اطلاعات ارزشمند سازمان شما معمولاً در Active Directory (AD)، پایگاه‌های داده و سرورهای فایل نگهداری می‌شود. اغلب توجه زیادی به امنیت AD و پایگاه‌های داده می‌شود، اما سرورهای فایل نیز باید به درستی ایمن شوند.

در اینجا 10 نکته برتر برای حفظ امنیت سرورهای فایل ویندوز آورده شده است:

1. امنیت فیزیکی: از دزدیده شدن سرور فایل جلوگیری کنید. همچنین دسترسی فیزیکی هکرها می‌تواند به سادگی کنترل‌های امنیتی شما را دور بزند.
2. به‌روزرسانی نرم‌افزارها: برای جلوگیری از دسترسی غیرمجاز به سرورهای فایل حیاتی، نرم‌افزارها و سیستم‌عامل‌ها را به‌روز نگه دارید.
3. استفاده از تنظیمات امنیتی مایکروسافت: تنظیمات امنیتی پایه مایکروسافت را برای ویندوز سرور اعمال کنید و ویژگی‌های آسیب‌پذیر را غیرفعال کنید.
4. فعال کردن BitLocker: تمام دیسک‌های سرور را رمزگذاری کنید تا از دسترسی غیرمجاز محافظت کنید.
5. رمزگذاری و ذخیره پسوردهای مدیر محلی: پسوردهای مدیر محلی را به‌طور دوره‌ای تغییر داده و به‌طور امن ذخیره کنید.
6. محدود کردن دسترسی اینترنت در فایروال: سرورهای فایل معمولاً به اینترنت نیازی ندارند، بنابراین دسترسی به اینترنت را محدود کنید.
7. سادگی در اعطای دسترسی‌ها: دسترسی‌ها را ساده نگه دارید و دسترسی به اشتراک‌گذاری فایل‌ها را بر اساس نقش‌های کاربران برنامه‌ریزی کنید.
8. پشتیبان‌گیری آزمایش‌شده: مطمئن شوید که یک روش پشتیبان‌گیری ایمن و آزمایش‌شده دارید.
9. ایجاد گروهی برای مسدود کردن دسترسی‌ها: گروهی ایجاد کنید که مجوزهای دسترسی به پوشه‌ها را مسدود کند.
10. فعال کردن گزارش‌گیری و نظارت: گزارش‌گیری را برای پوشه‌ها و اشتراک‌ها فعال کنید تا تغییرات و دسترسی‌ها را ثبت کنید.

این شیوه‌ها به شما کمک می‌کنند تا سرورهای فایل ویندوز خود را ایمن نگه دارید و از تهدیدات مختلف جلوگیری کنید.

شیوه‌های امنیتی خاص بستگی به نیازها دارند، اما پرداختن به این 10 حوزه قبل از اتصال سرور به اینترنت، از رایج‌ترین آسیب‌پذیری‌ها محافظت می‌کند. بسیاری از این شیوه‌ها، مشاوره عمومی هستند که برای همه سرورها کاربرد دارند. در عین حال، برخی از آن‌ها مخصوص ویندوز هستند و به راه‌هایی می‌پردازند که چگونه پلتفرم سرور مایکروسافت را ایمن‌تر کنیم.

در بخش زیر، مفاهیم مختلف ویندوز سرور و نحوه ایمن‌سازی آن‌ها بررسی می‌شود.

نسخه‌های مدرن ویندوز سرور ما را ملزم به انجام این کار می‌کنند، اما مطمئن شوید که پسورد حساب مدیر محلی را به چیزی امن تغییر می‌دهید. علاوه بر این، هر زمان که ممکن است، حساب مدیر محلی را غیرفعال کنید. این حساب هدفی محبوب برای حملات است و به همین دلیل باید غیرفعال شود تا از بهره‌برداری آن جلوگیری شود.

بنابراین، باید یک حساب مدیر تنظیم کنیم. یا یک حساب دامنه مناسب اضافه کنیم اگر سرور ما عضو Active Directory (AD) است یا یک حساب محلی جدید بسازیم و آن را در گروه مدیران قرار دهیم. به هر حال، ممکن است بخواهیم از حساب غیرمدیر برای انجام کارها استفاده کنیم و در صورت نیاز، از گزینه “Run As” برای افزایش سطح دسترسی استفاده کرده و پسورد حساب مدیر را وارد کنیم.

به یاد داشته باشید که پسوردها را محافظت کنید. از سیاست پسورد قوی استفاده کنید تا از به خطر افتادن حساب‌های سرور جلوگیری کنید. اگر سرور ما عضو AD است، سیاست پسورد را در سطح دامنه در Default Domain Policy تنظیم می‌کنیم. سرورهای مستقل را در ویرایشگر سیاست محلی تنظیم کنید. به هر حال، سیاست پسورد خوب شامل موارد زیر است:

• الزامات پیچیدگی و طول پسورد.
• انقضای پسورد – مدت زمانی که پسورد معتبر است.
• تاریخچه پسورد – مدت زمانی که تا استفاده از پسوردهای قبلی نیاز داریم.
• قفل کردن حساب – تعداد تلاش‌های ناموفق برای وارد کردن پسورد قبل از مسدود شدن حساب.

پسوردهای قدیمی عامل بسیاری از هک‌های موفق هستند، بنابراین برای جلوگیری از این مورد، تغییرات منظم پسورد را الزامی کنید.

در ادامه بهترین شیوه‌های امنیتی ویندوز سرور: محیط سرور ویندوز خود را ایمن کنید. اگر مشتری‌ها سرورهای تولید را با اطمینان پیدا کنند، باید آدرس‌های IP ثابت داشته باشند. این آدرس باید در یک بخش محافظت‌شده پشت فایروال باشد. حداقل دو سرور DNS برای افزونگی پیکربندی کنید و با استفاده از دستور nslookup از خط فرمان، بررسی کنید که نام‌ها به درستی حل می‌شوند.

مطمئن شوید که سرور یک رکورد A معتبر در DNS با نام مورد نظر و یک رکورد PTR برای جستجوی معکوس داشته باشد. تغییرات DNS ممکن است چند ساعت طول بکشد تا در اینترنت منتشر شود، بنابراین باید آدرس‌های تولیدی را قبل از پنجره راه‌اندازی نهایی به‌طور مناسب تعیین کنیم. در نهایت، هر سرویس شبکه‌ای که سرور از آن استفاده نمی‌کند، مانند IPv6، را غیرفعال کنید.

این تنظیمات بستگی به محیط ما دارد و هرگونه تغییر در اینجا باید قبل از ورود به تولید به‌خوبی آزمایش شود.

مایکروسافت از نقش‌ها و ویژگی‌ها برای مدیریت بسته‌های سیستم‌عامل استفاده می‌کند. نقش‌ها مجموعه‌ای از ویژگی‌ها هستند که برای هدف خاصی طراحی شده‌اند، بنابراین معمولاً نقش‌ها را انتخاب می‌کنیم اگر سرور متناسب با آن باشد، و سپس ویژگی‌ها را از آنجا سفارشی می‌کنیم. دو کار equally مهم که باید انجام دهیم:

1. نصب اجزای لازم:

   • اطمینان حاصل کنید که فریم‌ورک‌های مورد نیاز مانند نسخه‌های .NET Framework یا IIS (Internet Information Services) نصب شوند.
   • این اجزا برای عملکرد صحیح برنامه‌های ما ضروری هستند.

2. حذف اجزای غیرضروری:

   • هر نرم‌افزار یا اجزای غیرضروری را حذف کنید.
   • این کار به ساده‌سازی سیستم و بهبود کارایی از طریق حذف شلوغی‌های غیرضروری کمک می‌کند.

بسته‌های اضافی به‌طور غیرضروری سطح حمله سرور را گسترش می‌دهند و باید هر زمان که ممکن است حذف شوند. این فرآیند برای برنامه‌های پیش‌فرضی که بر روی سرور نصب شده و از آن‌ها استفاده نخواهیم کرد نیز معتبر است. سرورها باید با در نظر گرفتن ضرورت طراحی شوند و به‌طور ساده‌ای تنظیم شوند تا قسمت‌های لازم به‌طور روان و سریع عمل کنند.

