Installare Windows Server e applicare gli aggiornamenti non significa avere un sistema pronto per la produzione. Un server sicuro richiede una baseline verificata, configurazioni coerenti con il ruolo svolto, privilegi ridotti, protocolli moderni, monitoraggio e procedure di ripristino testate. Il Windows Server hardening è il processo con cui si riduce la superficie di attacco del sistema operativo e dei servizi, limitando le possibilità di compromissione, movimento laterale, furto di credenziali e persistenza.
Le indicazioni di questa guida si applicano a Windows Server 2019, 2022 e 2025, con differenze operative legate alla versione, al ruolo e alle dipendenze applicative. Non esiste una configurazione universale: una baseline deve essere selezionata, testata in un ambiente pilota e adattata senza disabilitare controlli solo per risolvere problemi di compatibilità non analizzati.
Trasforma le best practice in un piano di verifica
Utilizza un elenco di controllo strutturato per esaminare installazione, account, rete, criteri di audit, funzionalità di sicurezza e configurazioni di dominio.
Che cos'è il Windows Server hardening
L’hardening è un insieme coordinato di interventi tecnici e organizzativi che porta un server da una configurazione generica a una configurazione controllata. L’obiettivo non è attivare il maggior numero possibile di impostazioni restrittive, ma rendere il sistema adeguato alla funzione che deve svolgere, eliminando componenti non necessari e riducendo i privilegi, le porte, i protocolli e i percorsi di amministrazione disponibili.
Un progetto efficace considera tre livelli distinti:
Hardening del sistema operativo
Baseline di sicurezza, servizi, firewall, crittografia, protezione credenziali, antivirus, logging e patching.
Hardening del ruolo
Controlli specifici per Domain Controller, file server, server RDS, IIS, SQL Server, Hyper-V o applicazioni line-of-business.
Hardening dell’architettura
Segmentazione, livelli amministrativi, jump server, gestione delle identità, backup, monitoraggio e risposta agli incidenti.
Principio fondamentale
• Ogni modifica deve avere un owner, una motivazione, un metodo di verifica e una procedura di rollback.
• Le eccezioni devono essere documentate e rivalutate: una deroga permanente diventa configuration drift.
• Il server deve essere valutato in base al ruolo, non come sistema isolato dal dominio e dalla rete.
Prima di applicare una baseline: inventario, test e rollback
L’errore più comune è applicare una checklist direttamente in produzione. Le baseline Microsoft, CIS e DISA STIG sono punti di partenza autorevoli, ma possono modificare autenticazione, condivisioni, cifratura, accessi remoti e comportamento delle applicazioni. Prima dell’enforcement occorre costruire un perimetro tecnico chiaro.
Identificare versione, build, ruolo, applicazioni installate, porte utilizzate e dipendenze da sistemi legacy.
Rilevare la configurazione corrente e salvare GPO, criteri locali, impostazioni firewall e configurazioni applicative.
Definire una baseline distinta per Domain Controller, server membro e server esposti o ad alta criticità.
Applicare le modifiche a gruppi pilota, verificando autenticazione, backup, monitoring e processi operativi.
Predisporre snapshot o backup coerenti con il workload, procedure di ripristino e criteri di rollback documentati.
Misurare la conformità dopo il deployment e rilevare variazioni successive rispetto alla baseline approvata.
Windows Server hardening checklist: 15 controlli prioritari
Utilizzare versioni supportate e un patching governato
Mantenere il sistema operativo, i driver, i runtime e le applicazioni aggiornati. Gli aggiornamenti devono essere distribuiti con anelli pilota, finestre di manutenzione, controllo dell’esito e gestione delle eccezioni.
Un server non più supportato non deve essere trattato come una normale eccezione di patching: richiede un piano di aggiornamento, isolamento e compensating controls fino alla dismissione.
Adottare una security baseline ufficiale
Per Windows Server 2025 Microsoft rende disponibili baseline basate sul ruolo tramite OSConfig, con scenari distinti per Domain Controller, server membro e server in workgroup e controllo del configuration drift.
Microsoft pubblica inoltre la baseline Windows Server 2025 nel Security Compliance Toolkit; per Windows Server 2019 e 2022 il Toolkit resta il riferimento operativo per confrontare, personalizzare e distribuire le impostazioni tramite Group Policy o criteri locali. Evitare di gestire la stessa impostazione con autorità concorrenti, perché OSConfig, GPO e altri strumenti possono generare conflitti.
Ridurre ruoli, funzionalità e software installato
Installare solo i componenti necessari al workload. Rimuovere ruoli inutilizzati, tool amministrativi non indispensabili, browser, runtime obsoleti e software di terze parti non gestito.
