Protezione di file server, Exchange e NAS: quale licenza server ti serve davvero — e cosa viene spesso trascurato

Tutte le postazioni di lavoro sono protette e il server funziona senza intoppi da anni

La panoramica delle licenze sembra chiara e ordinata. Venticinque postazioni di lavoro, tutte con lo stesso pacchetto di protezione, tutte con lo stato “verde” nella console. Poi qualcuno chiede del file server. È rimasto lì in un angolo, immutato dal trasferimento nella nuova sala server, e nessuno sa a memoria se su di esso sia installato qualcosa. Se lo è, probabilmente si tratta della stessa licenza delle workstation — installata a un certo punto perché in quel momento era a portata di mano.

Questo è il punto cieco più comune negli ambienti di piccole e medie dimensioni. Ha due cause distinte — una legata alle licenze e una tecnica — ed entrambe portano allo stesso risultato: il dispositivo su cui sono effettivamente archiviati i dati è meno protetto dei portatili utilizzati per accedervi. Questo articolo spiega perché ciò accade, quali prodotti sono disponibili per file server, Exchange, sistemi NAS e macchine virtuali, e quali aspetti vengono regolarmente trascurati al momento di prendere decisioni di acquisto.

Perché una licenza per endpoint non è sufficiente per il server?

Per due motivi non correlati tra loro. Il primo riguarda le licenze: la maggior parte dei fornitori offre licenze per server come prodotti separati. Sophos e ThreatDown vendono prodotti distinti per workstation e server; ESET dispone di una propria linea, ESET Server Security, oltre ai propri prodotti per endpoint; e Bitdefender offre Security for Servers come prodotto autonomo, accanto a Security for Workstations. L’utilizzo di una licenza per workstation su un server non solo è sconsigliabile, ma semplicemente non è coperto dalla licenza stessa.

Il secondo motivo è di natura tecnica e ha un peso maggiore nelle operazioni quotidiane: un prodotto per workstation è progettato per un dispositivo utilizzato da un utente umano. Visualizza notifiche, richiede l’intervento dell’utente al momento di prendere decisioni, pianifica gli aggiornamenti per dopo l’orario di lavoro e prevede che il sistema venga riavviato occasionalmente. Nulla di tutto ciò si applica a un server che funziona senza un utente connesso e il cui riavvio è un evento programmato con preavviso. Un prodotto per server, d’altra parte, offre ciò che conta in quel contesto: esclusioni preconfigurate per i ruoli server, un comportamento di scansione che tiene conto dei file e dei database aperti, supporto per installazioni senza interfaccia grafica utente e criteri progettati per sistemi che funzionano in modo continuo.

Nel complesso, ciò significa che chiunque installi una licenza per workstation su un server risparmia su una voce del preventivo, ma si ritrova con un dispositivo che, nel peggiore dei casi, è configurato in modo errato o non dovrebbe funzionare affatto.

Cosa rende la protezione dei server tecnicamente diversa?

La differenza più evidente riguarda le esclusioni. Uno scanner in tempo reale che rileva un file di database aperto può bloccarlo o spostarlo in quarantena, con la conseguenza che il servizio smette di funzionare. I prodotti per server sono quindi dotati di impostazioni predefinite per i ruoli più comuni oppure li rilevano automaticamente. Sophos descrive questa funzionalità come “esclusioni automatiche dalla scansione”; altri fornitori la gestiscono tramite modelli di ruolo all’interno della politica.

Inoltre, esistono funzionalità che semplicemente non sono presenti sulle workstation. Sophos Intercept X Advanced for Server include Server Lockdown, un blocco delle applicazioni che, dopo una fase iniziale di acquisizione, blocca il server nello stato attuale: da quel momento in poi, non viene avviato nulla che non fosse già presente. Su una workstation, ciò risulterebbe poco pratico poiché vengono costantemente aggiunti nuovi software. Su un server che esegue gli stessi quattro servizi da tre anni, tuttavia, si tratta di una delle misure più efficaci disponibili. Questa edizione include anche il monitoraggio dell’integrità dei file, che avvisa l’utente se qualcuno modifica file critici.

