogni singola modifica, esegui sempre uno snapshot preliminare e prepara un piano rapido di rollback. |
Per implementare queste configurazioni ci vogiono competenze avanzate che non sempre sono presenti internamente in un’azienda. Infatti, per chi non ha un team IT interno dedicato alla sicurezza, Noi di Servereasy proponiamo il servizio di Server Managed (disponibile su richiesta e preventivo esclusivamente sui nostri servizi). Ci occupiamo noi dell’hardening iniziale, dell’aggiornamento costante e del monitoraggio proattivo della tua infrastruttura.
Per partire con una base solida fin dal primo giorno, scopri i nostri Server Dedicati e anche le nostre VPS.
Servereasy risponde:
Cos'è il CIS Benchmark e perché è importante?
Il CIS (Center for Internet Security) Benchmark è un catalogo di configurazione riconosciute a livello internazionale per la messa in sicurezza dei sistemi informatici. È fondamentale perché fornisce standard oggettivi e documentati che aiutano le organizzazioni a difendersi dalle minacce e a strutturare una base solida per avere requisiti normativi.
È sufficiente avere un firewall hardware per proteggere il server?
Il firewall è fondamentale, ma rappresenta solo il primo strato di difesa. Se un malintenzionato riesce a superare il perimetro, magari sfruttando in modo malevolo una porta legittimamente aperta (come la 443), la sicurezza dei dati dipende unicamente da quanto è corazzato il sistema operativo sottostante.
Quanto tempo richiede l'hardening di un server dedicato?
La configurazione iniziale manuale può richiedere diverse ore. L’utilizzo di script di automazione o GPO centralizzate riduce i tempi, ma noi suggeriamo sempre di stanziare tempo a sufficienza per testare gli applicativi aziendali a l’applicazione delle policy.
Cosa fare se una regola di hardening blocca un applicativo aziendale?
Durante la prima fase, se una policy restrittiva entra in conflitto con un software legacy indispensabile, è necessario creare un’eccezione mirata e ben documentata. Tale eccezione deve però essere accompagnata da controlli compensativi.
La nostra missione è offrire soluzioni di hosting e infrastrutture IT scalabili, sicure e sempre affidabili, adatte sia a privati che a imprese.
Crediamo che l’hosting debba essere semplice e trasparente: per questo investiamo in tecnologie all’avanguardia e in sistemi di protezione proprietari, garantendo performance e continuità in ogni situazione.
Con oltre 15 anni di esperienza, accompagniamo i nostri clienti nella crescita digitale con supporto competente e innovazione costante.
www.servereasy.it