بهترین راه برای حفظ امنیت سرور، به‌روز نگه‌داشتن آن است. این فرآیند مربوط به داشتن یک استراتژی برای اطمینان از اعمال به‌روزرسانی‌ها در یک بازه زمانی معقول است. بیشتر آسیب‌پذیری‌های بهره‌برداری‌شده بیش از یک سال قدمت دارند، اگرچه باید به‌روزرسانی‌های حیاتی را به‌سرعت در آزمایش و سپس در تولید اعمال کنیم، اگر مشکلی وجود نداشته باشد.

انواع مختلف به‌روزرسانی‌ها عبارتند از:

• پچ‌ها معمولاً یک آسیب‌پذیری خاص را رفع می‌کنند.
• رول‌آپ‌ها گروهی از بسته‌ها هستند که چند آسیب‌پذیری مرتبط را رفع می‌کنند.
• پکیج‌های سرویس به‌روزرسانی‌هایی برای مجموعه وسیعی از آسیب‌پذیری‌ها هستند که شامل ده‌ها یا صدها پچ می‌شوند.

هر برنامه باید به‌طور منظم و همراه با آزمایش به‌روز شود.

به یاد داشته باشید که نسخه سیستم‌عامل نیز نوعی به‌روزرسانی است و استفاده از نسخه‌های قدیمی سرور ما را از نظر امنیتی عقب می‌اندازد. اگر برنامه تولیدی ما اجازه دهد، باید به‌روزرسانی‌های خودکار را در سرور خود تنظیم کنیم. متاسفانه نیروی کاری برای بررسی و آزمایش هر پچی که در بسیاری از فروشگاه‌های فناوری اطلاعات بهبود می‌دهیم، منجر به رکود هنگام نصب به‌روزرسانی‌ها می‌شود.

بسیار خطرناک‌تر است که یک سیستم تولیدی بدون پچ باقی بماند تا اینکه آن را به‌طور خودکار به‌روزرسانی کنیم، حداقل برای پچ‌های حیاتی.

به‌روزرسانی‌ها باید به‌صورت تدریجی اعمال شوند به‌طوری‌که محیط‌های آزمایشی حدود یک هفته زودتر آن‌ها را دریافت کنند، تا تیم‌ها بتوانند رفتار آن‌ها را مشاهده کنند. علاوه بر این، به‌روزرسانی‌های اختیاری را به‌طور دستی اعمال می‌کنیم، زیرا معمولاً مشکلات جزئی را برطرف می‌کنند. سایر به‌روزرسانی‌های نرم‌افزارهای مایکروسافت از طریق Windows Update نیز ارائه می‌شوند، بنابراین مطمئن شوید که به‌روزرسانی‌ها را برای محصولات دیگر، مانند Exchange، SQL یا هر تکنولوژی سرور مایکروسافت دیگری که استفاده می‌کنیم، فعال کرده‌اید.

اختلاف زمانی تنها پنج (5) دقیقه‌ای می‌تواند ورود به ویندوز و عملکردهای مختلف دیگری که به احراز هویت Kerberos وابسته هستند را کاملاً مختل کند. سرورهایی که عضو دامنه هستند به‌طور خودکار زمان خود را با کنترل‌کننده دامنه همگام‌سازی می‌کنند وقتی که به دامنه می‌پیوندند. با این حال، سرورهای مستقل باید تنظیمات NTP را برای همگام‌سازی با یک منبع خارجی پیکربندی کنند تا ساعت دقیق باقی بماند.

کنترل‌کننده‌های دامنه نیز باید زمان خود را با یک سرور زمان همگام‌سازی کنند تا اطمینان حاصل شود که کل دامنه در محدوده عملیاتی زمان واقعی قرار دارد.

اگر در حال ساخت یک سرور وب هستیم، به‌عنوان مثال، تنها می‌خواهیم پورت‌های وب (80 و 443) از اینترنت به آن سرور باز باشد. اگر مشتریان ناشناس اینترنتی با سرور از طریق پورت‌های دیگر ارتباط برقرار کنند، این یک ریسک امنیتی وسیع و غیرضروری ایجاد می‌کند. فرض کنید که سرور عملکردهای مدیریتی دیگری مانند دسکتاپ از راه دور (RDP) دارد.