Infine, la questione della piattaforma: i prodotti per server supportano generalmente installazioni senza interfaccia grafica e distribuzioni Linux. AVG File Server Business Edition, ad esempio, elenca esplicitamente solo i server Windows a 64 bit come sistemi supportati ed esclude le installazioni Server Core. Chiunque utilizzi Server Core deve esserne consapevole prima di effettuare un ordine.

Perché il file server è il vero obiettivo di un attacco di crittografia?

Perché è lì che sono archiviati i dati per i quali qualcuno sarebbe disposto a pagare un riscatto. La reinstallazione di un portatile crittografato richiede mezza giornata. Un file server crittografato blocca completamente le operazioni.

Un dettaglio cruciale che spesso viene trascurato è questo: la crittografia non deve necessariamente avvenire sul server stesso. Ha inizio su una workstation infetta e si diffonde attraverso le cartelle condivise tramite l’unità di rete collegata. Dal punto di vista del server, un utente normalmente connesso sta accedendo e modificando i propri file: tecnicamente, ciò appare del tutto normale. È proprio per questo che i prodotti per server includono meccanismi di protezione contro la crittografia eseguita da remoto. Sophos chiama questo componente CryptoGuard e descrive esplicitamente lo scenario in cui il ransomware viene eseguito su un endpoint connesso anziché sul server stesso.

Un prodotto per endpoint in esecuzione sul server non ha questa prospettiva. Esso monitora i processi eseguiti localmente, non i modelli di accesso tramite cartelle condivise.

Il mio pacchetto Business esistente copre automaticamente i server?

In parte, e le condizioni variano. Bitdefender include un componente server nei suoi pacchetti GravityZone: l’ambito di copertura specifica desktop e laptop, oltre a un massimo del trenta per cento di file server. Un altro punto importante da questa stessa fonte è che i sistemi Linux vengono sempre considerati come server, anche se si tratta di workstation. Chiunque gestisca molti dispositivi Linux modificherà quindi la propria proporzione senza rendersene conto.

Sophos e ThreatDown non utilizzano questo meccanismo. In questi casi, i server sono sempre trattati come linee di prodotto separate, dal livello base all’opzione di servizio gestito. Se si aggiornano le workstation a un determinato livello, è necessario aggiornare anche i server allo stesso livello; altrimenti, la catena si interrompe proprio nel punto in cui si verifica il danno.

Implicazioni pratiche per la valutazione delle soluzioni: non contare i dispositivi in base al numero di utenti, ma piuttosto suddividendoli in tre gruppi: workstation, server e qualsiasi dispositivo su cui non sia possibile installare un agente. Il terzo gruppo viene quasi sempre trascurato.

In che modo i prodotti per server differiscono nello specifico?

I prodotti che proteggono un file server Windows sono comparabili. La tabella non include prodotti autonomi di posta elettronica e archiviazione, poiché hanno uno scopo diverso e sono trattati in sezioni separate più avanti, né include i servizi gestiti, che rappresentano un’offerta di servizi piuttosto che un prodotto server.

Funzionalità	ESET Server Security	Bitdefender Security for Servers	SOPHOS Intercept X Advanced for Server	AVG File Server Business Edition
Windows Server	✓	✓	✓	✓
Server Linux	✓	✓	Due versioni	✕
Windows Server Core	Vedi nota	Vedi nota	Vedi nota	✕
Protezione di Exchange	Informazioni su Mail Plus	Prodotto proprietario	Prodotto proprietario	Altra edizione
Blocco delle applicazioni per server	Vedi nota	Vedi nota	✓	✕
Monitoraggio dell'integrità dei file	Vedi nota	Come componente aggiuntivo	✓	✕
La console può essere utilizzata localmente	✓	✓	✕	✓
Rilevamento e risposta per i server	✓	✓	Versione personalizzata	✕