Quando compatibile con l’applicazione, Server Core riduce componenti, servizi e superficie amministrativa rispetto all’installazione Desktop Experience.
Gestire gli account amministrativi secondo il principio del minimo privilegio
Separare gli account personali da quelli privileged, vietare l’uso quotidiano degli account amministrativi e limitare il logon ai sistemi autorizzati. Utilizzare gruppi dedicati, deleghe puntuali, Just Enough Administration o meccanismi JIT/PIM dove disponibili. Gli account di emergenza devono essere protetti, monitorati e sottoposti a procedure di utilizzo controllato.
Per gli account amministrativi locali, implementare Windows LAPS per generare password uniche, ruotarle automaticamente e limitarne la lettura agli operatori autorizzati. LAPS elimina il riutilizzo della stessa password locale su più server, una condizione che facilita il movimento laterale.
Proteggere le credenziali e la memoria di autenticazione
Abilitare le protezioni compatibili con ruolo, hardware e applicazioni, come Credential Guard sui server membro aggiunti al dominio, la protezione LSASS come Protected Process Light, Secure Boot e le funzionalità Secured-core.
Credential Guard non deve essere presentato come controllo per i Domain Controller e non è supportato su Exchange Server; prima dell’enforcement occorre verificare requisiti VBS, generazione delle macchine virtuali e dipendenze di autenticazione. Questi controlli riducono l’esposizione di hash NTLM, ticket Kerberos e altri segreti utilizzabili in attacchi Pass-the-Hash e Pass-the-Ticket.
Eliminare protocolli legacy e rafforzare l’autenticazione
Disabilitare SMBv1 e i protocolli non necessari; inventariare l’uso di NTLM, eliminare LM/NTLMv1 e ridurre progressivamente l’autenticazione NTLM, mantenendo NTLMv2 solo come compatibilità transitoria finché i workload non possono utilizzare Kerberos.
Per gli account di dominio e di servizio, adottare la cifratura Kerberos AES e rimuovere RC4 dopo aver identificato i sistemi incompatibili. LDAP signing e channel binding devono essere introdotti con audit, pilot, remediation delle dipendenze ed enforcement graduale.
Per gli scenari di dominio, approfondisci le vulnerabilità Active Directory più comuni nel 2026 e le relative priorità di remediation.
Applicare segmentazione di rete e Windows Defender Firewall
Il firewall host deve restare attivo su tutti i profili. Consentire solo traffico necessario, preferendo regole basate su subnet, host di gestione e applicazioni.
I server ad alta criticità devono essere collocati in segmenti dedicati; le reti utente non devono poter raggiungere direttamente porte amministrative, database o management interface.
Proteggere l’accesso remoto e RDP
Non esporre direttamente TCP 3389 a Internet. Utilizzare VPN, RD Gateway, ZTNA o jump server, con autenticazione forte e controllo della provenienza.
Limitare gli utenti autorizzati, applicare Network Level Authentication, definire timeout di sessione e valutare la disabilitazione di clipboard, drive redirection e altre redirezioni quando non necessarie al processo operativo.
Rafforzare SMB e le condivisioni
Richiedere la firma SMB lato server e client, validando prima appliance e implementazioni SMB di terze parti; su Windows Server 2025 la firma in uscita è richiesta per impostazione predefinita, mentre i requisiti in ingresso devono essere verificati e governati tramite policy.
Utilizzare SMB Encryption per dati sensibili o reti non completamente affidabili e disabilitare gli accessi guest. Evitare connessioni tramite indirizzo IP quando è disponibile Kerberos. Le autorizzazioni share e NTFS devono essere coerenti, basate su gruppi e riesaminate periodicamente.
Gestire TLS, certificati e protocolli crittografici
Disabilitare SSL e TLS 1.0/1.1 solo dopo aver rilevato e corretto le dipendenze, mantenere TLS 1.2 come requisito minimo e utilizzare TLS 1.3 sui server Windows Server 2022/2025 quando anche l’applicazione lo supporta. Windows Server 2019 non supporta TLS 1.3 tramite Schannel.
Gestire cipher suite e impostazioni Schannel tramite criteri centralizzati e versionati; assegnare ai certificati un owner, monitorarne la scadenza, proteggere le chiavi e definire il processo di rinnovo.
Distribuire antivirus, EDR e controlli della superficie di attacco
Microsoft Defender Antivirus o un prodotto equivalente deve essere configurato, aggiornato e monitorato centralmente. L’onboarding a una piattaforma EDR/XDR consente rilevazione comportamentale, correlazione degli eventi e risposta.