در این صورت، آنها باید تنها از طریق یک ارتباط VPN قابل دسترسی باشند تا اطمینان حاصل شود که افراد غیرمجاز نمی‌توانند به دلخواه از پورت‌ها از اینترنت سوءاستفاده کنند. فایروال ویندوز یک فایروال نرم‌افزاری خوب و داخلی است که امکان پیکربندی ترافیک مبتنی بر پورت را از داخل سیستم عامل فراهم می‌آورد. در سرورهای مستقل یا هر سروری که فایروال سخت‌افزاری در مقابل آن قرار ندارد، فایروال ویندوز حداقل محافظتی در برابر حملات مبتنی بر شبکه ارائه می‌دهد با محدود کردن سطح حمله به پورت‌های مجاز.

با این حال، فایروال سخت‌افزاری همیشه انتخاب بهتری است، زیرا ترافیک را به دستگاه دیگری منتقل می‌کند و گزینه‌های بیشتری برای مدیریت آن ترافیک ارائه می‌دهد، و سرور را برای انجام وظیفه اصلی خود رها می‌کند. هر روشی که استفاده کنیم، نکته حیاتی این است که ترافیک را تنها به مسیرهای ضروری محدود کنیم.

همانطور که پیشتر ذکر شد، اگر از RDP استفاده می‌کنیم، اطمینان حاصل کنید که تنها از طریق VPN قابل دسترسی باشد، اگر ممکن است. باز گذاشتن آن برای اینترنت به این معنا نیست که هک می‌شویم، اما به هکرهای احتمالی ورودی دیگری به سرور ما می‌دهد. مطمئن شوید که RDP تنها توسط کاربران مجاز قابل دسترسی است.

تمامی مدیران به‌طور پیش‌فرض از RDP استفاده می‌کنند وقتی که آن را بر روی سرور فعال کنیم. افراد اضافی به گروه کاربران دسکتاپ از راه دور اضافه می‌شوند تا بدون تبدیل شدن به مدیران به آن دسترسی پیدا کنند.

علاوه بر RDP، سایر مکانیزم‌های دسترسی از راه دور مانند PowerShell و SSH باید با دقت قفل شوند، اگر استفاده می‌شوند و تنها در محیط VPN قابل دسترسی باشند. به عنوان مثال، باید از استفاده از تلنت خودداری کنیم، زیرا اطلاعات را به‌صورت متن ساده منتقل می‌کند و از چندین جنبه به‌طور خطرناکی ناامن است. همینطور برای FTP نیز همین طور است. به جای آن، از SFTP یا SSH (از طریق VPN) استفاده کنید و از ارتباطات بدون رمزنگاری به‌طور کامل خودداری کنید.

چندین سرویس ضروری در ویندوز سرور به‌طور خودکار شروع شده و در پس‌زمینه اجرا می‌شوند. بسیاری از این سرویس‌ها برای عملکرد سیستم عامل ضروری هستند، اما برخی از آنها ضروری نیستند و باید غیرفعال شوند، اگر از آنها استفاده نمی‌کنیم. بر اساس همان منطق فایروال، می‌خواهیم سطح حمله سرور را با غیرفعال کردن همه چیز غیر از عملکردهای اصلی حداقل کنیم.

نسخه‌های قدیمی‌تر سرورهای MS خدمات بیشتری نسبت به نسخه‌های جدیدتر دارند که نیاز به آن‌ها نیست، بنابراین سرورهای 2008 یا 2003 باید به‌دقت بررسی شوند. باید سرویس‌های ضروری را طوری تنظیم کنیم که به‌طور خودکار شروع شوند تا سرور پس از شکست بدون نیاز به دخالت انسانی بازیابی شود. برای برنامه‌های پیچیده‌تر، از گزینه شروع خودکار (Delayed Start) استفاده کنیم تا سایر سرویس‌ها فرصتی برای شروع پیدا کنند قبل از اینکه سرویس‌های برنامه‌های سنگین راه‌اندازی شوند.

