Distribuire le baseline di sicurezza di Windows Server 2025 in locale con OSConfig

Una baseline di sicurezza è un insieme consigliato di impostazioni di sicurezza basate sui ruoli che protegge i server e le macchine virtuali nel tuo ambiente. La distribuzione della baseline di sicurezza Windows Server 2025 offre un punto di partenza completo e standardizzato allineato ai requisiti di sicurezza standard del settore, anziché configurare centinaia di impostazioni a mano.

OSConfig supporta l'esperienza di base. Per informazioni su come OSConfig offre e gestisce la configurazione di sicurezza nel ciclo di vita del dispositivo, vedere Panoramica di OSConfig.

In questo articolo si installa il modulo PowerShell OSConfig, si applica la baseline di sicurezza corrispondente al ruolo del server e si verifica, si personalizza e si rimuove la baseline. OSConfig non supporta le versioni di Windows Server precedenti a Windows Server 2025.

Prerequisites

  • Un dispositivo che esegue Windows Server 2025. OSConfig non supporta versioni precedenti di Windows Server.
  • Diritti di amministratore nel dispositivo. L'installazione del modulo powerShell OSConfig e l'applicazione, la verifica o la rimozione delle linee di base richiedono una sessione di PowerShell con privilegi elevati.

Perché le baseline di sicurezza sono importanti

La baseline di sicurezza va oltre la mera conformità a una checklist. Esso mira a rafforzare la protezione in cinque aree, e nessun controllo è assoluto. L'obiettivo è aumentare il costo e ridurre la probabilità che un attacco abbia esito positivo. La linea di base organizza le impostazioni in cinque categorie di protezione. Ogni categoria corrisponde a tecniche comuni degli attaccanti che in genere hanno successo su un server con configurazione predefinita (non rafforzato), ma che vengono impedite, ostacolate o registrate in modo evidente nei log su un server rafforzato secondo una configurazione di base.

Riduzione dell'esposizione di rete

La linea di base riduce la superficie di attacco esposta del server disabilitando i protocolli legacy, applicando la crittografia moderna e restringendo l'accesso in ingresso:

  • La linea di base abilita il firewall Windows in tutti i profili (dominio, privato, pubblico) con una posizione di negazione predefinita per il traffico in ingresso. Solo le porte con regole di autorizzazione esplicite rimangono aperte.
  • La baseline disabilita SMBv1 sia nel client che nel server e applica almeno SMB 3.0.
  • La baseline arresta i protocolli di risoluzione dei nomi legacy: disabilita LLMNR e NetBIOS su TCP/IP e il sistema si basa esclusivamente su DNS.
  • La baseline riduce gli accessi anonimi e non autenticati: blocca l'enumerazione anonima di SAM, disabilita gli accessi come ospite non sicuri e disabilita l'account Guest.
  • La baseline limita TLS alla versione 1.2 o successiva con suite di crittografia moderne e disabilita il routing dell'origine IP.

Ad esempio, queste impostazioni aiutano a difendersi da un attaccante che esegue uno strumento di enumerazione SMB come enum4linux, che tenta di sfruttare EternalBlue (MS17-010) contro un protocollo disabilitato oppure che esegue Responder per avvelenare le trasmissioni broadcast LLMNR o NetBIOS che il server rafforzato non invia più.

Resistenza al furto di credenziali

Questa configurazione di base aiuta a proteggere le credenziali in memoria e archiviate su disco, in modo che un utente malintenzionato che riesce a ottenere un accesso iniziale abbia maggiori difficoltà a raccogliere password o hash:

  • Credential Guard usa la sicurezza basata su virtualizzazione (VBS) per isolare gli hash NTLM, i ticket di concessione ticket Kerberos e le credenziali di dominio archiviate dal sistema operativo. Credential Guard richiede la disponibilità e l'abilitazione dell'hardware compatibile e della sicurezza basata su vbs.
  • LSASS viene eseguito come PPL (Protected Process Light) per bloccare l'inserimento del codice e le letture di memoria.
  • La baseline limita l'autenticazione a NTLMv2, quindi il sistema non genera o archivia hash LM e NTLMv1 legacy e non archivia le password con crittografia reversibile.
  • La configurazione di base rafforza la sicurezza della delega delle credenziali in modo che le credenziali delegate non possano essere esportate e impone la protezione contro l’oracolo di crittografia di CredSSP.

