Minimizando a superfície de ataque em 2012 R2 fresco

Question

Eu estou na seguinte situação, eu terei um novo servidor conectado à internet (se necessário, com um firewall entre a rede e ele simplesmente descartando todos os pacotes em outras portas além da que meu aplicativo está escutando).

Não requer nenhum serviço / recurso, não há instalação de terceiros, exceto pelo meu programa sendo executado nele (aplicativo de console respondendo diretamente a solicitações http).

Existe alguma coisa que eu deva fazer especificamente para reduzir a área exposta? Isso é para um servidor autônomo, sem rede interna, sem domínio, sem nada, apenas precisando lançar um aplicativo de console e uma área de trabalho remota (apenas eu, para fins de administração).

Além de bloquear todas as portas, exceto as usadas pelo meu aplicativo e pelo RDP no nível do firewall, há alguma coisa que eu deva alterar / desabilitar que eu possa não ter pensado ou uma nova instalação já está minimamente exposta?

A segurança deste servidor é crítica, portanto, sinta-se à vontade para adicionar sugestões de "nível paranóico", desde que ele não desative um aplicativo para ouvir & responder ao tráfego http em uma determinada porta

    

Answer 1

Você pode tentar converter o servidor para executar o Server Core, removendo a maior parte da GUI. Ele abaixará a superfície de ataque e, como um bônus extra, você precisará de menos patches para se manter seguro. Nem todos os aplicativos suportam isso, no entanto.

O Firewall do Windows ficou muito bom com o passar dos anos e você pode criar regras extremamente restritas com as configurações avançadas do firewall. Eu faço não acreditar que deixar o RDP aberto para a vida selvagem é menos seguro do que deixar a VPN aberta para a natureza. Ambos são conexões criptografadas, e ambos podem ser facilmente contornados por ataques de força bruta.

Uma maneira de evitar a maioria dos ataques de bruteforce do RDP é alterar a porta de escuta do RDP no registro:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp\PortNumber

Certifique-se de adicionar regras de firewall para permitir o tráfego RDP na porta personalizada antes de aplicar as alterações!

Também sugiro que você crie uma nova conta de administrador (se ainda não tiver) com um nome de usuário aleatório, use uma senha strong muito e desative a conta "Administrador" interna.