Gestire il server di produzione

by Giuseppe Lanzi on 21 febbraio 2012

Nel lavoro di assistenza tecnica ci sono domande che mi vengono poste spesso, una di queste è “Tu come configuri il server di produzione? Come gestisci backup e deploy?”.

L’interesse dimostrato per questo argomento è grande e quindi ho deciso di usare il blog per condividere con tutti le risposte che fornisco di solito. Ci tengo a dire che scrivo senza la pretesa di essere un guru nel campo della sicurezza, ma semplicemente con la speranza che la mia esperienza possa esservi di aiuto nella prima configurazione.

Non potendo trattare tutto in un solo post, inizio con l’argomento su cui ho notato più interesse: impostare le policy basilari di sicurezza su server Windows.

Si può andare da un estremo all’altro, e trovare il giusto equilibrio è indispensabile. Se non si fa niente si rischia di vedersi occupare il server. Se invece si fa troppo, si inciampa in problemi legati ai permessi delle applicazioni e la manutenzione diventa difficile, si rischiano comportamenti anomali.

Quando si deve configurare un server fresco di installazione suggerisco di effettuare poche semplici operazioni, che ostacolano attacchi di malintenzionati e contemporaneamente non intralciano la manutenzione e il deploy.

  1. Disabilitare l’utente Administrator.
    L’utente Administrator è l’unico sicuramente presente sul server. Disabilitandolo bisognerà trovare anche l’username oltre che la password, e questo complica un bel po’ le cose.
  2. Abilitare prompt for credential on the client computer.
    Ostacola l’attacco di forza bruta per trovare la password.
  3. Impedire l’accesso alla porta di connessione del database server.
    I database server hanno porte di comunicazione standard, lasciarle aperte significa essere vittima di continui tentativi di infiltrazione.
  4. Abilitare always prompt for password upon connection.
    Anche se un malware riuscisse ad avere accesso all’eventuale file .rdp usato per connettersi al server, non potrebbe collegarsi automaticamente. È una misura contro i virus che si installano sulle workstation che si collegano al server.
  5. Abilitare set client connection encryption level.
    È una misura contro eventuali sniffer presenti in rete, impostandola ci si può collegare al server in sicurezza anche su reti non protette.
  6. Abilitare do not allow password to be saved.
    Impedisce che ci siano utenti con la password del server salvata nella propria postazione. Una precauzione in più che non guasta.

Fatte queste operazioni il server è protetto dalla maggior parte degli attacchi noti, ed è già possibile pubblicarlo senza troppi timori.

Un altro argomento su cui sembra esserci molto interesse e di cui intendo parlarvi in un prossimo articolo è configurare il backup e il disaster recovery.

Vi interessa? Avete qualche impostazione da aggiungere per completare il discorso?

{ 2 comments… read them below or add one }

1 Giuseppe Cassanelli 21 febbraio 2012 alle 13:48

Vai avanti che vai bene :-)

2 Riccardo Bianco 21 febbraio 2012 alle 14:12

Personalmente lo trovo molto interessante.

Leave a Comment

Previous post:

Next post: