Proteggere i tuoi server con Windows Defender, AppLocker, SCT e altro

Il malware — virus informatici, worm, cavalli di Troia, ransomware, spyware e così via — rappresenta una minaccia costante per le organizzazioni perché può danneggiare i dispositivi e consentire a parti non autorizzate di accedere alla rete da remoto per raccogliere e trasmettere informazioni sensibili. Windows Server 2016 include i seguenti strumenti e funzionalità per aiutare a mitigare la minaccia del malware:

• App di Windows Defender Security Center
• Windows Defender Device Guard
• Control Flow Guard
• Politiche di Restrizione del Software (SRPs)
• AppLocker
• Toolkit per la Conformità di Sicurezza

App di Windows Defender Security Center

L'app Windows Defender Server 2016 Security Center può aiutarti a identificare e rimuovere malware da computer e altri dispositivi nel tuo ambiente. Ecco alcune delle informazioni e funzionalità che offre:

• Protezione da virus e minacce. Include informazioni su e accesso alle impostazioni antivirus e alla funzionalità di accesso controllato alle cartelle di Windows Defender Exploit Guard.
• Prestazioni e salute del dispositivo. Fornisce informazioni sui driver, lo spazio di archiviazione e Windows Update.
• Protezione firewall e di rete. Include informazioni su e accesso alle impostazioni del firewall, incluse le impostazioni di Windows Defender Firewall.
• Controllo app e browser. Include mitigazioni per la protezione da exploit e impostazioni di Windows Defender SmartScreen.
• Opzioni famiglia. Include l'accesso ai controlli parentali e alle impostazioni familiari.

Windows Defender Device Guard

Windows Defender Device Guard è una suite di funzionalità di sicurezza introdotte in Windows Server 2016. Quando lo attivi, invece di fidarti di tutte le applicazioni tranne quelle bloccate da un antivirus o un'altra soluzione di sicurezza, il sistema operativo eseguirà solo le applicazioni presenti in una whitelist definita dalla tua organizzazione.

Windows Defender Device Guard utilizza la sicurezza basata sulla virtualizzazione per isolare il servizio di integrità del codice dal kernel di Windows. Windows Defender Device Guard può bloccare qualsiasi software, anche se un utente non autorizzato riesce a prendere il controllo del sistema operativo. Puoi scegliere esattamente cosa può essere eseguito all'interno del tuo ambiente utilizzando una politica di integrità del codice per proteggere il tuo ambiente.

Windows Defender Device Guard non è una singola funzionalità. È una combinazione di diverse funzionalità, come:

• Modalità Virtuale Sicura. Un guscio virtuale che isola il processo ISASS.exe dal sistema operativo, il che riduce il rischio che utenti malintenzionati compromettano le credenziali di dominio dei vostri utenti
• Windows Defender Application Control. Un componente di Windows che fornisce un motore di regole per aiutare a garantire la sicurezza degli eseguibili
• Integrità del codice protetto dalla Modalità Virtuale Sicura. Sposta i componenti Integrità del Codice in Modalità Kernel (KMCI) e Integrità del Codice dell'Hypervisor (HVCI) in modalità virtuale sicura per rafforzarli contro gli attacchi.
• Platform and UEFI Secure Boot. Secure Boot offre un alto beneficio per la sicurezza utilizzando firme e misurazioni per aiutare a proteggere il codice del boot-loader e il firmware da manomissioni.

Control Flow Guard

CFG è una funzionalità di sicurezza delle piattaforme che aiuta a prevenire le vulnerabilità da corruzione della memoria. CFG impone restrizioni sui luoghi in cui un'applicazione può eseguire codice, rendendo più difficile per gli hacker malintenzionati eseguire codice soggettivo attraverso vulnerabilità comuni, come gli overflow di buffer. CFG monitora e verifica alcuni aspetti del flusso di controllo di un programma, inclusi i punti in cui l'esecuzione cambia da istruzioni sequenziali dirette. La tecnologia che supporta CFG assicura che tutte le chiamate indirette risultino in un salto verso obiettivi legali. Gli hacker malintenzionati forniranno input insoliti a un programma in esecuzione per farlo comportare in modo inaspettato.

Politiche di Restrizione del Software (SRPs)

Uno dei migliori modi per aiutare a bloccare software dannoso e altre minacce informatiche è limitare o restringere il software che può essere eseguito in un ambiente aziendale.

Un'opzione è utilizzare gli SRP, che consentono agli amministratori di creare regole che specificano quali applicazioni possono essere eseguite sui dispositivi client. Le regole si basano su uno dei seguenti criteri:

• Hash. L'impronta digitale crittografica del file
• Certificato. Un certificato di editore software che firma digitalmente un file
• Percorso. Il percorso locale o Universal Naming Convention (UNC) dove è memorizzato il file
• Zona. La zona di internet

AppLocker

AppLocker è un altro modo per controllare quali applicazioni possono essere eseguite dagli utenti. Puoi applicare AppLocker tramite Group Policy agli oggetti computer all'interno di un'unità organizzativa (OU). Puoi anche applicare regole AppLocker individuali a singoli utenti o gruppi di Active Directory Domain Services (AD DS). AppLocker contiene anche opzioni che puoi utilizzare per monitorare o verificare l'applicazione delle regole.

Ad esempio, puoi utilizzare AppLocker per limitare il software che:

• Non vuoi che nessuno lo utilizzi nella tua azienda.
• I dipendenti non utilizzano o che hai sostituito con una versione più recente.
• La tua azienda non offre più supporto.
• Software che dovrebbero utilizzare solo determinati dipartimenti.

È possibile configurare le impostazioni per AppLocker nel seguente percorso in GPMC: “Computer ConfigurationPoliciesWindows SettingsSecurity SettingsApplication Control Policies”.

Toolkit per la Conformità di Sicurezza (SCT)

Per proteggere dalle minacce alla sicurezza, le organizzazioni devono avere politiche di sicurezza ben progettate che coprano la maggior parte dei componenti organizzativi e IT. Le politiche di sicurezza dovrebbero stabilire una base per la sicurezza fondamentale di un server e poi assicurarsi che tale base sia applicata a tutti i server.

SCT è un insieme di strumenti gratuiti di Microsoft che gli amministratori possono utilizzare per aiutare a proteggere i computer nel loro ambiente, indipendentemente dal fatto che i computer si trovino localmente, remotamente o nel cloud. È possibile scaricare basi di configurazione di sicurezza consigliate da Microsoft; testarle, modificarle e memorizzarle; e applicarle ai propri server. È inoltre possibile confrontare i propri GPO attuali con le basi di riferimento.

Le principali caratteristiche di SCT includono:

• Policy Analyzer. Ti consente di analizzare e confrontare insiemi di oggetti Criteri di gruppo (GPO).
• Utility per gli oggetti Criteri di gruppo locali. Aiuta ad automatizzare la gestione dei Criteri di gruppo locali, inclusa l'importazione delle impostazioni dai backup dei Criteri di gruppo, file di criteri del registro, template di sicurezza e file CSV di backup dell'auditing avanzato generati dal Policy Analyzer