اگر ویندوز سرور شما به اینترنت متصل باشه، نمیشه امنیتش رو فقط به نصب آنتیویروس یا انتخاب یک رمز عبور قوی محدود کرد.
سرورها معمولا اطلاعات مهم، سایتها، دیتابیسها، سرویسهای شبکه و حسابهای کاربری مختلفی رو مدیریت میکنن و به همین دلیل میتونن هدف جذابی برای هکرها باشن.
در این مقاله از بلاگ رهام کلود، خیلی ساده و کاربردی میخوایم بررسی کنیم که برای افزایش امنیت ویندوز سرور چه کارهایی میتونید انجام بدید و چطور احتمال نفوذ،
سرقت اطلاعات و حملات سایبری رو کمتر کنید.
فهرست موضوعات:
- اهمیت امنیت ویندوز سرور
- رمز عبور قوی
- محدودسازی دسترسی Administrator
- پورت RDP
- فعالسازی فایروال ویندوز
- آپدیت ویندوز سرور
- Windows Defender و آنتیویروس
- غیرفعال کردن سرویسهای غیرضروری
- استفاده با احتیاط از Administrator پیشفرض
- بررسی ورودهای ناموفق
- بکاپ از اطلاعات سرور
- اتصالهای امن
- احراز هویت چندمرحلهای
- نرمافزارهای نصبشده روی سرور
- Principle of Least Privilege
- تغییر پورت RDP
- برای افزایش امنیت ویندوز سرور از کجا شروع کنیم؟
- نتیجه گیری
- سوالات متداول
اهمیت امنیت ویندوز سرور
ویندوز سرور معمولا یکی از بخشهای مهم زیرساخت یک مجموعه محسوب میشه.
ممکنه روی اون یک سایت، نرمافزار سازمانی، دیتابیس، سرویس فایل، Active Directory یا حتی چندین سرویس مختلف اجرا بشه.
حالا تصور کنید یک مهاجم بتونه به سرور شما دسترسی پیدا کنه.
در این شرایط ممکنه اطلاعات مهم سرقت بشه، فایلها تغییر کنن، سرویسها از کار بیفتن یا حتی از سرور شما برای حمله به سیستمهای دیگه استفاده بشه.
برای همین، امنیت سرور باید از همون زمان نصب و راهاندازی جدی گرفته بشه و فقط زمانی به فکرش نیفتید که مشکلی پیش اومده باشه.
رمز عبور قوی
یکی از سادهترین کارهایی که میتونید برای افزایش امنیت ویندوز سرور انجام بدید، استفاده از رمزهای عبور قویه.
مخصوصا برای حساب Administrator باید رمز عبوری انتخاب کنید که حدس زدنش سخت باشه.
رمزهایی مثل 123456، Admin123 یا حتی اسم شرکت و شماره تلفن، انتخابهای مناسبی نیستن.
بهتره رمز عبور طولانی باشه و از ترکیب حروف بزرگ و کوچک، عدد و کاراکترهای خاص استفاده کنه.
همچنین بهتره برای هر سرویس یا حساب کاربری از رمز جداگانه استفاده کنید.
اگر یک رمز در چند جای مختلف استفاده بشه و یکی از اون سرویسها دچار مشکل امنیتی بشه، بقیه حسابها هم ممکنه در معرض خطر قرار بگیرن.
محدودسازی دسترسی Administrator
یکی از اشتباهات رایج اینه که همه کاربران با دسترسی Administrator کار کنن.
وقتی یک حساب کاربری دسترسی کامل داشته باشه، در صورت هک شدن اون حساب، مهاجم هم تقریبا به تمام بخشهای سیستم دسترسی پیدا میکنه.
بهتره برای کاربران معمولی حسابهای جداگانه بسازید و فقط زمانی که واقعا نیاز به دسترسی مدیریتی وجود داره، از حساب Administrator استفاده کنید.
این کار شاید در نگاه اول ساده به نظر برسه، ولی در امنیت سرور تاثیر زیادی داره.
پورت RDP
Remote Desktop یا RDP یکی از سرویسهای مهم ویندوز سروره که برای مدیریت سرور از راه دور استفاده میشه.
مشکل اینجاست که RDP یکی از سرویسهایی هم هست که معمولا توسط مهاجمان مورد بررسی قرار میگیره.
اگر پورت RDP مستقیما روی اینترنت باز باشه، ممکنه سرور شما در معرض حملاتی مثل Brute Force قرار بگیره؛
یعنی مهاجم بارها و بارها نام کاربری و رمزهای مختلف رو امتحان کنه.
