10 mẹo để bảo mật máy chủ tệp Windows

Dữ liệu có giá trị nhất trong tổ chức của bạn có thể được lưu giữ trong Active Directory (AD), cơ sở dữ liệu và trên máy chủ tệp. Chúng tôi thường chú ý nhiều đến việc bảo mật AD và cơ sở dữ liệu nhưng máy chủ tệp cũng cần được bảo mật một cách thích hợp.

Dưới đây là 10 mẹo hàng đầu của tôi để bảo vệ máy chủ tệp.

10 mẹo hàng đầu để bảo mật máy chủ tệp Windows

1. An ninh vật lý

Đừng để ai đó bước ra khỏi cửa với máy chủ tệp của bạn. Nhưng trộm cắp máy chủ không phải là rủi ro duy nhất. Khi tin tặc có quyền truy cập vật lý vào máy chủ, các biện pháp kiểm soát bảo mật mà bạn áp dụng có thể dễ dàng bị phá vỡ hơn.

2. Luôn cập nhật/vá lỗi tất cả phần mềm

Để ngăn chặn truy cập trái phép vào các máy chủ tệp quan trọng, điều quan trọng là phải duy trì hệ điều hành và phần mềm cập nhật. Phần mềm lỗi thời và chưa được vá tạo ra các lỗ hổng có thể bị kẻ tấn công khai thác. Ngay cả khi máy chủ tệp Windows không được kết nối với Internet, các bản cập nhật phần mềm vẫn có thể được áp dụng thông qua việc chạy Windows Server Update Services (WSUS) trên một máy chủ khác trong mạng. Nếu cần truy cập Internet, bạn nên bật tự động tải xuống và cài đặt các bản vá thông qua Windows Update, trừ khi có quy trình kiểm tra thủ công. Ngoài ra, việc bật Cấu hình bảo mật nâng cao của Internet Explorer trên máy chủ, ngay cả khi cấu hình này không được sử dụng để duyệt, có thể giúp tăng cường bảo mật. Điều này có thể được thực hiện bằng cách truy cập bảng điều khiển và chọn tùy chọn Cấu hình bảo mật nâng cao Internet trong phần Thêm cấu phần Windows.

3. Cơ sở bảo mật của Microsoft

Áp dụng cài đặt bảo mật cơ bản của Microsoft cho Windows Server 2016. Có hàng nghìn cài đặt có thể được định cấu hình. Hãy để Microsoft thực hiện công việc khó khăn này để xác định những tính năng nào sẽ bị tắt. Microsoft đã khuyến nghị vô hiệu hóa giao thức Server Message Block (SMB) v1 cũ, giao thức dễ bị tấn công khi phát hành Bản cập nhật dành cho người sáng tạo vào mùa xuân năm nay. Tải xuống Bộ công cụ tuân thủ bảo mật để tắt SMBv1 ngay bây giờ.

4. Kích hoạt BitLocker

Mã hóa tất cả ổ đĩa máy chủ. Ngay cả khi máy chủ của bạn được bảo mật về mặt vật lý, mã hóa BitLocker vẫn tăng cường khả năng bảo vệ nếu bảo mật vật lý không thành công hoặc nếu ổ đĩa cứng bị vứt bỏ không đúng cách.

5. Chọn ngẫu nhiên và lưu trữ mật khẩu quản trị viên cục bộ

Đảm bảo rằng mật khẩu quản trị viên cục bộ trên máy chủ tệp của bạn là duy nhất, được thay đổi thường xuyên và được lưu trữ an toàn. Bạn có thể sử dụng Giải pháp mật khẩu quản trị viên cục bộ (LAPS) của Microsoft để tự động chọn ngẫu nhiên mật khẩu trên máy chủ và lưu trữ chúng một cách an toàn trong AD. Và đừng quên các biện pháp bảo mật tốt nhất khác, chẳng hạn như sử dụng đặc quyền tối thiểu và hạn chế việc sử dụng tài khoản quản trị viên miền đối với các DC.

6. Chặn truy cập Internet tại tường lửa vành đai

Máy chủ tệp thường không cần truy cập Internet. Hạn chế quyền truy cập vào các trang web được yêu cầu, chẳng hạn như máy chủ cập nhật của Microsoft nếu bạn không có sẵn Dịch vụ cập nhật máy chủ Windows (WSUS) trên mạng nội bộ của công ty mình.

7. Giữ quyền đơn giản

Lập kế hoạch về cách bạn sẽ cấp quyền chia sẻ tệp. Hãy đơn giản nhất có thể và lập kế hoạch truy cập dựa trên vai trò của người dùng trong tổ chức của bạn. Thêm ACL vào thư mục và giữ quyền chia sẻ tệp được đặt thành Người dùng được xác thực, giống như Mọi người, nhưng loại trừ các tài khoản bảo mật tích hợp như SERVICE, LOCAL_SERVICE và NETWORK_SERVICE.