Per quanto riguarda i campi lasciati in bianco: la possibilità di effettuare un’installazione senza interfaccia grafica dipende dalla versione del prodotto utilizzata per tutti e tre i principali fornitori e deve quindi essere verificata prima dell’ordine; solo AVG esclude esplicitamente Server Core. Il blocco delle applicazioni e il monitoraggio dell’integrità dei file sono inclusi nel livello Advanced di Sophos per i server; con Bitdefender, il monitoraggio dell’integrità è un modulo aggiuntivo che deve essere acquistato separatamente; per quanto riguarda ESET, non vi sono specifiche chiare da parte del produttore a livello di prodotto riguardo a queste due funzionalità. Sophos offre due opzioni di implementazione per Linux con set di funzionalità diversi che si escludono a vicenda: l’opzione più ridotta include essenzialmente la protezione dal malware e il rilevamento del traffico dannoso.

Quale prodotto per server è più adatto a quale ambiente?

Per ambienti misti con server Windows e Linux e una console che può funzionare anche in locale, ESET Server Security ⧉ è la scelta più ovvia. Il prodotto era precedentemente noto come ESET File Security for Microsoft Windows Server; chiunque stia ancora cercando il vecchio nome verrà reindirizzato qui. Viene gestito tramite la stessa piattaforma delle workstation, il che semplifica notevolmente le operazioni.

Se state già utilizzando GravityZone e desiderate acquistare le licenze per i server separatamente, scegliete Bitdefender GravityZone Security for Servers ⧉: in questo modo, manterrete disponibili le licenze per i server incluse nei vostri pacchetti per workstation nel caso in cui aggiungiate dispositivi Linux in un secondo momento.

Per i file server Windows in un ambiente di piccole dimensioni senza Linux e senza necessità di bloccare le applicazioni, è sufficiente AVG File Server Business Edition ⧉. Le limitazioni sono chiaramente indicate: solo server Windows a 64 bit, nessuna installazione Server Core, nessun Linux. Se utilizzi server Linux, avrai bisogno di un prodotto separato della stessa famiglia.

Di quale livello Sophos ho bisogno per i server?

Sophos classifica i propri prodotti per server allo stesso modo dei prodotti per endpoint, e le differenze sono particolarmente evidenti per i server.

SOPHOS Central Intercept X Essentials for Server ⧉ offre protezione contro malware e attacchi di crittografia. Ciò che manca è proprio ciò che distingue i server dalle workstation: nessun blocco delle applicazioni, nessun monitoraggio dell’integrità dei file e nessuna possibilità di configurare più policy.

SOPHOS Central Intercept X Advanced for Server ⧉ aggiunge il blocco dei server e il monitoraggio dell’integrità dei file, oltre al controllo di dispositivi, web e applicazioni. Per un server che esegue una versione stabile del software, questo è il livello che offre il massimo vantaggio pratico in termini di sicurezza.

SOPHOS Central Intercept X Advanced for Server con XDR ⧉ è un’opzione da considerare se le workstation operano già a livello XDR. Lasciare i server a un livello inferiore significa che la ricostruzione di un attacco si interrompe proprio nel momento in cui la situazione si fa interessante.

Perché Exchange necessita di un proprio prodotto di protezione?

Perché uno scanner dei file e uno scanner della posta elettronica operano in punti diversi del sistema. La protezione dei file sul server controlla ciò che viene scritto sul disco rigido. Non può quindi vedere cosa c’è nella coda di posta, cosa sta attualmente transitando attraverso il servizio di trasporto o cosa è archiviato in una casella di posta senza mai esistere come singolo file. Un prodotto dedicato alla posta elettronica si integra nel flusso delle e-mail ed effettua lì il filtraggio, compreso il rilevamento di spam e phishing, che uno scanner di file naturalmente non può fornire.