Le esclusioni devono essere minime, motivate e specifiche: esclusioni estese di cartelle o processi possono annullare la protezione del workload.
Per integrare hardening, EDR/XDR, monitoraggio e gestione operativa, consulta il servizio di Endpoint Protection aziendale.
Controllare esecuzione di applicazioni, script e PowerShell
Utilizzare App Control for Business o policy equivalenti per consentire solo software approvato nei server più critici.
Configurare PowerShell logging, Script Block Logging e Module Logging in base al livello di rischio; limitare PowerShell remoting agli host amministrativi autorizzati. Disabilitare interpreti, componenti e motori di scripting non utilizzati dal workload.
Abilitare audit avanzato, logging centralizzato e alert
Configurare Advanced Audit Policy per accessi, logon privileged, modifiche a gruppi, account, criteri, servizi, task schedulati e oggetti sensibili.
Centralizzare gli eventi con Windows Event Forwarding, SIEM o piattaforma SOC, definendo retention e casi d’uso. La sola raccolta dei log non riduce il rischio: servono correlazioni, alert, owner e procedure di escalation.
Proteggere dati, file system e configurazioni
Applicare permessi NTFS minimi, rimuovere ACL obsolete, proteggere cartelle applicative e chiavi di registro critiche. Utilizzare BitLocker per i volumi quando coerente con l’architettura e proteggere le chiavi di ripristino.
I service account devono avere privilegi limitati e, quando possibile, essere sostituiti da gMSA per evitare password statiche e interattive.
Progettare backup e recovery come controllo di sicurezza
I backup devono essere separati dal dominio amministrativo ordinario, protetti con MFA, immutabilità o copie offline, retention adeguata e accessi minimi. Eseguire test di ripristino completi e verificare l’ordine di recovery: identità, infrastruttura, dati e applicazioni. Un backup raggiungibile con le stesse credenziali compromesse non costituisce una difesa affidabile contro il ransomware.
Per scenari di compromissione e ripristino controllato, Nexsys dispone di un servizio dedicato di Ransomware Recovery.
La checklist individua i controlli; l’assessment valida il rischio reale
Verifica configurazioni deboli, privilegi eccessivi, protocolli legacy, percorsi di attacco e priorità di remediation nel dominio Windows.
Hardening in base al ruolo del server
Una baseline generica deve essere completata con controlli specifici per il ruolo. Applicare la stessa configurazione a tutti i server può produrre due risultati opposti: sistemi critici ancora esposti e applicazioni bloccate da criteri non pertinenti.
Domain Controller
- Evitare ruoli, software, agenti e accessi interattivi non indispensabili.
- Separare gli account amministrativi del dominio dagli account utente e dai privilegi sui server membro.
- Proteggere SYSVOL, NTDS e i backup System State; limitare e monitorare i diritti di replica della directory che consentono operazioni DCSync.
- Rivedere deleghe, ACL, gruppi privilegiati, account di servizio, protocolli Kerberos/NTLM e configurazioni AD CS.
- Centralizzare gli eventi di sicurezza e monitorare modifiche a gruppi, GPO, trust, deleghe e criteri di autenticazione.
File Server
- Applicare firma SMB, encryption dove necessaria, guest access disabilitato e permessi basati su gruppi.
- Separare accesso ai dati e amministrazione del sistema; utilizzare SACL per cartelle ad alta sensibilità.
- Utilizzare quote e file screening per applicare policy sui dati e generare telemetria; non considerarli sostitutivi di EDR, segmentazione e backup immutabili contro il ransomware.
- Testare ripristino granulare e completo, mantenendo copie non modificabili dagli amministratori ordinari.
Remote Desktop Services
- Pubblicare l’accesso tramite RD Gateway, VPN o ZTNA e applicare MFA.
- Limitare utenti, origini, orari, redirezioni e durata delle sessioni.
- Separare Connection Broker, Gateway, Session Host e database in funzione della criticità e della scala.
- Monitorare autenticazioni anomale, brute force, sessioni concorrenti e trasferimenti di file.
IIS e Application Server
- Rimuovere moduli e feature IIS non utilizzati; separare application pool e identità.
- Forzare HTTPS, gestire TLS e certificati, proteggere segreti e connection string.
- Eseguire le applicazioni con account dedicati o gMSA, senza privilegi amministrativi.
- Integrare reverse proxy/WAF dove richiesto e mantenere aggiornati framework, runtime e componenti.
Hyper-V e Host di Virtualizzazione
- Dedicare l’host alla virtualizzazione ed evitare software non necessario.
