Hardening dell’OS: obiettivo e approccio

L’hardening di Windows Server punta a ridurre la superficie d’attacco combinando piu’ layer: controllo di cio’ che puo’ eseguire, mitigazioni runtime dei processi, reputation dei file e una baseline hardware/firmware affidabile. In ottica AZ-801 non ti viene chiesto di cliccare menu, ma di scegliere il controllo giusto per uno scenario: bloccare software non autorizzato, difendere applicazioni legacy da exploit, o certificare un host come trusted. Ogni tecnologia ha un trade-off tra sicurezza e rischio di rompere workload esistenti, ed e’ proprio li’ che l’esame ti mette alla prova.

Windows Defender Application Control (WDAC) / App Control for Business

WDAC, ora rinominato App Control for Business, applica una policy di code integrity che definisce quale codice (driver, eseguibili, script, MSI) puo’ girare, seguendo un modello allow-list. E’ piu’ robusto di AppLocker perche’ applicato dal kernel e ancorabile ad attributi come publisher, hash, path o attestazione WHQL; AppLocker resta l’opzione piu’ semplice e per-utente quando WDAC e’ troppo restrittivo.

La distinzione chiave e’ audit mode vs enforced mode. In audit mode la policy non blocca nulla: registra solo cio’ che sarebbe stato bloccato negli eventi CodeIntegrity (log Microsoft-Windows-CodeIntegrity/Operational, evento 3076). Si usa l’audit mode per costruire la baseline e generare le regole supplementari prima di passare all’enforcement, dove i tentativi bloccati compaiono come evento 3077. La policy si distribuisce via GPO, Intune/MDM, MECM o PowerShell; il file va convertito in formato binario prima del deploy.

Exploit Protection e process mitigation

Exploit Protection e’ il successore di EMET e applica process mitigation come DEP, mandatory ASLR, bottom-up ASLR, CFG (Control Flow Guard) e SEHOP, sia a livello di sistema sia per singolo eseguibile. E’ la difesa d’elezione per applicazioni legacy che non puoi ricompilare. Le impostazioni si esaminano ed esportano in XML con i cmdlet Get-ProcessMitigation / Set-ProcessMitigation. Per distribuirle su scala si usa la GPO “Use a common set of exploit protection settings” puntando al file XML esportato, cosi’ tutti i server condividono la stessa baseline. Attenzione: una mitigazione troppo aggressiva puo’ impedire l’avvio di app fragili, quindi la si valida prima di forzarla in produzione.

SmartScreen e secured-core server

SmartScreen e’ un reputation service cloud: valuta la reputazione di file scaricati, applicazioni e URL (SmartScreen per Microsoft Edge) e avvisa o blocca contenuti a bassa reputazione o mai visti prima. Non e’ un allow-list come WDAC, ma un controllo complementare orientato al contenuto proveniente da Internet.

Il secured-core server e’ la baseline hardware + firmware + OS piu’ alta: combina TPM 2.0, Secure Boot, System Guard (DRTM), Virtualization-Based Security (VBS), Hypervisor-Enforced Code Integrity (HVCI) e Credential Guard per proteggere credenziali e integrita’ del kernel gia’ dal boot. Richiede hardware certificato (Windows Server 2022/2025) e si abilita e monitora tipicamente dalla scheda Security di Windows Admin Center. E’ la risposta corretta quando lo scenario chiede protezione da attacchi firmware-level e furto di credenziali.

Trappole tipiche d’esame

  • Serve una lista di app consentite senza rischiare di rompere la produzione, soluzione: distribuisci la policy WDAC in audit mode prima, analizza gli eventi CodeIntegrity 3076, poi passa a enforced. L’enforcement diretto e’ la trappola.
  • Enforcement kernel-based su hardware moderno vs controllo semplice per-utente, soluzione: WDAC per l’enforcement forte ancorato al kernel; AppLocker quando basta un controllo piu’ leggero e granulare per utente o gruppo.
  • Proteggere un’app legacy da buffer overflow senza toccarne il codice, soluzione: Exploit Protection con process mitigation (DEP/ASLR/CFG), non WDAC ne’ SmartScreen.
  • Applicare le stesse mitigazioni a molti server, soluzione: esporta l’XML con Get-ProcessMitigation e distribuisci via GPO “common set of exploit protection settings”, non configurazione manuale host per host.
  • Difesa da attacchi firmware e furto di credenziali gia’ dal boot, soluzione: secured-core server (VBS, HVCI, Credential Guard, DRTM), non una semplice policy software.
  • Bloccare download a bassa reputazione da Internet, soluzione: SmartScreen come reputation service, complementare a WDAC e non sostitutivo dell’allow-listing interno.