Come mettere in sicurezza un VPS Windows: la checklist di hardening

Per mettere in sicurezza un VPS Windows senza trasformarlo in un progetto di ricerca, applica prima le patch, rafforza RDP con NLA e allowlist di IP, imponi il blocco degli account, mantieni strette le regole del firewall in ingresso, lascia attiva la protezione in tempo reale di Defender e testa i backup. Per lavoro da remoto, siti web o app, l'obiettivo è semplice: ridurre la superficie di attacco, proteggere l'identità e tenere d'occhio i log.

Patch First: Aggiornamenti, Driver e Ruoli

Prima di qualsiasi altra cosa, applica le patch. I server senza patch con esposizione pubblica sono bersagli facili, e la maggior parte degli attacchi inizia da lì. Mantieni gli aggiornamenti di sicurezza attivi, rimuovi i ruoli Windows inutilizzati e pianifica i riavvii secondo una cadenza che il tuo team possa sostenere. È il lavoro noioso che previene i problemi grossi.

• Configura gli Aggiornamenti Windows per installare gli aggiornamenti di sicurezza su base regolare; allinea le finestre di manutenzione con gli orari che funzionano per te.
• Rimuovi i ruoli e le funzionalità che non ti servono, come i moduli IIS legacy o i componenti SMB 1.0.
• Applica gli aggiornamenti di driver, firmware e app con regolarità, quindi riavvia secondo programma, non due mesi dopo.
• Se VPS è su IP pubblico, rivedi l'esposizione nel tuo portale cloud e chiudi ciò che non è necessario.

Parti da qui e tieni un semplice changelog mensile, così potrai dire cosa è cambiato e quando. È la base per il lavoro sull'identità, dove si ottengono i guadagni maggiori.

Nozioni Fondamentali di Identità: Password Forti, Percorsi MFA

L'identità è la tua porta d'ingresso. Frasi passphrase lunghe e un secondo fattore fermano la maggior parte degli attacchi comuni, e sono semplici da implementare anche su un piccolo Server Windows.

• Usa passphrase di almeno 14 caratteri. Se il server è aggiunto a un dominio, aggiungi il filtraggio delle password vietate tramite il tuo stack di identità.
• Aggiungi l'MFA a Remote Desktop tramite un RD Gateway, una VPN o un provider di credenziali di terze parti.
• Usa account admin separati e dedicati, e mantieni il lavoro quotidiano sotto un utente standard.
• Controlla chi può accedere tramite RDP, riduci la lista, e applica il principio del minor privilegio.

Niente di tutto questo è un trucco. È costanza, e la costanza porta dritti alla gestione degli account. Se lo stai facendo per un cliente, inserisci questi controlli nelle note di consegna così che il prossimo amministratore segua lo stesso piano.

Disattiva l'account 'Administrator' predefinito e applica il blocco degli account

Gli attaccanti puntano sul nome Administrator integrato. Disabilitalo, crea un admin dedicato, e aggiungi il blocco dell'account in modo che i tentativi di forza bruta rallentino drasticamente.

• Crea e collauda un account amministratore dedicato con un nome proprio, poi disattiva l'account Administrator integrato. Se devi mantenerlo, rinominalo e proteggilo come account di emergenza.
• Imposta il blocco dell'account su 10 tentativi, blocco di 15 minuti e ripristino di 15 minuti per un equilibrio pratico.
• Documenta una procedura rapida di sblocco in modo che il supporto non rimanga bloccato quando qualcuno sbaglia la password.

Per le impostazioni di riferimento e i compromessi, consulta il riferimento Microsoft sulla soglia di blocco account.

Piccoli cambiamenti come questi si ripagano in fretta su una VM esposta. Chiusa la porta predefinita e attivi i blocchi, il livello successivo è la superficie RDP.

Hardening di RDP: NLA, riduzione del rumore delle porte e IP allowlist

Desktop remoto è un bersaglio preferito, quindi rendilo più sicuro. Attiva l'autenticazione a livello di rete, riduci l'esposizione con allowlist, e diminuisci il rumore dei bot sulla porta 3389. Cambiare la porta non è un controllo in sé; riduce solo il rumore dei scanner.

• Richiedi NLA sul server; i client più vecchi che non lo supportano non dovrebbero connettersi.
• Consenti solo IP di origine specifici su TCP 3389 o sulla nuova porta; meglio ancora, metti RDP dietro una VPN o un RD Gateway.
• Cambia la porta RDP predefinita per ridurre il rumore dei scanner, ma non considerarlo come sicurezza in sé.
• Disabilita il reindirizzamento del drive e degli appunti se non ti servono; imposta timeout di inattività e forza la riautenticazione.