Ad esempio, queste protezioni mirano a rendere meno efficaci gli strumenti di dump delle credenziali, ad esempio Mimikatz (sekurlsa::logonpasswords), perché la memoria protetta è più difficile da leggere e l'estrazione del database SAM produce hash NTLMv2 forti anziché hash LM facilmente crackabili.

Prevenzione del movimento laterale

Questa baseline mira a contenere violazioni rendendo più difficile per gli utenti malintenzionati passare tra computer con credenziali o sessioni rubate:

  • Il filtro UAC remoto rimuove i privilegi amministrativi dagli account locali che si autenticano tramite la rete, contribuendo a proteggere dagli attacchi pass-the-hash che usano credenziali di amministratore locale.
  • La configurazione di base richiede la firma SMB sia nei client sia nei server, contribuendo a difendere dagli attacchi relay e on-path.
  • La configurazione di base firma e crittografa i dati del canale sicuro verso il controller di dominio e i percorsi UNC rafforzati proteggono NETLOGON e SYSVOL.
  • Un limite di velocità di autenticazione SMB aggiunge un ritardo dopo ogni tentativo non riuscito e i criteri di blocco dell'account bloccano gli account dopo tre tentativi non riusciti per 15 minuti.

Ad esempio, un tentativo di pass-the-hash con un hash rubato di un amministratore locale ottiene solo un token utente standard e gli viene negato l’accesso alle condivisioni amministrative, un tentativo di relay NTLM è ostacolato perché il sistema di destinazione richiede firme SMB valide e gli strumenti per attacchi a forza bruta vengono rallentati in modo sostanziale dal limitatore della velocità di autenticazione.

Persistenza e protezione antimanomissione

Questa configurazione di base rende più difficile per gli attaccanti stabilire una presenza persistente o manomettere i meccanismi di sicurezza:

  • Le protezioni Secured-core si basano su una catena di avvio firmata da Microsoft, su Secure Boot con protezione DMA, sulla tabella degli attributi di memoria UEFI e sulla protezione dello stack con imposizione hardware in modalità kernel (stack shadow del kernel) tramite VBS. La baseline abilita inizialmente alcune di queste protezioni, ad esempio gli stack shadow del kernel, in modalità di audit prima di impostarle sulla modalità di blocco, e diverse richiedono hardware compatibile.
  • La baseline abilita le mitigazioni degli exploit, ad esempio SEHOP e il blocco dei tipi di carattere non attendibili.
  • La baseline disabilita l'esecuzione automatica e AutoPlay per tutti i tipi di unità, consentendo di bloccare malware basato su USB.
  • La linea di base riduce i comportamenti di installazione non sicuri, ovvero disabilita "Installa sempre con privilegi elevati" e blocca l'autenticazione del consumer account Microsoft.

Ad esempio, queste impostazioni aiutano a impedire che un bootkit carichi componenti di avvio non firmati e a bloccare l’esecuzione automatica del malware presente su una chiavetta USB inserita, registrando al contempo l’inserimento del dispositivo.

Controllo e visibilità

Questa baseline garantisce che il sistema rilevi qualsiasi attività che non sia completamente bloccata:

  • Quasi tutte le sottocategorie avanzate dei criteri di audit acquisiscono eventi di esito positivo e negativo e la configurazione di base impone al sistema di usare le impostazioni di audit per singola sottocategoria.
  • La baseline controlla l'accesso, la convalida delle credenziali, la gestione degli account e l'uso dei privilegi sensibili.
  • La configurazione di base registra la creazione dei processi con acquisizione della riga di comando (l'ID evento 4688 include l'intera riga di comando), perciò l'attività degli strumenti lascia una traccia forense.
  • La baseline registra l'accesso alle condivisioni di file, i dispositivi di archiviazione rimovibili e l'attività dei dispositivi Plug and Play, mentre i log del firewall registrano le connessioni bloccate e quelle riuscite in tutti i profili.
  • La configurazione di base rafforza le impostazioni relative alle dimensioni e alla conservazione dei registri eventi, con il log di sicurezza impostato ad almeno 192 MB.