Ecco perché ogni fornitore offre un prodotto separato a questo scopo. Per Bitdefender si tratta di GravityZone Security for Exchange Servers ⧉. Per ESET è ESET PROTECT Mail Plus ⧉. Kaspersky offre Kaspersky Security for Mail Server ⧉. G DATA risolve questo problema tramite pacchetti, come G DATA Client Security Business con Exchange Mail Security ⧉, in cui la protezione della posta elettronica è parte integrante del pacchetto fin dall’inizio — spesso l’opzione di acquisto più semplice per le aziende che non vogliono gestire due prodotti separati in parallelo.

Con AVG, la protezione di Exchange non è inclusa nella File Server Business Edition, ma in un’edizione separata dedicata ai server di posta. Si tratta del classico scenario in cui un’azienda acquista la licenza per il file server e presume che, di conseguenza, anche Exchange sia coperto.

Di quali esclusioni antivirus ha bisogno un server Exchange e perché gli elenchi non aggiornati sono pericolosi?

Microsoft pubblica un elenco di cartelle, processi ed estensioni di file per Exchange che dovrebbero essere esclusi dallo scanner di file: file di database e di log delle transazioni, code, conversione dei contenuti e altro ancora. Il motivo è chiaro: se lo scanner blocca un database aperto o un file di log, ciò può causare disconnessioni impreviste dal database e, nel peggiore dei casi, il danneggiamento dei dati. Per implementare questa configurazione, Microsoft fornisce uno script PowerShell che individua i percorsi effettivi utilizzati dall’installazione, evitando di doverli digitare manualmente.

La parte pericolosa è proprio il contrario. Nel 2023, Microsoft ha esplicitamente revocato quattro esclusioni precedentemente raccomandate: le cartelle dei file temporanei ASP.NET e di Inetsrv, nonché i processi PowerShell.exe e w3wp.exe. La motivazione era che proprio queste esclusioni impedivano il rilevamento di webshell IIS e moduli backdoor, che all’epoca rappresentavano la forma più comune di attacco contro Exchange. Chiunque abbia adottato un elenco di esclusioni tratto da un manuale obsoleto sta ancora utilizzando il proprio server Exchange con una vulnerabilità nella sua area più sensibile.

In pratica, ciò significa: non copiare l’elenco delle esclusioni; verificatelo invece confrontandolo con la documentazione attuale del produttore relativa alla versione specifica di Exchange che state utilizzando.

Cosa comporta la fine del supporto per Exchange 2016 e 2019 per la sicurezza del server?

Il supporto per Exchange Server 2016 e 2019 è terminato il 14 ottobre 2025. Da allora, Microsoft ha smesso di fornire aggiornamenti di sicurezza, correzioni di bug e supporto tecnico per queste versioni. L’unica versione on-premises ancora supportata è l’Exchange Server Subscription Edition, disponibile al pubblico dal 1° luglio 2025. Il programma a tempo limitato che offriva aggiornamenti di sicurezza estesi per le versioni 2016 e 2019 è durato fino al 14 aprile 2026 ed è quindi scaduto.

Ciò comporta due implicazioni per la sicurezza. In primo luogo, un prodotto di sicurezza e-mail non può compensare la mancanza di aggiornamenti di sicurezza per il server. I gravi incidenti relativi a Exchange verificatisi negli ultimi anni hanno sfruttato vulnerabilità presenti nel server stesso, non negli allegati e-mail. In secondo luogo: prima dell’acquisto, verificate se il prodotto di sicurezza per la posta elettronica supporti ancora la vostra versione. Le specifiche dei fornitori relative alle versioni di Exchange supportate a volte sono in ritardo rispetto alla Subscription Edition, e un prodotto approvato ufficialmente solo fino a Exchange 2019 non vi sarà d’aiuto in caso di migrazione.