8. Đã kiểm tra bản sao lưu

điều quan trọng là đảm bảo bạn có quy trình sao lưu đã được kiểm tra và an toàn. Nếu các biện pháp kiểm soát bảo mật không bảo vệ được dữ liệu, bạn sẽ muốn khôi phục tài sản dữ liệu có giá trị của mình.

9. Thêm nhóm từ chối toàn cầu vào mỗi thư mục

Tạo một nhóm có quyền từ chối trên mỗi thư mục dùng chung. Từ chối luôn ghi đè các quyền cho phép, vì vậy bạn có thể thêm người dùng vào nhóm này nếu bạn cần nhanh chóng chặn quyền truy cập vào tài nguyên máy chủ tệp.

10. Cho phép kiểm tra các chia sẻ và thư mục

Cuối cùng, Kích hoạt tính năng kiểm tra các thư mục và chia sẻ để giám sát quyền truy cập vào tệp và ghi lại các thay đổi đối với quyền. Bạn cũng có thể sử dụng giải pháp kiểm tra Máy chủ tệp của Lepide để kiểm tra các thay đổi được thực hiện đối với tệp, thư mục và quyền của chúng.

Các phương pháp hay nhất bổ sung để bảo mật máy chủ tệp

Tăng cường tường lửa của bạn

Để giảm các điểm tấn công tiềm ẩn, hãy hạn chế quyền truy cập internet vào máy chủ tệp của bạn. Chỉ cho phép các dịch vụ DNS và NTP trong mạng của bạn kết nối với máy chủ tệp. Sử dụng tường lửa để giám sát lưu lượng truy cập vào và ra, kiểm tra các cổng có thể truy cập và ngăn chặn các nỗ lực truy cập từ các địa chỉ IP không quen thuộc và đáng ngờ.

Sử dụng các công cụ phát hiện phần mềm độc hại theo thời gian thực

Phần mềm độc hại, chẳng hạn như ransomware, có thể khiến hoạt động của tệp tăng đột ngột (mã hóa, đổi tên và xóa tệp). Điều quan trọng là sử dụng công cụ ứng phó sự cố bảo mật có khả năng xác định sớm các cuộc tấn công như vậy và kích hoạt các hành động nhằm ngăn chặn cuộc tấn công cũng như cách ly các thiết bị bị nhiễm để điều tra thêm.

Đánh giá lỗ hổng bảo mật

Khám phá các điểm yếu bảo mật tiềm ẩn trong máy chủ tệp của bạn như phương pháp xác thực không đầy đủ, lộ quá nhiều dữ liệu nhạy cảm, các vấn đề về quản lý quyền, truyền dữ liệu không an toàn và các mối lo ngại tương tự khác. Tận dụng những hiểu biết thực tế thu được từ các đánh giá bảo mật để xác định và loại bỏ những lỗ hổng này trong khuôn khổ bảo mật của bạn.

Gỡ bỏ phần mềm không cần thiết

Phần mềm không cần thiết thường đi kèm với nhiều lỗ hổng và điểm yếu bảo mật có thể bị khai thác. Bằng cách xóa các ứng dụng này, máy chủ sẽ ít bị tấn công hơn vì tin tặc có ít cơ hội khai thác các lỗ hổng đã biết hơn. Ngoài ra, việc đơn giản hóa môi trường phần mềm của máy chủ giúp việc theo dõi các bản vá và cập nhật bảo mật dễ dàng hơn, cải thiện tình trạng bảo trì và bảo mật tổng thể của máy chủ tệp.

Vô hiệu hóa các dịch vụ không cần thiết

Mỗi dịch vụ chạy trên máy chủ đều có những lỗ hổng tiềm ẩn có thể bị các tác nhân độc hại khai thác. Ngoài ra, các dịch vụ không cần thiết có thể chạy với quá nhiều đặc quyền, điều này làm tăng nguy cơ bị tấn công leo thang đặc quyền. Hơn nữa, việc dừng các dịch vụ không cần thiết cũng giúp bảo tồn tài nguyên hệ thống và cải thiện hiệu suất bằng cách giải phóng bộ nhớ, chu kỳ CPU và băng thông mạng. Trừ khi bạn có nhu cầu cụ thể đối với chúng, bạn nên tắt Dịch vụ Fax, Messenger, Quản trị viên IIS, SMTP, Trình lập lịch tác vụ, Telnet, Dịch vụ đầu cuối và Dịch vụ xuất bản World Wide Web trong Windows.