- Separare rete di management, storage, live migration e traffico delle VM.
- Limitare gli amministratori Hyper-V, proteggere console e management plane e monitorare modifiche alle VM.
- Proteggere backup, replica e file di configurazione; testare restore e avvio delle macchine virtuali.
Come verificare che l'hardening sia efficace
L’attività non termina con l’applicazione delle GPO. La configurazione deve essere verificata tecnicamente e monitorata nel tempo. Un controllo maturo combina misure automatiche e validazione manuale.
Conformità alla baseline
Verifica delle impostazioni effettive rispetto alla configurazione approvata.
Vulnerability assessment
Identificazione di patch mancanti, servizi esposti, software obsoleto e configurazioni vulnerabili.
Attack path analysis
Analisi dei percorsi che consentono a un account o a un server compromesso di raggiungere privilegi superiori.
Test funzionali
Autenticazione, applicazioni, backup, monitoraggio, failover e procedure operative.
Configuration drift
Rilevazione di modifiche successive, eccezioni non autorizzate e sistemi rimasti fuori perimetro.
Metriche
Percentuale di server conformi, finding critici aperti, tempo di remediation, copertura EDR e successo dei test di restore.
Hardening Windows Server e Active Directory: perché devono essere coordinati
Un server membro ben configurato può essere compromesso se il dominio consente percorsi di escalation; allo stesso modo, un dominio protetto non compensa un file server con RDP esposto, credenziali locali riutilizzate o backup accessibili. Per questo il Windows Server hardening deve essere integrato con la sicurezza delle identità, delle Group Policy, dei protocolli di autenticazione e degli account privilegiati.
Il servizio Nexsys di Assessment & Hardening Active Directory combina scansione in sola lettura, analisi dei percorsi di attacco, verifica manuale e roadmap di remediation. L’obiettivo non è produrre un elenco generico di finding, ma definire interventi ordinati per rischio, impatto e complessità.
Formazione tecnica per amministratori Windows Server
L’hardening richiede competenze operative: Group Policy, Kerberos, NTLM, LAPS, SMB, logging, backup, gestione dei privilegi e troubleshooting delle incompatibilità. Nexsys propone un corso Windows Server Administration su Windows Server 2022/2025, con moduli dedicati a Server Core, Group Policy, LAPS, Credential Guard, SMB, aggiornamenti, RDS e monitoraggio, oltre a un corso Active Directory per amministratori IT che devono installare, gestire e proteggere il dominio.
Domande frequenti sul Windows Server hardening
Una security baseline Microsoft è sufficiente?
No. La baseline costituisce un punto di partenza standardizzato, ma deve essere adattata al ruolo del server, alle applicazioni, alla rete, alle identità e ai requisiti operativi. Servono test, eccezioni documentate e verifiche periodiche.
L’hardening può causare disservizi?
Sì, soprattutto quando vengono modificati protocolli legacy, criteri di autenticazione, firma SMB, TLS, privilegi e firewall. Per questo le modifiche devono essere introdotte con inventario delle dipendenze, pilot, monitoraggio e rollback.
Qual è la differenza tra hardening Windows Server e hardening Active Directory?
Il primo protegge sistema operativo, servizi e ruolo del singolo server. Il secondo interviene su identità, privilegi, Kerberos, NTLM, Group Policy, ACL, deleghe, controller di dominio e percorsi di escalation. In un ambiente di dominio le due attività devono essere coordinate.
Ogni quanto deve essere rivista la configurazione?
Dopo cambi di versione, ruolo, applicazione o architettura e, in ogni caso, attraverso controlli periodici di conformità. Le baseline e le eccezioni devono essere versionate; gli eventi di sicurezza e il configuration drift devono essere monitorati continuativamente.
La checklist sostituisce un assessment?
No. La checklist aiuta a strutturare i controlli, mentre un assessment verifica configurazioni effettive, dipendenze, privilegi, percorsi di attacco e priorità di remediation nel contesto reale dell’organizzazione.
Porta i server a una baseline verificata e sostenibile
Nexsys analizza infrastruttura, Active Directory, server, endpoint, rete, backup e processi; definisce priorità e supporta la remediation con un approccio tecnico e misurabile.
Approfondimenti correlati
Configurare NTP in Windows Server: guida completa
Sincronizzazione temporale, autenticazione Kerberos e affidabilità dei log.
8 vulnerabilità Active Directory più comuni nel 2026
Protocolli legacy, account privilegiati, deleghe e percorsi di attacco.
Windows Server Security Hardening Checklist
Guida gratuita da usare come controllo iniziale.