برای کاهش این ریسک، بهتره دسترسی RDP رو فقط به IPهای موردنیاز محدود کنید یا دسترسی به اون رو از طریق VPN انجام بدید.
همچنین فعال کردن Network Level Authentication یا NLA هم میتونه امنیت اتصالهای RDP رو بیشتر کنه.
مثلا اگر فقط تیم پشتیبانی شرکت از یک IP مشخص به سرور وصل میشه، منطقی نیست RDP برای تمام اینترنت باز باشه.
فعالسازی فایروال ویندوز
Windows Defender Firewall فقط یک ابزار ساده نیست که روشنش کنید و دیگه کاری باهاش نداشته باشید.
تنظیم درست فایروال یکی از بخشهای مهم افزایش امنیت ویندوز سرور محسوب میشه.
ایده اصلی اینه که فقط پورتها و سرویسهایی که واقعا بهشون نیاز دارید در دسترس باشن.
برای مثال اگر روی سرور فقط یک وبسایت دارید، احتمالا پورتهای مربوط به HTTP و HTTPS باید در دسترس باشن، اما دلیلی نداره تعداد زیادی
پورت غیرضروری از اینترنت قابل دسترسی باشه.
هر پورت اضافهای که بدون دلیل باز گذاشته بشه، میتونه سطح حمله سرور رو بیشتر کنه.
آپدیت ویندوز سرور
آپدیتهای ویندوز فقط برای اضافه کردن امکانات جدید نیستن. بخش مهمی از اونها مربوط به برطرف کردن مشکلات امنیتی و آسیبپذیریهای شناختهشده است.
اگر یک آسیبپذیری در نسخهای از ویندوز کشف بشه، ممکنه اطلاعات مربوط به اون عمومی بشه و مهاجمان هم از همون اطلاعات برای پیدا کردن سرورهای آسیبپذیر استفاده کنن.
به همین دلیل بهتره Windows Update رو بررسی کنید و آپدیتهای امنیتی مهم رو در زمان مناسب نصب کنید.
البته قبل از نصب آپدیت روی سرورهای حساس، بهتره از اطلاعات مهم نسخه پشتیبان داشته باشید و در محیطهای حساس، ابتدا آپدیت رو تست کنید.
Windows Defender و آنتیویروس
ویندوز سرور هم مثل سیستمهای معمولی میتونه هدف بدافزارها قرار بگیره. Windows Defender میتونه بخش مهمی از لایه امنیتی سرور شما باشه.
فعال بودن Real-time Protection، بهروزرسانی منظم اطلاعات تهدیدها و انجام اسکنهای دورهای میتونه به شناسایی بعضی تهدیدها کمک کنه.
اگر زیرساخت شما حساسه، میتونید از راهکارهای امنیتی حرفهایتر و ابزارهای Endpoint Protection یا EDR هم استفاده کنید.
نکته مهم اینه که آنتیویروس نباید تنها لایه امنیتی شما باشه.
اگر RDP بدون محدودیت روی اینترنت باز باشه یا رمز Administrator ضعیف باشه، صرفا نصب آنتیویروس مشکل امنیتی شما رو حل نمیکنه.
غیرفعال کردن سرویسهای غیرضروری
هر سرویس فعالی روی سرور، در صورت وجود آسیبپذیری یا پیکربندی اشتباه، میتونه به یک نقطه ورود احتمالی تبدیل بشه.
برای همین بهتره سرویسهایی که هیچ استفادهای ندارن رو شناسایی و در صورت امکان غیرفعال کنید.
مثلا اگر سرور شما اصلا از یک سرویس خاص استفاده نمیکنه، دلیلی نداره اون سرویس بدون نیاز فعال باقی بمونه.
البته قبل از غیرفعال کردن سرویسها باید بررسی کنید که سرویس موردنظر وابستگی خاصی به نرمافزارها یا سرویسهای دیگه نداشته باشه.
استفاده با احتیاط از Administrator پیشفرض
حساب Administrator یکی از شناختهشدهترین حسابهای ویندوز سروره. اگر مهاجم بتونه رمز این حساب رو پیدا کنه، شرایط برای نفوذ خیلی خطرناک میشه.
یکی از روشهایی که میتونید استفاده کنید، تغییر نام حساب Administrator و محدود کردن استفاده از اون در کارهای روزمره است.
البته تغییر نام به تنهایی امنیت ایجاد نمیکنه. مهمتر از اون، داشتن رمز قوی، محدود کردن دسترسی و استفاده از حسابهای جداگانه برای کارهای مدیریتیه.
بررسی ورودهای ناموفق
گاهی اوقات لاگهای ویندوز میتونن نشون بدن که چه اتفاقی روی سرور در حال رخ دادنه.