همچنین وابستگی‌های سرویس‌ها را تنظیم کنیم، جایی که یک سرویس منتظر می‌ماند تا سرویس یا مجموعه‌ای از سرویس‌ها به‌طور موفقیت‌آمیز شروع شوند قبل از اینکه خود شروع شود. وابستگی‌ها همچنین به ما این امکان را می‌دهند که یک زنجیره کامل از سرویس‌ها را همزمان متوقف و ایجاد کنیم که وقتی زمان‌بندی اهمیت دارد مفید است.

در نهایت، هر سرویس در بستر امنیتی یک کاربر خاص عمل می‌کند. این کار معمولاً توسط مدیران به‌عنوان حساب‌های Local و Network Service برای سرویس‌های استاندارد ویندوز انجام می‌شود. بیشتر اوقات، این پیکربندی مؤثر است.

با این حال، برای برنامه‌ها و سرویس‌های کاربری، بهترین شیوه این است که حساب‌های خاص سرویس را ایجاد کنیم، چه به‌صورت محلی و چه در AD، تا این سرویس‌ها را با حداقل دسترسی لازم مدیریت کنند. این فرآیند به جلوگیری از گسترش آسیب‌پذیری‌هایی که ممکن است توسط مهاجمان در یک برنامه نفوذ کرده‌اند، به سایر بخش‌های سرور یا دامنه کمک می‌کند.

در نهایت، باید لاگ‌ها را نظارت کرده و داده‌هایی را که نیاز داریم ضبط کنیم تا در صورت بروز مشکل، سریعاً آنچه که لازم است را پیدا کرده و آن را اصلاح کنیم. لاگ‌گذاری بسته به اینکه آیا سرور ما عضو دامنه است یا خیر، به‌طور متفاوتی عمل می‌کند. کنترل‌کننده‌های دامنه ورودهای دامنه را پردازش می‌کنند، بنابراین لاگ‌های حسابرسی برای آن فعالیت‌ها وجود دارند، نه سیستم محلی.

سرورهای مستقل لاگ‌های امنیتی دارند که می‌توانیم آنها را طوری پیکربندی کنیم که موفقیت‌ها و شکست‌ها را نشان دهند. حداکثر اندازه لاگ‌های خود را بررسی کرده و آنها را به اندازه مناسب محدود کنیم. تنظیمات پیش‌فرض لاگ‌ها تقریباً همیشه برای نظارت بر برنامه‌های پیچیده تولیدی بسیار کوچک هستند.

از این رو، هنگام ساخت سرور، فضای دیسک برای لاگ‌گذاری تخصیص می‌دهیم، به‌ویژه برای برنامه‌هایی مانند MS Exchange. لاگ‌ها باید مطابق با سیاست‌های نگهداری سازمان ما پشتیبان‌گیری شوند و برای ایجاد فضای بیشتر برای رویدادهای جدیدتر پاک شوند. در صورتی که مدیریت لاگ‌ها به‌صورت جداگانه روی سرورها برای ما سنگین باشد، استفاده از یک راه‌حل مدیریت متمرکز لاگ پیشنهاد می‌شود.

مانند سرور Syslog در دنیای لینوکس، یک مشاهده‌گر متمرکز رویداد برای سرورهای ویندوز به تسریع زمان‌های عیب‌یابی و اصلاح در محیط‌های متوسط تا بزرگ کمک می‌کند. ابتدا، یک مبنای عملکردی تعیین کرده و آستانه‌های اطلاع‌رسانی برای شاخص‌های ضروری تنظیم می‌کنیم. چه از مانیتور عملکرد داخلی ویندوز استفاده کنیم یا یک راه‌حل شخص ثالث که از کلاینت یا SNMP برای جمع‌آوری داده‌ها استفاده می‌کند، نیاز داریم که اطلاعات عملکردی را از هر سرور جمع‌آوری کنیم.

چیزهایی مانند فضای دیسک در دسترس، استفاده از پردازنده و حافظه، فعالیت شبکه و حتی دما به‌طور مداوم تحلیل و ثبت می‌شود تا ناهنجاری‌ها شناسایی شده و به سرعت با آنها برخورد شود. مدیران اغلب به این مرحله توجه کافی نمی‌کنند به دلیل شلوغی برنامه‌های تولیدی، اما در بلندمدت ارزش زیادی دارد زیرا عیب‌یابی بدون مبنای مشخص، شلیک در تاریکی است.