Attacchi ai server Windows: errori comuni di configurazione

Attacchi ai server Windows: 5 errori comuni di configurazione che aprono le porte agli hacker

Windows Server è il sistema operativo che fa girare il mondo aziendale. Proprio per la sua diffusione, è il bersaglio prediletto dei criminali informatici. Tuttavia, la maggior parte delle compromissioni non avviene tramite sofisticati exploit “Zero-Day” degni di un film di spionaggio, ma sfruttando banali errori di configurazione lasciati da amministratori di sistema distratti o poco formati.

Il concetto di “Hardening” (indurimento) serve proprio a questo: chiudere le falle che Microsoft lascia aperte per default. Ecco i 5 errori più gravi che vediamo costantemente nelle infrastrutture compromesse.

1. RDP esposto su Internet (La porta principale)

Sembra incredibile doverlo ripetere nel 2026, ma Shodan rileva ancora milioni di server con la porta 3389 (Remote Desktop) aperta al pubblico. Questo è l’invito numero uno per il Ransomware.

• L’errore: Configurare regole NAT sul firewall per permettere l’RDP diretto verso i server interni per “comodità” dei fornitori o del telelavoro.
• La correzione: L’RDP non deve mai toccare Internet. L’accesso deve avvenire esclusivamente tramite VPN o RD Gateway con Autenticazione a Più Fattori (MFA) obbligatoria.

2. Privilegi Amministrativi Eccessivi

Il principio del “Least Privilege” viene spesso ignorato per evitare ticket di assistenza.

• L’errore: Usare l’account “Domain Admin” per attività quotidiane come navigare in internet, leggere la posta o installare software su un PC utente. Se quel PC è infetto, l’hacker ruba le credenziali e possiede l’intero dominio (Game Over).
• La correzione: Implementare il Tiering Model. Gli account amministrativi devono essere separati. Un amministratore deve avere un account per le email (standard), uno per la gestione workstation (admin locale) e uno, usato raramente, per il Domain Controller.

3. Protocolli Legacy (SMBv1 e LLMNR)

Windows mantiene la compatibilità con il passato, ma il passato è insicuro.

• L’errore: Lasciare attivo SMBv1 (il protocollo usato da WannaCry ed EternalBlue) e LLMNR/NBT-NS (protocolli di risoluzione nomi che rispondono a chiunque nella rete locale).
• La correzione: Disabilitare SMBv1 via Group Policy (GPO) o PowerShell. Disabilitare LLMNR e forzare l’uso del DNS interno. Questo blocca gran parte degli attacchi di “Poisoning” e Man-in-the-Middle interni.

4. PowerShell senza controlli

PowerShell è lo strumento di gestione più potente per un amministratore, ma anche l’arma preferita dagli attaccanti per eseguire malware “Fileless” (direttamente in memoria).

• L’errore: Lasciare PowerShell nella configurazione base o tentare di disabilitarlo (inutile, l’hacker lo riabiliterà).
• La correzione: Attivare il “Script Block Logging” e il “Module Logging”. Questo costringe Windows a scrivere nei log ogni singolo comando eseguito via PowerShell, rendendo visibile l’attività malevola al vostro SIEM.

5. Audit Policy “Silenziosa”

Non si può rilevare ciò che non si registra.

• L’errore: Affidarsi ai log di default. Windows, di base, non registra successi/fallimenti di accesso in modo granulare, né la creazione di processi o modifiche ai gruppi di sicurezza.
• La correzione: Configurare le Advanced Audit Policy Configuration. È vitale loggare il “Process Creation” (con command line argument) per vedere non solo che cmd.exe è stato lanciato, ma cosa ha eseguito.

Conclusione: Un server Windows appena installato è un server vulnerabile. La sicurezza non è un prodotto che si compra, ma una configurazione che si mantiene. Non aspettate l’audit o l’attacco per applicare l’Hardening.