Blindare RDP taglia la maggior parte degli attacchi automatizzati, e gran parte del lavoro lo fa l'allowlist. Restringere l'intervallo di origine, o usare allowlisting e geofencing per RDP quando tutti i tuoi utenti si trovano in un'unica regione, impedisce al traffico occasionale di arrivare persino alla schermata di accesso. Si sposa bene con regole di firewall sensate.

Regole firewall che effettivamente aiutano

Le regole del firewall dell'host dovrebbero essere semplici: negare per impostazione predefinita e poi aprire solo ciò che usi. Lega le regole RDP a IP di origine noti, registra i pacchetti scartati e tieni fuori i protocolli obsoleti.

• Inizia con il deny-by-default in ingresso, poi consenti solo le porte e i protocolli necessari.
• Limita le regole RDP agli IP noti, non a 0.0.0.0/0, e registra il traffico bloccato per la revisione.
• Mantieni TLS 1.2 o versioni più recenti; disabilita SMBv1 ovunque.
• Lascia il traffico in uscita consentito per impostazione predefinita, a meno che tu non abbia una policy di egress gestita; aggiungi blocchi in uscita mirati solo dove esiste un'esigenza definita.

Le regole che si ripagano coprono di solito porte che nessuno ha aperto di proposito. Windows RPC su TCP 135 è l'esempio classico, e limitarlo a sorgenti attendibili sul firewall dell'host è lo stesso riflesso di negazione predefinita, applicato una porta alla volta. Dietro quelle porte ci sono i servizi stessi.

Igiene dei Servizi: Rimuovi Quello Che Non Usi

I servizi extra creano nuovi vettori di attacco. Spegni quello che non ti serve, poi controlla di nuovo tra un mese per vedere cosa si è reintrodotto.

• Arresta e disabilita lo Spooler di Stampa se il server non è un host di stampa.
• Disabilita Remote Registry e i protocolli legacy che non usi.
• Disinstalla i ruoli web, file o FTP che non fanno parte del tuo carico di lavoro.
• Passa in rassegna gli elementi di avvio e le attività pianificate, e indaga su tutto ciò che non riconosci prima di disattivarlo.

Messa in ordine la casa, aggiungi una protezione di base con Defender e impostazioni EDR leggere. Costa poco, ed è il tipo di cosa che si vede nella pratica quotidiana.

Defender, EDR e Scansioni Pianificate

Microsoft Defender Antivirus offre una solida base integrata nelle versioni attuali di Windows Server. Mantieni attive la protezione in tempo reale e quella fornita dal cloud, e usa le analisi veloci per la pianificazione ordinaria.

• Se il server è collegato a Defender for Endpoint, attiva lì la Tamper Protection.
• Mantieni attiva la protezione in tempo reale e quella basata sul cloud; pianifica una scansione veloce settimanale durante un periodo di tranquillità.
• Esegui analisi complete solo per indagini specifiche o quando i tuoi strumenti di sicurezza lo richiedono.

Queste impostazioni coprono il quotidiano, il che è una base e non un programma gestito di rilevamento e risposta. Funzionano al meglio insieme a backup che sei davvero in grado di ripristinare.

Backup, Snapshot e Test di Ripristino

Un Windows VPS che non può essere ripristinato è un punto di guasto critico. Effettua snapshot giornalieri, mantieni backup fuori dal server e testa i ripristini per verificare che il piano funzioni.

• Snapshot automatici giornalieri con retention di sette-14 giorni, più a lungo per lavori di compliance.
• Backup fuori dal server presso un provider, una regione o un bucket che utilizza credenziali diverse.
• Ripristini mensili di prova, passaggi documentati e una lista di contatti per il tempo di recupero.

Il comportamento di snapshot e ripristino è tanto una questione di piattaforma quanto di policy, e conviene verificarlo prima del giorno in cui ti servirà. Se stai avviando un server nuovo, il nostro Windows VPS offers one-click images for Server 2022, 2019, 2016, and 2012 R2.

Un'avvertenza qui conta più di tutto il resto del paragrafo. Server 2012 è ancora nell'elenco delle immagini per compatibilità con applicazioni legacy, e non è un'immagine di base per una configurazione irrobustita. Microsoft, nel suo avviso sul ciclo di vita di Server 2012 fissa la fine del supporto al 10 ottobre 2023, e gli Extended Security Updates a pagamento si esauriscono del tutto il 13 ottobre 2026. Anche Server 2016 è vicino alla fine del supporto, a gennaio 2027, quindi se stai costruendo qualcosa di nuovo e lo esponi su un IP pubblico, parti da Server 2019 o 2022.

