Follow us:

LOGIN

Chiama: +39 0557476507

Hardening Server Guida Completa alla Configurazione Iniziale di un Server Dedicato

Hardening Server: Guida Completa alla Configurazione Iniziale di un Server Dedicato

Posted at 19:32h in Guide e Tutorial by
0 Likes

Quando viene consegnato un nuovo server dedicato, la configurazione di default del sistema operativo è pensata per garantire la massima compatibilità e usabilità, non la massima sicurezza. Lasciare un server esposto su internet con le impostazioni di fabbrica significa renderlo un bersaglio facile per botnet, ransomware e attacchi brute force.

Il processo di messa in sicurezza prende il nome di Server Hardening. In questa guida analizzeremo come blindare l’infrastruttura partendo dalle basi, utilizzando come riferimento internazionale il CIS Benchmark (Center for Internet Security), lo standard tecnico per la sicurezza informatica aziendale.

Hardening Server: Cos’è e perché il CIS benchmark è lo standard

L’hardening è il processo di riduzione della possibilità di un attacco al sistema. Consiste nella disabilitazione dei servizi non necessari, nell’applicazione dei principi minimi dei privilegi e nella configurazione di policy di sicurezza restrittive.

Il CIS Benchmark fornisce linee guida sviluppate da una community globale di esperti di cybersecurity. Quindi seguire queste direttive supporta i requisiti tecnici di sicurezza richiesti da normative come GDPR e NIS2, assicurando che il server sia protetto contro le vulnerabilità più note e tentativi di attacco.

Noi di Servereasy.it sappiamo bene quanto sia delicata questa fase iniziale di setup. Proprio per agevolare le operazioni di hardening e configurazione di basso livello, includiamo gratuitamente l’accesso IPMI/KVM in ogni nostro server dedicato. Questo strumento permette di operare in sicurezza da remoto fin dal primo avvio, come se si fosse fisicamente davanti alla console della macchina nel nostro datacenter di Settimo Milanese.

Checklist hardening Windows Server 2022: 12 passi pratici

L’ecosistema Windows richiede un’attenzione particolare alle policy di dominio, ai protocolli legacy e agli accessi remoti. Noi consigliamo di testare sempre l’impatto di queste configurazioni in un ambiente di staging prima dell’applicazione definitiva.

  1. Disabilita SMBv1: Esegui in PowerShell il comando Set-SmbServerConfiguration -EnableSMB1Protocol $false. SMBv1 è il vettore di minacce come WannaCry e NotPetya.
  2. Password policy 14+ caratteri via GPO: Imposta una GPO con un minimo di 14 caratteri, complessità obbligatoria e blocco dell’account (lockout) dopo 5 tentativi errati. Di norma, si suggerisce una scadenza password ogni 90 giorni.
  3. Abilitare BitLocker su tutti i volumi: Usa la crittografia AES-256. Il chip TPM 2.0 è fortemente raccomandato per la configurazione standard (sebbene BitLocker possa tecnicamente funzionare anche senza TPM tramite GPO e chiave USB, pratica però sconsigliata). Salva sempre la recovery key in Active Directory.
  4. Configura AppLocker: Crea una whitelist delle applicazioni autorizzate. Blocca eseguibili (.exe), librerie (.dll) e script non firmati digitalmente per impedire l’esecuzione di ransomware.
  5. Windows Firewall con deny all in ingresso: Blocca tutto il traffico in ingresso, consentendo unicamente le porte documentate. Il protocollo RDP deve essere accessibile esclusivamente da IP interni o tramite VPN aziendale. Sconsigliamo di esporre l’RDP su IP pubblico.
  6. Step 06 – Audit policy avanzate: Abilita le categorie di log essenziali come Logon, Object Access, Policy Change e Account Management. I log dovrebbero poi essere centralizzati su un SIEM.
  7. RDP con NLA (Network Level Authentication): Forza l’uso della Network Level Authentication su tutte le sessioni RDP. Imposta un timeout per disconnettere le sessioni inattive (es. 15 minuti) e limita gli utenti RDP allo stretto necessario.
  8. Configura Windows LAPS nativo: Su Windows Server 2019, 2022 e 2025 (tramite gli update di aprile 2023) utilizza Windows LAPS, che è integrato nativamente nel sistema operativo. Non utilizzare il vecchio pacchetto MSI “Microsoft LAPS”, ormai ufficialmente deprecato. Il nuovo Windows LAPS cifra le password in Active Directory e supporta la password history. Si consiglia di impostare la rotazione automatica ogni 30 giorni.
  9. Blocca USB via GPO: Nel percorso (dovrebbe essere di genere) Computer Config > Admin Templates > System > Removable Storage Access, attiva le policy per bloccare la lettura e la scrittura su tutte le classi di dispositivi USB.
  10. Aggiornamenti automatici (WSUS/WU): Applica tempestivamente le patch di sicurezza e mantieni aggiornato il firmware del server (iDRAC, iLO, IPMI). Secondo noi per ridurre la finestra di esposizione, l’installazione andrebbe completata entro 72 ore dal rilascio della patch.
  11. Windows Event Forwarding (WEF): Centralizza i log di sicurezza da tutti i server su un collector dedicato. Questo passaggio è il prerequisito per l’analisi correlata degli eventi.
  12. Backup immutabile: Utilizza soluzioni come Veeam con immutability attiva o backup su storage di tipo WORM. Questo impedisce a eventuali ransomware di cifrare o eliminare i backup. Si consiglia vivamente un test di restore mensile.

