Windows Server 2025 / Verificare la sicurezza di Defender e Windows Firewall

Per verificare la protezione di Windows Server 2025, controllare modalità e aggiornamenti di Microsoft Defender Antivirus, esclusioni e profili e regole effettivamente applicati da Windows Firewall. Verificare poi i servizi necessari al server e limitare ogni eccezione a un’esigenza precisa. L’esercitazione legge lo stato e crea una sola regola di laboratorio, da rimuovere alla fine mantenendo attive le protezioni.

Registrare ruolo e stato iniziale

Controller di dominio, file server e server web hanno esigenze di comunicazione diverse. Registrare ruoli installati, accessi amministrativi, backup e aggiornamenti prima di modificare impostazioni condivise. Usare una sessione autorizzata e mantenere accesso alla console: un errore di rete può interrompere l’amministrazione remota. Non trasferire a DC1 un’eccezione pensata per FS1 senza verificarne ruolo e ambito.

• Separare le identità per il lavoro quotidiano da quelle amministrative.
• Limitare l’amministrazione remota a computer e reti approvati.
• Documentare servizi, protocolli, porte e origini necessari per ciascun ruolo.
• Includere aggiornamenti di protezione e prove di ripristino nella manutenzione.

Una configurazione di riferimento della sicurezza aiuta a esaminare ciascuna impostazione, ma non giustifica modifiche al Registro di sistema dal significato sconosciuto. Verificare versione supportata, dipendenze dei servizi e modo di ripristinare il valore iniziale. Separare lettura e modifica: per documentare lo stato non occorre disabilitare antivirus, protezione dalle manomissioni o firewall.

Verificare modalità e aggiornamenti di Defender

Sul server da controllare, aprire Windows PowerShell come amministratore e confrontare lo stato con il prodotto che deve fornire la protezione antivirus principale. La guida alle modalità di Microsoft Defender Antivirus spiega come interpretarlo. Questi comandi non cambiano le impostazioni:

Get-MpComputerStatus | Select-Object AMRunningMode,AntivirusEnabled,RealTimeProtectionEnabled,AntivirusSignatureLastUpdated
Get-MpPreference | Select-Object ExclusionPath,ExclusionProcess,ExclusionExtension

AMRunningMode Normal indica la modalità attiva. Se Defender deve essere l’antivirus principale, confrontare anche AntivirusEnabled e RealTimeProtectionEnabled con lo stato previsto; un singolo campo non certifica la sicurezza complessiva. Passive non equivale a protezione primaria attiva: la compatibilità con altri antivirus dipende dall’integrazione con Defender for Endpoint e dal prodotto principale. Su Windows Server l’installazione di un altro antivirus non rende automaticamente passivo Defender. EDR Block Mode è una configurazione specifica di Endpoint Detection and Response (EDR), cioè rilevamento e risposta sugli endpoint, non un sinonimo di Normal. Confrontare con il progetto di protezione approvato senza cambiare modalità durante la query.

AntivirusSignatureLastUpdated indica quando sono state aggiornate le informazioni di sicurezza, non la versione del motore né l’assenza di minacce. Confrontare la data con il piano di manutenzione e verificare anche aggiornamenti del motore e della piattaforma; per i dispositivi isolati predisporre una fonte autorizzata e controllata. Se una query fallisce, controllare modulo, installazione, stato del prodotto e permessi, senza presumere che la protezione sia corretta. Distinguere ExclusionPath, ExclusionProcess ed ExclusionExtension. Le esclusioni integrate e automatiche di Windows Server sono diverse da quelle personalizzate: una lista visibile vuota non sostituisce la verifica delle eccezioni pertinenti al ruolo. Giustificare ogni esclusione con la documentazione ufficiale e una necessità verificata, senza escludere intere unità o tutti gli eseguibili per risolvere un problema di prestazioni.

Distinguere profili locali e regole effettive

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction,DefaultOutboundAction
Get-NetFirewallRule -PolicyStore ActiveStore | Where-Object Enabled -eq 'True' | Select-Object DisplayName,Direction,Action,Profile

Get-NetConnectionProfile mostra la categoria delle connessioni: verificare l’interfaccia realmente usata da FS1. Il profilo Domain dipende dal riconoscimento del dominio e dei suoi controller, non da un’etichetta impostabile liberamente. Se la connessione attesa appare Public o Private, esaminare DNS e connettività del dominio come nella lezione sulla diagnosi di rete. La seconda riga legge per impostazione predefinita il PersistentStore locale, che non rappresenta necessariamente il risultato degli oggetti Criteri di gruppo (GPO). Per i profili effettivi ripetere Get-NetFirewallProfile con -PolicyStore ActiveStore, come indica la documentazione del comando. NotConfigured non dimostra che tutto il traffico sia consentito. La terza riga legge ActiveStore, ma Enabled = True non significa che ogni regola corrisponda al profilo, alla direzione e al traffico della prova.

