La protezione di un’infrastruttura Windows Server non può essere affidata a una singola tecnologia, ma richiede un approccio multilivello che coinvolga identità, credenziali, sistemi operativi, comunicazioni di rete, dati, privilegi amministrativi, aggiornamenti e capacità di rilevare tempestivamente comportamenti anomali.
Il corso Sicurezza e hardening di Windows Server 2025 fornisce le conoscenze e le competenze operative necessarie per analizzare, configurare e rafforzare la sicurezza di server standalone, member server e controller di dominio.
Il percorso affronta la protezione degli account privilegiati, Windows LAPS, Credential Guard, Microsoft Defender Antivirus, Windows Defender Firewall, BitLocker, la sicurezza dei protocolli SMB, le baseline Microsoft, l’audit degli eventi, la gestione degli aggiornamenti e l’hardening degli accessi amministrativi.
Particolare attenzione viene dedicata alle funzionalità introdotte o rafforzate in Windows Server 2025. Credential Guard, ad esempio, è abilitato per impostazione predefinita sui sistemi che soddisfano i requisiti previsti e protegge hash NTLM, ticket Kerberos e altre credenziali di dominio tramite tecnologie di isolamento basate sulla virtualizzazione.
Windows Server 2025 rafforza inoltre la sicurezza SMB rendendo obbligatoria, per impostazione predefinita, la firma delle connessioni SMB in ingresso e in uscita, contribuendo a contrastare manomissioni del traffico, attacchi relay e furto delle credenziali.
Il corso adotta un’impostazione pratica: configurazioni, dimostrazioni ed esercitazioni vengono sviluppate in un ambiente di laboratorio isolato, evitando l’applicazione non controllata di criteri di sicurezza su sistemi di produzione.
Al termine del corso i partecipanti saranno in grado di:
- valutare i principali rischi di sicurezza di un’infrastruttura Windows Server;
- applicare un modello di protezione multilivello;
- ridurre la superficie di attacco di member server e controller di dominio;
- configurare Microsoft Defender Antivirus e le principali funzionalità di protezione;
- configurare Windows Defender Firewall con criteri locali e centralizzati;
- proteggere e controllare gli account amministrativi;
- implementare Windows LAPS in un ambiente Active Directory;
- verificare e configurare Credential Guard;
- proteggere i volumi e i dati attraverso BitLocker;
- applicare le principali misure di sicurezza SMB;
- utilizzare baseline di sicurezza Microsoft;
- configurare audit, registrazione degli eventi e monitoraggio;
- organizzare la gestione delle patch e delle finestre di manutenzione;
- individuare configurazioni potenzialmente vulnerabili;
- definire le prime azioni operative in caso di incidente;
- predisporre un piano di hardening progressivo e verificabile.
Le competenze indicate riguardano l’amministrazione sicura di Windows Server. Il corso non sostituisce un percorso specialistico completo di incident response, penetration testing, digital forensics o amministrazione di un SOC.
1. Principi di sicurezza di Windows Server
- evoluzione delle minacce rivolte ai sistemi server;
- concetti di minaccia, vulnerabilità, rischio e contromisura;
- principi di riservatezza, integrità e disponibilità;
- modello Zero Trust;
- principio del privilegio minimo;
- difesa in profondità;
- riduzione della superficie di attacco;
- differenza tra sicurezza preventiva, rilevativa e correttiva;
- sicurezza di sistemi standalone, member server e controller di dominio;
- definizione di una strategia di hardening.
2. Analisi della superficie di attacco
- identificazione di ruoli, funzionalità e servizi installati;
- rimozione dei componenti non necessari;
- analisi dei servizi in esecuzione;
- gestione delle porte e dei protocolli esposti;
- verifica delle condivisioni;
- gestione sicura delle funzionalità legacy;
- controllo delle configurazioni locali;
- utilizzo di PowerShell per la raccolta delle informazioni;
- definizione dello stato iniziale del sistema;
- documentazione delle modifiche di sicurezza.
3. Microsoft Defender Antivirus
- architettura e componenti di Microsoft Defender;
- protezione in tempo reale;
- protezione basata sul cloud;
- aggiornamento delle firme;
- scansioni rapide, complete e personalizzate;
- gestione delle esclusioni;
- analisi dei rischi associati alle esclusioni;
- protezione da applicazioni potenzialmente indesiderate;
- configurazione tramite interfaccia grafica, PowerShell e Group Policy;
- verifica dello stato di Defender;
- gestione degli eventi e delle rilevazioni;
- risposta alle minacce individuate;
- introduzione alle regole di riduzione della superficie di attacco.