Ad esempio, un tentativo di forza bruta genera eventi di blocco dell'account e di accesso non riuscito con l'indirizzo IP di origine e il nome dell'account, e un tentativo di escalation dei privilegi viene registrato dal controllo dell'uso di privilegi sensibili.

Cosa aspettarsi dopo l'applicazione della linea di base

Usare le indicazioni seguenti per pianificare ed eseguire una distribuzione di base. Per operazioni su larga scala, usa Criteri di Azure e la configurazione computer di Criteri di Azure per monitorare e visualizzare il punteggio di conformità.

Important

Dopo aver applicato la baseline di sicurezza, le impostazioni di sicurezza del sistema cambiano insieme ai comportamenti predefiniti. Testare attentamente prima di applicare queste modifiche negli ambienti di produzione.

È necessario modificare la password dell'amministratore locale dopo aver applicato la baseline di sicurezza per gli scenari di server membro e di membro di un gruppo di lavoro.

Le modifiche seguenti sono alcune delle più evidenti dopo l'applicazione delle linee di base:

  • È necessario modificare la password dell'amministratore locale. I nuovi criteri password devono soddisfare i requisiti di complessità e una lunghezza minima di 14 caratteri. Questa regola si applica solo agli account utente locali; quando si accede con un account di dominio, i requisiti di dominio prevalsono.

  • Le connessioni TLS sono soggette a almeno TLS/DTLS 1.2 o versione successiva, che potrebbe impedire le connessioni ai sistemi meno recenti.

  • La baseline disabilita la possibilità di copiare e incollare file dalle sessioni RDP. Se è necessario usare questa funzione, eseguire il comando seguente e quindi riavviare il dispositivo:

    Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/<ServerRoleBeingApplied> -Name RemoteDesktopServicesDoNotAllowDriveRedirection -Value 0

  • Le connessioni richiedono almeno SMB 3.0 o una versione successiva. La connessione a sistemi non Windows, ad esempio SAMBA Linux, richiede il supporto per SMB 3.0 oppure è necessario modificare la baseline.

  • Se attualmente si configurano le stesse impostazioni con due metodi diversi, uno è OSConfig, si prevedono conflitti. Quando è in uso il controllo della deriva, è necessario rimuovere una delle fonti se i parametri sono diversi, per evitare che le impostazioni cambino continuamente tra le fonti.

  • È possibile che si verifichino errori di conversione SID in configurazioni di dominio specifiche. Questi errori non influiscono sul resto della definizione della baseline di sicurezza ed è possibile ignorarli.

Installare il modulo PowerShell OSConfig

Prima di poter applicare una baseline di sicurezza per la prima volta, è necessario installare il modulo OSConfig da una finestra di PowerShell con privilegi elevati. Sono disponibili due metodi di installazione: online e offline. Segui queste istruzioni per il tuo ambiente.

  1. Selezionare Start, digitare PowerShell, passare il puntatore del mouse su Windows PowerShell e selezionare Esegui come amministratore.

  2. Esegui il comando seguente per installare il modulo OSConfig:

    Install-Module -Name Microsoft.OSConfig -Scope AllUsers -Force

    Se viene richiesto di installare o aggiornare il provider NuGet, selezionare Sì.

  3. Per verificare che il modulo OSConfig sia installato, eseguire il comando seguente:

    Get-Module -ListAvailable -Name Microsoft.OSConfig

Scenari di baseline di sicurezza disponibili

OSConfig identifica ogni baseline in base al nome di uno scenario nel formato SecurityBaseline/WindowsServer/2025/<Role>. Applicare lo scenario corrispondente al ruolo del dispositivo:

Ruolo del server Nome dello scenario
Controller di dominio SecurityBaseline/WindowsServer/2025/DomainController
Server membro SecurityBaseline/WindowsServer/2025/MemberServer
Membro del gruppo di lavoro SecurityBaseline/WindowsServer/2025/WorkgroupMember

Oltre alle baseline di sicurezza basate sui ruoli, OSConfig offre scenari complementari che è possibile applicare in modo indipendente:

Scenario Nome dello scenario
Core protetto SecuredCore
Microsoft Defender Antivirus Defender/Antivirus/WindowsServer/2025
Windows LAPS LAPS/WindowsServer/2025/MemberServer

Note

Lo scenario Windows LAPS è disponibile solo per i server membri. Per i sistemi autonomi (non aggiunti a un dominio), è possibile usare Windows LAPS tramite server abilitati per Azure Arc.

Gestire le baseline di sicurezza di Windows Server 2025

Applicare le baseline di sicurezza appropriate in base al ruolo di Windows Server del dispositivo:

  • Controller di dominio (DC)
  • Server membro (aggiunto a un dominio)
  • Server membro del gruppo di lavoro (non aggiunto a un dominio)

OSConfig supporta l'esperienza di base. Dopo aver applicato una baseline, OSConfig protegge automaticamente le impostazioni della baseline di sicurezza dalla deriva, che è una delle funzionalità principali della piattaforma di sicurezza.

Note

Per i dispositivi connessi ad Azure Arc, è possibile applicare le baseline di sicurezza prima o dopo la connessione. Tuttavia, se il ruolo del server cambia dopo la connessione, è necessario eliminare e riapplicare l'assegnazione per assicurarsi che la piattaforma di configurazione del computer possa rilevare la modifica del ruolo. Per ulteriori informazioni sull'eliminazione di un'assegnazione, vedere Eliminazione di assegnazioni ospite da Criteri di Azure.

Per applicare una linea di base, verificare che sia attiva una linea di base, rimuovere una linea di base o visualizzare informazioni dettagliate sulla conformità per OSConfig in PowerShell, usare i comandi nelle schede seguenti.

Per applicare la linea di base per un dispositivo aggiunto a un dominio, eseguire il comando seguente:

Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/MemberServer -Default

Per applicare la baseline per un dispositivo che si trova in un gruppo di lavoro, eseguire il comando seguente:

Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/WorkgroupMember -Default

Per applicare la baseline per un dispositivo configurato come controller di dominio, eseguire il comando seguente:

Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/DomainController -Default

Per applicare la baseline Secured-core a un dispositivo, eseguire il comando seguente:

Set-OSConfigDesiredConfiguration -Scenario SecuredCore -Default

Per applicare la baseline di Antivirus Microsoft Defender per un dispositivo, eseguire il comando seguente:

Set-OSConfigDesiredConfiguration -Scenario Defender/Antivirus/WindowsServer/2025 -Default

Per applicare la linea di base WINDOWS LAPS per un server membro, eseguire il comando seguente:

Set-OSConfigDesiredConfiguration -Scenario LAPS/WindowsServer/2025/MemberServer -Default

Note

  • Quando si applica o si rimuove una baseline di sicurezza, è necessario riavviare il dispositivo per rendere effettive le modifiche.

  • Quando si personalizza una baseline di sicurezza, potrebbe essere necessario riavviare il dispositivo per rendere effettive le modifiche, a seconda delle funzionalità di sicurezza modificate.

  • Durante il processo di rimozione, quando OSConfig ripristina le impostazioni di sicurezza, non può garantire che queste impostazioni tornino alla configurazione precedente alla gestione. Il risultato dipende dalle impostazioni specifiche all'interno della baseline di sicurezza. Questo comportamento è allineato alle funzionalità fornite dai criteri di Microsoft Intune. Per altre informazioni, vedere Rimuovere un'assegnazione della baseline di sicurezza.

Personalizzare le baseline di sicurezza di Windows Server 2025

Dopo aver completato la configurazione della baseline di sicurezza, è possibile modificare le impostazioni di sicurezza mantenendo il controllo della deriva. La personalizzazione dei valori di sicurezza offre maggiore controllo sui criteri di sicurezza dell'organizzazione, a seconda delle esigenze specifiche dell'ambiente.