برای مثال اگر در مدت کوتاهی تعداد زیادی Login ناموفق از یک IP مشخص ثبت بشه، ممکنه نشونه تلاش برای Brute Force باشه.
Windows Event Viewer اطلاعات مختلفی درباره ورود کاربران، خطاها و بعضی رویدادهای امنیتی در اختیار شما قرار میده.
بررسی منظم این لاگها کمک میکنه رفتارهای مشکوک رو زودتر ببینید و قبل از اینکه مشکل جدی بشه، واکنش نشون بدید.
بکاپ از اطلاعات سرور
امنیت فقط جلوگیری از نفوذ نیست. اگر با وجود تمام اقدامات امنیتی، اطلاعات شما حذف یا رمزگذاری بشن، داشتن بکاپ سالم میتونه جلوی یک فاجعه بزرگ رو بگیره.
بهتره از اطلاعات مهم، دیتابیسها، فایلهای ضروری و تنظیمات مهم نسخه پشتیبان تهیه کنید.
نکته مهم اینه که بکاپ رو فقط روی همون سرور نگه ندارید.
اگر سرور دچار حمله باجافزاری بشه و بکاپ هم روی همون سیستم قرار داشته باشه، ممکنه اون نسخه پشتیبان هم آسیب ببینه.
بهتره حداقل یک نسخه از بکاپ در محل یا سیستم جداگانه نگهداری بشه و هر چند وقت یک بار هم بررسی کنید که واقعا امکان Restore کردن اون وجود داره.
اتصالهای امن
اگر برای مدیریت سرور از Remote Desktop استفاده میکنید، بهتره دسترسی اون رو تا حد ممکن محدود و امن کنید.
استفاده از VPN، محدود کردن IPها، فعال کردن NLA و استفاده از احراز هویت چندمرحلهای در صورت پشتیبانی زیرساخت، میتونه امنیت دسترسی مدیریتی رو بیشتر کنه.
همچنین اگر سرویسهایی مثل FTP روی سرور دارید، بهتره در صورت امکان از روشهای امنتر مثل SFTP استفاده کنید تا اطلاعات ورود و دادهها در مسیر به شکل ناامن منتقل نشن.
احراز هویت چندمرحلهای
رمز عبور هرچقدر هم قوی باشه، باز هم ممکنه لو بره. برای همین استفاده از Multi-Factor Authentication یا MFA یکی از روشهای خوب برای اضافه کردن یک لایه امنیتی بیشتره.
در این روش، علاوه بر رمز عبور، کاربر باید عامل دیگری مثل کد تایید یا روش احراز هویت دوم رو هم ارائه بده.
در نتیجه اگر رمز عبور یک حساب به هر دلیلی لو بره، مهاجم برای ورود همچنان به عامل دوم نیاز داره.
نرمافزارهای نصبشده روی سرور
هر نرمافزاری که روی سرور نصب میکنید، باید واقعا موردنیاز باشه و از منبع معتبر دریافت شده باشه.
نرمافزارهای قدیمی یا بدون پشتیبانی ممکنه آسیبپذیریهای شناختهشده داشته باشن.
بنابراین بهتره هر چند وقت یک بار برنامههای نصبشده روی سرور رو بررسی کنید و موارد غیرضروری رو حذف کنید.
این موضوع مخصوصا برای سرورهایی که چندین سرویس مختلف روی اونها نصب شده اهمیت بیشتری داره.
Principle of Least Privilege
یکی از اصول مهم امنیت اینه که هر کاربر یا سرویس فقط به اندازهای دسترسی داشته باشه که واقعا نیاز داره.
مثلا اگر یک کاربر فقط باید به یک پوشه خاص دسترسی داشته باشه، لازم نیست دسترسی کامل به تمام فایلهای سرور داشته باشه.
با محدود کردن سطح دسترسی، اگر یک حساب کاربری هک بشه، مهاجم هم نمیتونه به تمام بخشهای سیستم دسترسی پیدا کنه.
فرض کنید شما یک Windows Server دارید که یک وبسایت روی اون اجرا میشه و تیم فنی هم برای مدیریت سرور از RDP استفاده میکنه.
در حالت ناامن ممکنه RDP مستقیم برای تمام اینترنت باز باشه، رمز Administrator ساده و چند سرویس غیرضروری فعال باشن و هیچ بکاپ جداگانهای هم وجود نداشته باشه.
حالا برای افزایش امنیت ویندوز سرور میتونید شرایط رو تغییر بدید.