Checklist hardening Linux (Ubuntu/Debian): 10 step fondamentali

I server Linux richiedono una configurazione chirurgica incentrata sulla gestione degli accessi e sulla rete.

  1. SSH key-only authentication: Modifica il file sshd_config impostando PasswordAuthentication no e PubkeyAuthentication yes. Le password sono vulnerabili al brute force, le chiavi SSH crittografiche offrono garanzie nettamente superiori.
  2. Configura fail2ban: Questo strumento blocca automaticamente gli IP che tentano accessi brute force su SSH e servizi web. Noi di Servereasy.it suggeriamo valori di base come bantime=3600, findtime=600, maxretry=5, da adattare poi alle proprie esigenze.
  3. UFW (Uncomplicated Firewall): Applica la regola di base ufw default deny incoming, seguita da ufw allow esclusivamente per le porte necessarie (es. 22 per SSH, 443 per HTTPS).
  4. Unattended-upgrades attivo: Installa il pacchetto unattended-upgrades e abilitalo per i security updates. Consigliamo di far installare in automatico le patch di sicurezza entro 24 ore dal rilascio.
  5. Configura auditd: Traccia ogni alterazione a file critici di sistema come /etc/passwd, /etc/shadow e /etc/sudoers, centralizzando i log. È un supporto fondamentale ai requisiti richiesti dalla NIS2.
  6. AppArmor in modalità enforcing: Utilizza il comando aa-enforce per tutti i profili supportati. Questo sistema MAC (Mandatory Access Control) limita a livello kernel ciò che ogni processo compromesso può eseguire.
  7. Password GRUB: Proteggi il bootloader eseguendo grub-mkpasswd-pbkdf2. Questa configurazione impedisce avvii indesiderati da chiavette USB live o l’alterazione fraudolenta dei parametri di avvio.
  8. Disabilita login root: Imposta PermitRootLogin no nel servizio SSH. Gli amministratori dovranno autenticarsi usando i propri account nominali ed aumentare i privilegi solo quando serve tramite sudo, per mantenere una tracciabilità totale delle operazioni.
  9. Applica CIS Benchmark Level 1: Verifica la conformità scansionando il sistema con il tool CIS-CAT Pro. Punta a un alto rateo di compliance (idealmente oltre il 95%), avendo cura di documentare eventuali eccezioni necessarie al funzionamento dei software.
  10. Disabilita servizi non necessari: Impiega systemctl disable e mask per bloccare del tutto l’avvio di demoni non richiesti (es. avahi-daemon, cups, bluetooth).

Hardening checklist per PMI: Ecco le 10 azioni che consigliamo noi di Servereasy

Le Piccole e Medie Imprese spesso non dispongono di team dedicati esclusivamente alla cybersecurity, ma sono chiamate a tutelare i propri dati con la medesima urgenza. Ecco 10 priorità assolute, ispirate al Livello 1 del CIS Benchmark.

Priorità Cosa consigliamo di fare
1 Disabilita servizi non necessari come Print Spooler, Fax, Browser e Remote Registry sui server che non li utilizzano esplicitamente.
2 Applica tutte le patch di sicurezza (Windows Update, firmware, driver) evitando di accumulare patch critiche arretrate.
3 Configura la Password policy via GPO: lunghezza minima 14 caratteri, lockout dopo 5 tentativi e rotazione consigliata ogni 90 giorni.
4 Disabilita SMBv1 e i protocolli obsoleti come TLS 1.0 e TLS 1.1 direttamente dal registro di sistema o via PowerShell.
5 Abilita audit policy avanzate per tracciare Logon/logoff, accesso agli oggetti, modifiche alle policy e gestione degli account.
6 Configura Windows Firewall per bloccare tutto in ingresso di default, permettendo gli accessi amministrativi solo da IP conosciuti.
7 Abilita Credential Guard: supportato da Windows Server 2016 in poi e attivo di default da Windows Server 2025, protegge a livello hardware le credenziali NTLM e i ticket Kerberos.
8 Implementa Windows LAPS nativo per generare e ruotare in automatico password complesse e uniche per l’amministratore locale.
9 Applica la crittografia disco con BitLocker, con chip TPM 2.0 fortemente raccomandato per un’integrazione fluida.
10 Documenta e testa ogni singola modifica, esegui sempre uno snapshot preliminare e prepara un piano rapido di rollback.

Puoi scaricare e consultare il documento ufficiale CIS Microsoft Windows Server 2025 Benchmark v2.1.0 

Sappiamo che implementare tutte queste configurazioni richiede competenze sistemistiche avanzate che non sempre sono presenti internamente in un’azienda. Per chi non ha un team IT interno dedicato alla sicurezza, Servereasy.it propone il servizio di Server Managed (disponibile su richiesta e preventivo esclusivamente sui nostri servizi). Ci occuperemo noi dell’hardening iniziale, dell’aggiornamento costante e del monitoraggio proattivo della tua infrastruttura.

Per partire con una base solida fin dal primo giorno,  scopri i nostri Server Dedicati e anche le nostre VPS.

Scopri i nostri Server Dedicati
Scopri le nostre VPS

Servereasy risponde:


Cos'è il CIS Benchmark e perché è importante?

+

Il CIS (Center for Internet Security) Benchmark è un catalogo di best practice di configurazione riconosciute a livello globale per la messa in sicurezza dei sistemi informatici. È fondamentale perché fornisce standard oggettivi e documentati che aiutano le organizzazioni a difendersi dalle minacce e a strutturare una base solida per adempiere ai requisiti normativi.

Qual è la differenza tra Hardening Livello 1 e Livello 2?

+

Il Livello 1 del CIS Benchmark include raccomandazioni di base che riducono significativamente gli attacchi senza limitare in modo severo l’operatività del server. Il Livello 2 (Defense-in-Depth) è pensato per ambienti ad alta sicurezza e può introdurre limitazioni funzionali qualora applicato senza un’accurata fase di testing.


È sufficiente avere un firewall hardware per proteggere il server?

+

Assolutamente no. Il firewall perimetrale è fondamentale, ma rappresenta solo il primo strato di difesa. Se un attaccante riesce a superare il perimetro, magari sfruttando in modo malevolo una porta legittimamente aperta (come la 443), la sicurezza dei dati dipende unicamente da quanto è corazzato il sistema operativo sottostante.


Quanto tempo richiede l'hardening di un server dedicato?

+

La configurazione iniziale manuale può richiedere diverse ore. L’utilizzo di script di automazione o GPO centralizzate riduce i tempi di deploy, ma noi suggeriamo sempre di stanziare tempo a sufficienza per testare in modo esaustivo gli applicativi aziendali a valle dell’applicazione delle policy.


Cosa fare se una regola di hardening blocca un applicativo aziendale?

+

Durante la fase di test preliminare, se una policy restrittiva entra in conflitto con un software legacy indispensabile, è necessario creare un’eccezione mirata e ben documentata. Tale eccezione deve però essere accompagnata da controlli compensativi (ad esempio, se non è possibile disabilitare un servizio obsoleto, l’accesso a quel servizio deve essere ristretto a livello di firewall a una singola macchina autorizzata).