Per modificare il valore predefinito di AuditDetailedFileShare da 2 a 3 per il server membro, eseguire il comando seguente:

Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/MemberServer -Setting AuditDetailedFileShare -Value 3

Per verificare che il nuovo valore sia attivo, eseguire il comando seguente:

Get-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/MemberServer -Setting AuditDetailedFileShare

Note

A seconda delle impostazioni di sicurezza personalizzate, è necessario fornire un determinato input. Questi input sono:

  • MessageTextUserLogon
  • MessageTextUserLogonTitle
  • RenameAdministratorAccount
  • RenameGuestAccount

Dopo aver specificato l'input necessario, selezionare il tasto INVIO per continuare.

Gestione delle versioni della baseline di sicurezza

Le baseline di sicurezza di OSConfig sono versionate e sono incluse nel modulo PowerShell OSConfig. Un modulo più recente introduce la versione di base più recente, che sostituisce completamente quella precedente anziché fungere da patch incrementale. Quando si applica uno scenario, OSConfig configura il set completo di impostazioni definite dalla versione di base nel modulo installato nel dispositivo.

Il nome dello scenario non include un token di versione. Applicando SecurityBaseline/WindowsServer/2025/MemberServer, ad esempio, viene sempre configurata la versione di riferimento corrente di Windows Server 2025 presente nel modulo OSConfig installato.

Per visualizzare la versione del modulo OSConfig installata, eseguire:

Get-Module -ListAvailable -Name Microsoft.OSConfig

Aggiornamento tra versioni

Per spostare un dispositivo da una versione di base precedente a una versione più recente, aggiornare il modulo OSConfig e quindi riapplicare lo scenario. Poiché ogni versione di base sostituisce completamente quella precedente, la riapplicazione porta il dispositivo al nuovo set completo di impostazioni.

  1. Aggiornare il modulo OSConfig alla versione più recente:

    Update-Module -Name Microsoft.OSConfig

  2. Riapplica lo scenario corrispondente al ruolo del dispositivo. Ad esempio, per un server membro, eseguire:

    Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/MemberServer -Default

    Note

    Se viene già applicata una versione precedente della baseline, viene richiesto di rimuovere la versione applicata in precedenza prima che OSConfig configuri il nuovo. Confermare la richiesta di continuare.

  3. Riavviare il dispositivo per rendere effettive le modifiche.

log delle modifiche della baseline di sicurezza Windows Server 2025

La baseline attuale di Windows Server 2025 amplia l'ambito di copertura rispetto alla versione precedente. Il numero di impostazioni aumenta per ogni ruolo del server:

Ruolo del server Versione precedente Versione corrente
Controller di dominio 319 347
Server membro 318 344
Membro del gruppo di lavoro 294 319

Per l'elenco completo delle impostazioni incluse in ogni baseline, vedere le baseline di sicurezza OSConfig in GitHub.

Fornire commenti e suggerimenti per OSConfig

Se si verifica un problema o si ha un suggerimento dopo l'applicazione di una baseline di sicurezza, inviare commenti e suggerimenti tramite Hub di Feedback. Sia Windows Server che il client Windows offrono questa funzionalità. Per aprire Hub di feedback, selezionare Start, digitare Hub di feedback e aprire l'app oppure passare al sito Web hub di Feedback. Per altre informazioni sull'invio di commenti e suggerimenti, vedere Approfondimento sul feedback.

Per inviare commenti e suggerimenti su OSConfig:

  1. In Immettere il feedback specificare un titolo e una descrizione chiari. Includi la versione installata del modulo OSConfig (restituita da Get-Module -ListAvailable -Name Microsoft.OSConfig) in modo che il team possa analizzare la tua segnalazione.
  2. In Scegli una categoria selezionare Problema o Suggerimento.
  3. Nell'elenco a discesa categoria selezionare Windows Server e quindi selezionare Gestione configurazione sicurezza nell'elenco a discesa secondario.
  4. Aggiungere eventuali dettagli o allegati pertinenti e quindi inviare commenti e suggerimenti.

L'esempio seguente mostra l'hub di Feedback con la categoria Windows Server e la sottocategoria Gestione configurazione sicurezza selezionata.

Screenshot dell'hub di feedback che mostra un report di problema con la categoria Windows Server e la sottocategoria Gestione configurazione sicurezza selezionata.

Contenuti correlati

  • Last updated on