دسترسی RDP رو فقط به IPهای مشخص یا VPN محدود کنید، برای حسابهای مدیریتی رمز قوی بذارید، NLA و در صورت امکان MFA رو فعال کنید، Windows Update رو
منظم انجام بدید، فایروال رو طوری تنظیم کنید که فقط پورتهای ضروری باز باشن و از اطلاعات مهم هم روی یک محل جداگانه بکاپ بگیرید.
در این حالت اگر یک مهاجم بخواد به سرور شما نفوذ کنه، با چند لایه امنیتی مختلف روبهرو میشه و کار براش خیلی سختتر خواهد شد.
تغییر پورت RDP
تغییر پورت پیشفرض RDP میتونه تعداد بعضی اسکنها و تلاشهای خودکار رو کمتر کنه، اما نباید اون رو یک راهکار امنیتی اصلی در نظر بگیرید.
اگر RDP روی یک پورت دیگه قرار بگیره ولی برای کل اینترنت باز باشه و رمز عبور هم ضعیف باشه، همچنان خطر نفوذ وجود داره.
محدود کردن IP، استفاده از VPN، NLA، MFA و رمز عبور قوی خیلی مهمتر هستن.
برای افزایش امنیت ویندوز سرور از کجا شروع کنیم؟
اگر الان یک سرور دارید و نمیدونید از کجا شروع کنید، اول وضعیت دسترسیها رو بررسی کنید.
ببینید چه پورتهایی باز هستن، چه کاربرانی دسترسی مدیریتی دارن، RDP چطور در دسترسه و چه سرویسهایی روی سرور فعال هستن.
بعد سراغ آپدیتهای امنیتی، فایروال، Windows Defender، لاگها و بکاپ برید.
لازم نیست همه تغییرات رو یکدفعه انجام بدید.
مهم اینه که امنیت سرور رو به شکل مرحلهای بهتر کنید و بعد از هر تغییر هم بررسی کنید که سرویسهای موردنیاز همچنان درست کار میکنن.
نتیجه گیری
افزایش امنیت ویندوز سرور فقط با یک ابزار یا یک تنظیم انجام نمیشه. امنیت واقعی زمانی شکل میگیره که چند لایه مختلف کنار هم قرار بگیرن؛
از رمز عبور قوی و محدود کردن دسترسیها گرفته تا فایروال، آپدیتهای امنیتی، محافظت از RDP، بررسی لاگها و داشتن بکاپ سالم.
اگر سرور شما به اینترنت متصله، بهتره امنیتش رو جدی بگیرید و منتظر اولین حمله یا مشکل امنیتی نمونید.
با چند تنظیم ساده و بررسی منظم، میتونید بخش زیادی از ریسکهای رایج رو کاهش بدید.
اگر این مطلب برایتان مفید بود، پیشنهاد میکنیم به مقاله آموزش Remote Desktop Services و مدیریت دسترسی ریموت نیز در بلاگ ما سر بزنید.
سوالات متداول
آیا Windows Defender برای امنیت ویندوز سرور کافیه؟
Windows Defender میتونه یکی از لایههای امنیتی سرور باشه، اما به تنهایی کافی نیست.
فایروال، آپدیتهای امنیتی، محدود کردن دسترسیها، امنیت RDP و بکاپ هم اهمیت زیادی دارن.
آیا بستن RDP باعث افزایش امنیت سرور میشه؟
اگر به RDP نیاز ندارید، غیرفعال کردنش میتونه سطح حمله سرور رو کاهش بده.
اگر به RDP نیاز دارید، بهتره دسترسی اون رو به IPهای مشخص یا VPN محدود کنید و از روشهای احراز هویت امن استفاده کنید.
آیا تغییر پورت RDP ضروریه؟
ضروری نیست. تغییر پورت میتونه بعضی اسکنها و حملات خودکار رو کاهش بده، اما جایگزین فایروال، VPN، MFA، NLA و رمز عبور قوی نمیشه.
هر چند وقت یک بار باید ویندوز سرور رو آپدیت کنیم؟
بهتره آپدیتهای امنیتی رو منظم بررسی و نصب کنید.
در سرورهای حساس هم قبل از اعمال آپدیت در محیط اصلی، بهتره سازگاری اون با سرویسها و نرمافزارهای مهم بررسی بشه.
بکاپ چه نقشی در امنیت ویندوز سرور داره؟
بکاپ از اطلاعات شما در برابر اتفاقاتی مثل حذف اشتباهی فایلها، خرابی سیستم و حملات باجافزاری محافظت میکنه.
بهتره نسخه بکاپ در محلی جدا از سرور اصلی نگهداری بشه و قابلیت بازیابی اون هم به صورت دورهای تست بشه.