4. Windows Defender Firewall
- profili Domain, Private e Public;
- regole in ingresso e in uscita;
- regole basate su programma, porta, servizio e indirizzo;
- configurazione tramite Windows Defender Firewall with Advanced Security;
- distribuzione centralizzata tramite Group Policy;
- registrazione delle connessioni consentite e bloccate;
- verifica delle regole applicate;
- individuazione dei conflitti;
- troubleshooting delle comunicazioni;
- principio “deny by default”;
- progettazione di regole firewall per ruoli server.
5. Sicurezza degli account e dei privilegi
- rischi associati agli account amministrativi;
- account locali e account di dominio;
- separazione tra account ordinari e account amministrativi;
- principio del minimo privilegio;
- gruppi amministrativi privilegiati;
- delega controllata delle attività;
- protezione degli account Domain Admins ed Enterprise Admins;
- account di servizio;
- Managed Service Accounts e Group Managed Service Accounts;
- controllo dei diritti utente;
- limitazione dell’accesso interattivo;
- criteri per password e blocco account;
- protezione dagli attacchi pass-the-hash e lateral movement;
- utilizzo di postazioni amministrative dedicate;
- introduzione al modello a livelli amministrativi.
6. Windows LAPS
- finalità di Windows Local Administrator Password Solution;
- differenze tra Windows LAPS e il precedente Microsoft LAPS;
- gestione automatica delle password degli amministratori locali;
- backup delle password in Active Directory o Microsoft Entra ID;
- preparazione di Active Directory;
- aggiornamento dello schema;
- autorizzazioni e controllo dell’accesso alle password;
- configurazione tramite Group Policy;
- rotazione delle password;
- crittografia delle password;
- gestione della password DSRM;
- utilizzo dei cmdlet PowerShell;
- recupero autorizzato delle credenziali;
- auditing;
- troubleshooting della configurazione.
7. Credential Guard e protezione delle credenziali
- funzionamento di Credential Guard;
- Virtualization-Based Security;
- isolamento di hash NTLM e ticket Kerberos;
- requisiti hardware e software;
- verifica dello stato della funzionalità;
- configurazione tramite Group Policy;
- configurazione tramite PowerShell e registro;
- compatibilità applicativa;
- analisi delle dipendenze;
- protezione degli account macchina;
- limitazioni e possibili problemi;
- verifica dell’efficacia della configurazione.
8. Protezione dei dati con BitLocker
- minacce legate alla perdita o alla rimozione dei dischi;
- crittografia dei volumi;
- Trusted Platform Module;
- modalità di autenticazione;
- protezione del volume del sistema operativo;
- protezione dei volumi dati;
- gestione delle chiavi di ripristino;
- archiviazione delle recovery key;
- configurazione tramite Group Policy;
- gestione tramite PowerShell;
- sospensione e riattivazione della protezione;
- recupero dei dati;
- considerazioni sull’impiego di BitLocker nei server fisici e virtuali.
9. Sicurezza del protocollo SMB
- rischi associati alle condivisioni di rete;
- evoluzione delle versioni SMB;
- disabilitazione delle versioni obsolete;
- firma SMB;
- crittografia SMB;
- controllo degli accessi alle condivisioni;
- differenza tra autorizzazioni di condivisione e autorizzazioni NTFS;
- blocco dell’autenticazione NTLM;
- protezione dagli attacchi relay;
- SMB over QUIC: introduzione e scenari;
- verifica delle connessioni SMB;
- auditing degli accessi;
- valutazione della compatibilità con client e applicazioni legacy;
- troubleshooting delle connessioni dopo l’hardening.
10. Baseline di sicurezza di Windows Server 2025
- significato e finalità di una security baseline;
- vantaggi delle configurazioni standardizzate;
- Microsoft Security Compliance Toolkit;
- analisi e confronto dei criteri;
- utilizzo di Policy Analyzer;
- gestione dei criteri locali;
- applicazione tramite Group Policy;
- baseline per member server;
- baseline per controller di dominio;
- test delle impostazioni;
- gestione delle eccezioni;
- documentazione degli scostamenti;
- ripristino delle configurazioni;
- controllo del configuration drift;
- introduzione alle baseline gestite tramite OSConfig.
11. Protezione dei controller di dominio
- ruolo critico dei domain controller;
- riduzione dei servizi e dei software installati;
- accesso amministrativo controllato;
- protezione delle credenziali privilegiate;
- restrizioni all’accesso locale e remoto;
- protezione di Active Directory;
- sicurezza di SYSVOL e NETLOGON;
- gestione della password DSRM;
- sicurezza della replica;
- audit delle modifiche alla directory;
- protezione dei gruppi privilegiati;
- aggiornamento e manutenzione dei controller di dominio;
- baseline specifiche per domain controller;
- procedure di ripristino e continuità operativa.