Per chi sta comunque pianificando una migrazione: il momento in cui si passa a una nuova versione di Exchange è anche l’occasione giusta per rivalutare la propria protezione della posta elettronica, anziché trascinarsi dietro una licenza esistente.

Utilizziamo Microsoft 365: abbiamo ancora bisogno di una protezione della posta elettronica?

Sì, ma non lo stesso prodotto. I prodotti Exchange qui menzionati si basano su un server Exchange ospitato localmente. Se il vostro traffico di posta elettronica passa attraverso Exchange Online, non c’è alcun server su cui installare un agente: la protezione deve partire da dove si trovano le caselle di posta, ovvero tramite una connessione al servizio cloud.

I fornitori offrono prodotti distinti a questo scopo. Con Bitdefender, Security for Email è un modulo aggiuntivo autonomo; con ESET, PROTECT Mail Plus copre sia Exchange on-premise che Microsoft 365. È importante distinguere tra queste opzioni al momento dell’acquisto: un prodotto con la dicitura “Exchange” nel nome di solito si riferisce al server on-premise. Se si lavora in un ambiente ibrido con Exchange on-premise e caselle di posta nel cloud, potrebbero essere necessari entrambi.

Come posso proteggere i file su un NAS su cui non è possibile installare alcun agente?

Utilizza un prodotto che esegua la scansione dello storage dall’esterno. Un sistema NAS o un array di storage utilizza un sistema operativo chiuso su cui non è possibile installare alcun agente di protezione. La scansione deve quindi avvenire tramite un’interfaccia fornita dal sistema di storage stesso: quest’ultimo notifica la richiesta di accesso a un servizio di scansione, che a sua volta esegue la scansione del file e lo approva o lo blocca.

Esistono prodotti dedicati proprio a questo scopo: Bitdefender GravityZone Security for Storage ⧉ come modulo aggiuntivo e Kaspersky Security for Storage ⧉ come prodotto autonomo. Questo è il terzo gruppo di dispositivi della sezione precedente che quasi sempre manca nelle offerte di prodotti: l’azienda utilizza un NAS per archiviare i dati di progettazione; tutti vi accedono e nulla viene sottoposto a scansione.

Se tali moduli aggiuntivi richiedano una licenza di base specifica e in che modo Base, Base Plus e Add-On differiscano tra loro è una questione a sé stante che dovrebbe essere chiarita prima di effettuare un ordine.

Base, Base Plus, Add-On o Rinnovo: cosa significano questi termini
Spiega come interpretare i nomi dei pacchetti disponibili sul mercato e quali di essi richiedono una licenza esistente.

Come vengono concesse in licenza i server virtuali e l’hypervisor?

Di norma, ogni macchina virtuale viene considerata come un server a sé stante, poiché su ciascuna di esse è in esecuzione un sistema operativo che deve essere protetto. Per gli ambienti con una maggiore densità di macchine, esistono modelli alternativi: Bitdefender GravityZone Security for Virtual Environments ⧉ prevede una licenza basata sulla CPU anziché sulla macchina, il che risulta vantaggioso non appena molti sistemi virtuali vengono eseguiti su pochi host.

Dal punto di vista tecnico, c’è una seconda considerazione da fare. Se venti macchine virtuali sullo stesso host avviano contemporaneamente una scansione pianificata, le prestazioni dell’intero host subiscono un calo significativo. I fornitori risolvono questo problema tramite la scansione offload: un agente leggero all’interno della macchina virtuale inoltra la scansione a un’istanza di sicurezza centrale. Sophos offre una versione dedicata per i server Windows su VMware ESXi e Microsoft Hyper-V, pensata come alternativa all’agente server completo.

Quando si valutano le soluzioni, ciò significa: chiarire se la licenza è per macchina o per processore e se l’istanza di scansione centrale richiede una propria licenza.

E il controller di dominio?

Il controller di dominio è il server la cui compromissione rende tutto il resto inutile: chi lo controlla controlla ogni account e ogni condivisione. Richiede la stessa protezione di un file server, con le stesse esclusioni specifiche per ruolo relative al database delle directory e ai file di log associati.

In pratica, tuttavia, spesso viene trascurato perché non memorizza alcun dato utente e quindi non viene percepito come degno di protezione. Si tratta di un errore: in un attacco di crittografia, il controller di dominio non è l’obiettivo, ma piuttosto lo strumento: il malware viene successivamente distribuito a tutti gli altri sistemi tramite esso. Un prodotto server con blocco delle applicazioni è particolarmente efficace in questo caso, poiché la versione software di un controller di dominio non cambia praticamente mai.

Anche i server necessitano di un EDR, oppure è sufficiente la sola protezione antivirus?

Se le workstation dispongono di funzionalità di registrazione e analisi, lo stesso vale sicuramente anche per i server. Il motivo è lo stesso che vale per il livello di licenza: un attacco che ha inizio su un laptop finisce per colpire il server. Se la registrazione dei log si ferma ai confini del server, è impossibile ricostruire a posteriori cosa sia successo ai dati – ed è proprio questa la domanda che verrà posta in caso di incidente.

Tutti i principali fornitori offrono versioni server a questo scopo, come ad esempio ThreatDown Advanced Server ⧉, che costituisce la controparte server del pacchetto per workstation con lo stesso nome. Quando si confrontano due offerte, è importante assicurarsi che le licenze server siano dello stesso livello di quelle per le workstation. Un preventivo appare più conveniente se i server sono stati silenziosamente calcolati al livello base.

Quale livello sia più adatto alla vostra azienda e in che modo differiscano gli acronimi è una questione indipendente dalla problematica dei server e, di proposito, non viene trattata in questa sede.

EDR, XDR e MDR: cosa significano gli acronimi e quando è necessario utilizzare ciascuno di essi.
Spiega le differenze tra registrazione dei log, fonti di dati estese e servizi gestiti, e illustra quale livello si adatta a quale scenario.

In che modo la protezione dei server aiuta a soddisfare gli obblighi di segnalazione in Svizzera?

Dal 1° aprile 2025, in Svizzera vige un obbligo di segnalazione per gli attacchi informatici alle infrastrutture critiche, in base alla revisione della Legge sulla sicurezza dell’informazione e all’Ordinanza sulla sicurezza informatica. Ciò si applica alle agenzie governative e alle organizzazioni definite nell’art. 74b della Legge sulla sicurezza dell’informazione (ISG), tra cui i servizi di energia e acqua potabile, le aziende di trasporto, gli ospedali elencati, i fornitori di servizi cloud e i data center, nonché le amministrazioni cantonali e comunali. La segnalazione iniziale deve essere presentata all’Ufficio federale per la sicurezza informatica entro 24 ore dalla scoperta; eventuali informazioni mancanti possono essere fornite entro 14 giorni. L’ordinanza prevede eccezioni per le organizzazioni di dimensioni più ridotte e per gli incidenti con impatti minori.

Un aspetto è fondamentale per la segnalazione: è necessario poter specificare quali sistemi siano stati interessati e se i dati siano stati compromessi. Ciò viene determinato a livello di server, non di postazione di lavoro. Un prodotto server dotato di monitoraggio dell’integrità dei file e di registrazione dei comportamenti di accesso fornisce informazioni verificabili a tal fine. Un server non protetto o dotato solo di una licenza per postazione di lavoro non fornisce queste informazioni; in tal caso, la segnalazione conterrà solo una supposizione.

Cosa non fa la protezione dei server: non determina se la vostra organizzazione sia soggetta a obblighi di segnalazione; non sostituisce un responsabile designato o una catena gerarchica di segnalazione ben consolidata; e non fornisce informazioni su quali dati fossero effettivamente memorizzati sul server interessato. Questa determinazione è un compito che spetta all’organizzazione.