La guida a Windows Firewall raccomanda di mantenere la protezione. Controllare separatamente servizio in ascolto, protocollo, porta, sorgente e profilo. La lista precedente non mostra porte, indirizzi o programmi: aprire wf.msc e verificare proprietà e regole in Monitoraggio, oppure interrogare i filtri corrispondenti. Una nuova autorizzazione ristretta non rimuove un’autorizzazione più ampia già presente. Un blocco esplicito corrispondente prevale normalmente su un’autorizzazione in conflitto, secondo le regole di precedenza del firewall. L’ordine visivo della lista non costituisce una priorità numerata.

Creare e rimuovere una regola di laboratorio limitata

Usare solo FS1 e CLIENT1 attendibili sulla rete di dominio isolata del corso. Dalla console di CLIENT1 verificare e annotare l’IPv4 corrente assegnato da DHCP, senza presumere che coincida con un vecchio indirizzo. Prima della modifica eseguire da CLIENT1 ping 172.24.50.20 e registrarne l’esito. Su FS1 verificare con wf.msc o Get-NetFirewallRule e il nome esatto che Lab-ICMPv4-From-Client non esista e che il percorso usi il profilo Domain. Se il nome è occupato, fermarsi senza modificare la regola esistente. Aprire PowerShell come amministratore su FS1 e immettere soltanto l’IPv4 verificato di CLIENT1. Eseguire le due righe separatamente: se la conversione fallisce o l’indirizzo è IPv6, non procedere alla creazione. Internet Control Message Protocol versione 4 (ICMPv4) usa il tipo 8 per le richieste echo; non viene aperta una porta TCP o UDP:

$clientAddress = [ipaddress](Read-Host 'Current CLIENT1 IPv4 address')
New-NetFirewallRule -Name 'Lab-ICMPv4-From-Client' -DisplayName 'Lab ICMPv4 from CLIENT1' -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress $clientAddress -Profile Domain -Action Allow

Il risultato atteso di New-NetFirewallRule è una regola abilitata su FS1 con nome Lab-ICMPv4-From-Client, direzione Inbound, azione Allow, profilo Domain, protocollo ICMPv4, tipo 8 e indirizzo remoto uguale all’IPv4 verificato di CLIENT1. Non autentica l’utente e non restringe altri protocolli. Controllare questi campi nelle proprietà prima di interpretare il ping. Se DHCP cambia l’indirizzo di CLIENT1, la corrispondenza per IP può non identificare più lo stesso dispositivo.

Da CLIENT1 ripetere ping 172.24.50.20 nelle stesse condizioni. Se mancava soltanto questa autorizzazione e non ci sono blocchi espliciti o altri errori di rete, ci si attendono risposte da FS1. Se rispondeva già prima, il risultato non prova che la nuova regola fosse necessaria. Se continua a fallire, verificare IPv4 inserito, profilo di FS1, percorso, regole di blocco e possibilità di unire regole locali ai criteri centrali. Non ampliare ad Any né disabilitare il firewall per forzare l’esito. La gestione del firewall da riga di comando descrive query e filtri. Un ping riuscito non dimostra il funzionamento di condivisioni o autenticazione.

Al termine rimuovere soltanto la regola appena creata su FS1, usando il nome esatto. Non eseguire la rimozione se la regola esisteva già prima o se la creazione è fallita:

Remove-NetFirewallRule -Name 'Lab-ICMPv4-From-Client'

Verificare che la regola non sia più nel deposito locale e controllare lo stato effettivo. Ripetere lo stesso ping da CLIENT1 e confrontarlo con l’esito iniziale. Le risposte possono continuare grazie a un’altra autorizzazione valida: non eliminare tutte le regole ICMP o quelle distribuite dai GPO soltanto per far fallire la dimostrazione. Se rimane una regola per effetto di un criterio o di un errore di rimozione, identificarne la provenienza prima di dichiarare conclusa l’operazione.

Verificare protezione e servizi dopo la modifica

Dopo una modifica, verificare protezione e funzione interessata: accesso amministrativo autorizzato, autenticazione di dominio e DNS sul controller oppure la condivisione specifica sul file server. FS1 non deve ancora fornire tutti i ruoli delle lezioni successive: una porta senza servizio in ascolto non dimostra un guasto al firewall. Annotare ora, sorgente e destinazione per correlare errori ed eventi. Se si abilita la registrazione dei pacchetti scartati, controllare prima profilo, percorso e dimensioni del log, conservando i valori iniziali; non presumere che tutti gli scarti siano già registrati.

Per recuperare da una modifica errata, confrontare lo stato iniziale e annullare soltanto l’eccezione o il criterio interessato dalla sua origine di gestione. Qui il ripristino previsto consiste nel rimuovere Lab-ICMPv4-From-Client, non nell’azzerare il firewall. Verificare nuovamente accessi legittimi e protezioni. Se un servizio funziona solo senza protezione, riesaminarne la comunicazione necessaria e progettare un’eccezione motivata, mantenendo disponibili console e backup.