12. Audit, logging e monitoraggio
- finalità dell’audit di sicurezza;
- Advanced Audit Policy;
- criteri di audit locali e di dominio;
- eventi relativi agli accessi;
- eventi relativi agli account;
- eventi relativi ai privilegi;
- monitoraggio delle modifiche alle Group Policy;
- audit delle modifiche ad Active Directory;
- audit degli accessi ai file;
- registri di Microsoft Defender;
- registri del firewall;
- Windows Event Viewer;
- utilizzo di PowerShell per la consultazione degli eventi;
- centralizzazione dei log;
- Windows Event Forwarding;
- protezione e conservazione dei registri;
- individuazione di eventi sospetti;
- definizione di alert e procedure di escalation.
13. Gestione delle patch e degli aggiornamenti
- relazione tra vulnerabilità e aggiornamenti;
- classificazione degli aggiornamenti;
- valutazione del rischio;
- ambienti di test e gruppi pilota;
- pianificazione delle finestre di manutenzione;
- aggiornamento manuale e centralizzato;
- Windows Server Update Services;
- introduzione ad Azure Update Manager;
- verifica dello stato di aggiornamento;
- gestione degli errori;
- procedure di rollback;
- documentazione e controllo delle patch;
- introduzione a Hotpatch;
- requisiti e scenari supportati.
14. Individuazione delle configurazioni vulnerabili
- verifica periodica della configurazione;
- confronto con le baseline;
- analisi degli account inattivi;
- controllo degli utenti privilegiati;
- analisi delle porte aperte;
- individuazione dei protocolli obsoleti;
- verifica delle condivisioni;
- controllo dei criteri password;
- verifica dello stato di Defender e firewall;
- verifica della crittografia;
- controllo dello stato delle patch;
- strumenti PowerShell per la raccolta delle informazioni;
- produzione di una checklist di sicurezza;
- classificazione e prioritizzazione delle anomalie.
15. Elementi di risposta agli incidenti
- definizione di evento e incidente di sicurezza;
- riconoscimento dei segnali iniziali;
- raccolta delle informazioni;
- protezione e conservazione dei log;
- isolamento del sistema;
- contenimento della minaccia;
- disabilitazione degli account compromessi;
- rotazione delle credenziali;
- verifica della propagazione;
- aggiornamento e rimozione delle vulnerabilità;
- ripristino controllato;
- documentazione dell’incidente;
- comunicazione ed escalation;
- revisione delle misure di sicurezza;
- limiti dell’intervento dell’amministratore di sistema;
- coinvolgimento di specialisti di incident response e digital forensics.
16. Hardening degli accessi amministrativi
- utilizzo separato degli account privilegiati;
- limitazione degli accessi RDP;
- Network Level Authentication;
- restrizioni basate su firewall;
- accesso tramite sistemi intermedi o jump server;
- gestione sicura di PowerShell Remoting;
- autenticazione forte;
- riduzione dell’utilizzo di NTLM;
- protezione delle sessioni amministrative;
- controllo degli accessi da workstation non attendibili;
- registrazione delle operazioni amministrative;
- gestione degli accessi di emergenza;
- checklist finale per l’hardening amministrativo.
La formazione alterna:
- lezioni frontali interattive;
- spiegazioni teoriche supportate da esempi;
- dimostrazioni del docente;
- configurazioni guidate;
- esercitazioni individuali o di gruppo;
- utilizzo di macchine virtuali;
- analisi di configurazioni reali;
- studio di casi di incidente;
- checklist operative;
- momenti di confronto sulle infrastrutture dei partecipanti;
- test conclusivo di verifica dell’apprendimento.
L’impostazione privilegia la comprensione delle conseguenze operative delle configurazioni. Le impostazioni di hardening vengono quindi applicate progressivamente, verificandone gli effetti su servizi, applicazioni e comunicazioni di rete.
- Il corso si svolgerà in modalità online live streaming, con il docente che terrà le lezioni in diretta.
- I partecipanti dovranno avere a disposizione un Personal Computer e preferibilmente un secondo schermo.
- Saranno forniti labs online che vengono messi a disposizione anche dopo la fine del corso per 3 mesi.
- Al termine del corso, coloro che avranno partecipato ad almeno l'80% delle lezioni riceveranno un attestato di frequenza.
Per frequentare efficacemente il corso è necessario:
- conoscere l’architettura generale di Windows Server;
- saper installare e amministrare Windows Server;
- conoscere utenti, gruppi, autorizzazioni e servizi;
- avere conoscenze operative di Active Directory Domain Services;
- conoscere i principi di Group Policy;
- conoscere i fondamenti delle reti TCP/IP;
- saper utilizzare PowerShell a livello amministrativo di base;
- conoscere le procedure fondamentali di backup e ripristino.
È consigliabile aver frequentato un corso di amministrazione di Windows Server 2025 o possedere competenze equivalenti.