Monitor e log: RDP, Security, PowerShell

Non serve un SIEM per ricavare valore dai log di Windows. Parti dagli accessi falliti, dalle sessioni RDP riuscite e dalla trascrizione di PowerShell. Questi tre segnali offrono una base di monitoraggio utile su un server piccolo.

• Attiva l'auditing per i failed logon e monitora Event ID 4625 punte.
• Traccia gli accessi RDP riusciti con l'Event ID 4624 filtrato su Logon Type 10 (RemoteInteractive); usa 4634 per la chiusura della sessione e 4647 per il logoff avviato dall'utente.
• Attiva la trascrizione di PowerShell tramite criterio, così input e output di PowerShell lasciano una traccia.

Una volta ottenuta la visibilità, stampa il riepilogo di hardening di una pagina e tienilo a portata di mano. È qui che inizia l'operatività quotidiana, perché sono gli avvisi a guidare il giro successivo di patch e pulizia.

Tabella di Hardening Windows VPS

Un riepilogo veloce che puoi scorrere prima di finestre di manutenzione o dopo una ricostruzione.

Quella scheda è la tua vista d'insieme; il prossimo elemento confronta le stesse idee su Linux, che aiuta a formare trasversalmente i team.

Bonus: Confronta con l'Hardening di Linux

Alcuni team utilizzano più piattaforme. Gli stessi grandi vantaggi compaiono su entrambi i lati: patch secondo una pianificazione, account admin denominati, SSH o RDP forti, e firewall con deny-by-default. Se il tuo stack include server Linux, questo piano Windows si allinea bene con un baseline Linux VPS sicuro baseline, quindi i tuoi playbook rimangono coerenti su tutta la linea.

Questa visione multipiattaforma ti prepara a scelte pratiche in base al caso d'uso, e ti dà qualcosa da passare al collega che gestisce chiavi SSH e iptables tutto il giorno e non ha mai aperto i Criteri di gruppo.

Soluzioni rapide per caso d'uso

L'elenco deve corrispondere al tuo carico di lavoro. Ecco una breve matrice per associare i controlli alle configurazioni più comuni.

• Macchina di sviluppo personale: richiedi NLA, metti in allowlist il tuo intervallo IP attuale e, volendo, cambia la porta RDP per ridurre il rumore degli scanner, ed esegui analisi veloci settimanali. Conserva snapshot quotidiani e testali una volta al mese.
• Server applicativo PMI per ERP o contabilità: metti RDP dietro una VPN o un RD Gateway, limita i diritti di amministratore, disattiva i protocolli obsoleti e aggiungi avvisi sui picchi di 4625.
• Farm di desktop remoti per un piccolo team: centralizza l'accesso tramite un gateway, aggiungi l'MFA, usa passphrase uniche e cambiale se sospetti una compromissione, e mantieni strette le regole del firewall sia in ingresso sia in uscita.

Domande frequenti

Cambiare la porta RDP è sufficiente?

No. Riduce soltanto le scansioni occasionali; servono comunque NLA, blocco account e allowlist di IP, oppure una VPN con gateway. Considera il cambio di porta come riduzione del rumore, non come uno scudo.

Ho bisogno di VPN per RDP?

Se RDP è esposto a internet, usa una VPN o un RD Gateway per ridurre l'esposizione. Abbinaci MFA e allowlist sul firewall e ottieni una configurazione semplice e solida, alla portata della maggior parte dei team piccoli.

Con quale frequenza devo applicare patch a Windows VPS?

Segui le finestre di manutenzione del tuo provider, se ci sono, e applica gli aggiornamenti di sicurezza di sistema e applicazioni poco dopo il rilascio. I percorsi di attacco partono spesso dall'esposizione pubblica e da bug noti, quindi non accumulare ritardo sulle patch. Se il server ospita dati dei clienti, metti per iscritto la cadenza degli aggiornamenti in una policy, così regge nel tempo.

Che cos'è NLA e perché attivarla?

Network Level Authentication richiede l'accesso prima che la sessione RDP si avvii, bloccando così i percorsi di codice non autenticati e risparmiando risorse. Microsoft consiglia NLA per la maggior parte degli ambienti; verifica che sia attivo e lascialo così.

Cosa devo monitorare su un server piccolo?

Parti dagli accessi falliti 4625, dal 4624 con Logon Type 10 per gli accessi RDP riusciti, dal 4634 per la chiusura della sessione, dal 4647 per il logoff avviato dall'utente e dalla trascrizione di PowerShell. Aggiungi una revisione settimanale e una semplice regola di avviso sui picchi. Su una macchina piccola è visibilità sufficiente, senza comprare un'intera piattaforma.