Cosa richiede la direttiva NIS 2 in merito ai server?

Per le organizzazioni con sedi o clienti nell’Unione Europea, la Direttiva NIS 2 è vincolante. Essa richiede categorie di misure, non software specifici: analisi dei rischi e politiche di sicurezza, risposta agli incidenti, continuità operativa e gestione dei backup, sicurezza della catena di approvvigionamento, gestione delle vulnerabilità, politiche di valutazione dell’efficacia, formazione, nonché controllo degli accessi e autenticazione a più fattori. Nessun prodotto singolo garantisce la conformità.

A livello di server, sono supportati: la risposta agli incidenti, la gestione delle vulnerabilità (nella misura in cui la valutazione delle vulnerabilità e la gestione delle patch siano estese ai server) e il controllo degli accessi a livello di sistema. I requisiti di segnalazione a più livelli previsti dalla direttiva — allerta precoce entro 24 ore, notifica entro 72 ore e relazione finale entro un mese — si basano sugli stessi dati richiesti dalla normativa svizzera in materia di segnalazione.

Non sono contemplati il backup e il ripristino, la gestione dei fornitori, la formazione dei dipendenti e la responsabilità a livello dirigenziale. Chi deve conformarsi parallelamente a entrambe le normative — poiché la propria attività ha sede in Svizzera e rifornisce l’UE — può trovare un confronto dettagliato altrove.

Un confronto tra gli obblighi in materia di sicurezza informatica in Svizzera e nell’UE
Questa sezione mette a confronto gli obblighi di segnalazione svizzeri con quelli previsti dalla direttiva NIS 2 ed evidenzia i punti di divergenza.

Cosa non copre la protezione dei server?

La maggior parte di ciò che effettivamente previene o riduce al minimo i tempi di inattività dei server. Un prodotto di sicurezza non può sostituire il backup dei dati con procedure di ripristino collaudate e, in caso di attacco di crittografia riuscito, è il ripristino — non il rilevamento — a determinare la durata dell’interruzione. Inoltre, non sostituisce una corretta gestione dei diritti di accesso: se ogni utente dispone di accesso in scrittura a tutte le cartelle condivise, il ransomware crittograferà tutto ciò a cui quell’utente può accedere.

Entrano in gioco due ulteriori fattori. In primo luogo, l’accesso al desktop remoto raggiungibile da Internet senza autenticazione a due fattori: un punto di ingresso comune che uno scanner di file non può impedire, poiché l’autore dell’attacco effettua l’accesso normalmente. In secondo luogo, lo stato di aggiornamento del server stesso. Gli incidenti gravi degli ultimi anni hanno sfruttato vulnerabilità note e non corrette nei servizi lato server.

Come non solo implementare la gestione delle patch sui server, ma anche dimostrarla a terzi è un argomento a sé stante e non verrà trattato in questa sede.

Gestione e verifica delle patch per terze parti:
illustra come documentare lo stato di aggiornamento del server in modo che regga alle verifiche e alle richieste dei clienti.

Come procedere nella pratica?

Iniziate effettuando un inventario su quattro gruppi, non preparando una proposta. In primo luogo, le workstation. In secondo luogo, i server, suddivisi in Windows e Linux, indicando quali funzionano senza interfaccia grafica utente. In terzo luogo, i ruoli che richiedono un proprio prodotto: Exchange, database, Terminal Services. In quarto luogo, tutto ciò su cui non è possibile installare un agente: sistemi NAS, array di archiviazione, dispositivi con sistemi operativi chiusi.

Solo allora vale la pena esaminare i prodotti. A quel punto si applica una semplice regola: i server ricevono lo stesso livello di protezione delle postazioni di lavoro, non uno inferiore. Qualsiasi altra scelta inverte le priorità: verrebbe protetto l’accesso, ma non ciò a cui si accede.

 

 

---