افزایش امنیت ویندوز سرور

امنیت ویندوز سرور یکی از مهم‌ترین موضوعات برای مدیران شبکه و صاحبان کسب‌وکارهای آنلاین است. با افزایش تهدیدات سایبری، اتخاذ تدابیر امنیتی مناسب ضروری است. در این مقاله، ۲۰ روش برتر برای افزایش امنیت ویندوز سرور را بررسی می‌کنیم.

۱. به‌روزرسانی منظم سیستم‌عامل و نرم‌افزارها

یکی از ساده‌ترین اما مؤثرترین راه‌ها برای افزایش امنیت ویندوز سرور، به‌روزرسانی مداوم آن است. مایکروسافت به‌طور منظم به‌روزرسانی‌های امنیتی را منتشر می‌کند که آسیب‌پذیری‌های کشف‌شده را برطرف می‌کنند.

۲. استفاده از فایروال ویندوز و تنظیمات آن

فایروال ویندوز به شما امکان می‌دهد تا ترافیک ورودی و خروجی را کنترل کنید. با تنظیم قوانین سخت‌گیرانه در فایروال، می‌توانید از دسترسی‌های غیرمجاز جلوگیری کنید.

۳. غیرفعال کردن حساب Administrator پیش‌فرض

حساب کاربری پیش‌فرض Administrator یک هدف اصلی برای هکرها است. ایجاد یک حساب کاربری جدید با سطح دسترسی بالا و غیرفعال کردن حساب پیش‌فرض امنیت سرور را افزایش می‌دهد.

غیرفعال کردن حساب Administrator پیش‌فرض

مراحل:

1. کلیدهای Win + R را فشار دهید و lusrmgr.msc را تایپ کنید و Enter بزنید.

2. در پنجره Local Users and Groups، به مسیر Users بروید.

3. روی Administrator راست‌کلیک کنید و گزینه Properties را انتخاب کنید.

4. گزینه Account is disabled را فعال کنید و OK را بزنید.

🔹 نکته: قبل از غیرفعال کردن حساب، یک کاربر جدید با سطح دسترسی Administrator ایجاد کنید.

۴. استفاده از احراز هویت چندمرحله‌ای (MFA)

MFA باعث می‌شود که حتی اگر رمز عبور شما لو برود، مهاجم نتواند به سرور دسترسی پیدا کند. می‌توانید از ابزارهایی مانند Microsoft Authenticator استفاده کنید.

فعال کردن احراز هویت چندمرحله‌ای (MFA) برای ورود به سرور

برای فعال‌سازی MFA، می‌توانید از Microsoft Azure MFA یا نرم‌افزارهایی مانند Duo Security استفاده کنید.

مراحل استفاده از Microsoft Azure MFA:

1. به Azure AD وارد شوید و به Azure Active Directory بروید.

2. در قسمت Security، گزینه Multi-Factor Authentication را انتخاب کنید.

3. کاربران موردنظر را انتخاب کرده و گزینه Enable را فعال کنید.

4. هنگام ورود به سرور، از کاربر درخواست می‌شود که با یک دستگاه دیگر (مثلاً گوشی) هویت خود را تأیید کند.

🔹 نتیجه: حتی اگر رمز عبور فاش شود، بدون تأیید دومرحله‌ای ورود ممکن نخواهد بود.

۵. محدود کردن دسترسی کاربران به حداقل مورد نیاز

به کاربران فقط همان سطح دسترسی‌ای را بدهید که برای انجام وظایف خود نیاز دارند. استفاده از اصل کمترین سطح دسترسی (Least Privilege) می‌تواند خطرات را کاهش دهد.

۶. استفاده از رمزهای عبور قوی و تغییر دوره‌ای آن‌ها

رمز عبور کاربران باید پیچیده، حداقل ۱۲ کاراکتر و شامل حروف بزرگ، کوچک، اعداد و نمادها باشد. همچنین، توصیه می‌شود که کاربران هر ۶۰ الی ۹۰ روز رمز خود را تغییر دهند.

۷. فعال کردن BitLocker برای رمزگذاری داده‌ها

BitLocker یک ابزار رمزگذاری داخلی در ویندوز سرور است که از داده‌های شما در برابر دسترسی غیرمجاز محافظت می‌کند. فعال کردن آن روی درایوهای مهم بسیار توصیه می‌شود.

فعال کردن BitLocker برای رمزگذاری درایوها

مراحل:

• در Start جستجو کنید: BitLocker Drive Encryption و باز کنید.
• درایوی که می‌خواهید رمزگذاری کنید، انتخاب کرده و روی Turn On BitLocker کلیک کنید.
• یک روش رمزگذاری انتخاب کنید (رمز عبور یا کلید USB).
• یک روش برای بازیابی کلید انتخاب کنید (مایکروسافت اکانت، فایل، یا پرینت).
• نوع رمزگذاری را انتخاب کنید (استفاده از حالت جدید یا سازگاری با نسخه‌های قدیمی‌تر).
• Start Encrypting را بزنید و منتظر بمانید تا فرآیند تکمیل شود.

🔹 نتیجه: با فعال بودن BitLocker، حتی اگر دیسک سرور دزدیده شود، اطلاعات آن غیرقابل دسترسی خواهد بود.

۸. نظارت بر لاگ‌های امنیتی (Event Viewer)

ویندوز سرور دارای بخش Event Viewer است که تمامی رخدادهای امنیتی را ثبت می‌کند. بررسی مرتب این لاگ‌ها می‌تواند نشانه‌های حملات را آشکار کند.

۹. غیرفعال کردن سرویس‌ها و پروتکل‌های غیرضروری

بسیاری از سرورها دارای سرویس‌هایی هستند که مورد استفاده قرار نمی‌گیرند. غیرفعال کردن سرویس‌های غیرضروری، سطح حمله را کاهش می‌دهد و امنیت را بهبود می‌بخشد.

۱۰. استفاده از Windows Defender یا آنتی‌ویروس معتبر

Windows Defender یک آنتی‌ویروس پیش‌فرض قدرتمند است، اما در صورت نیاز می‌توان از نرم‌افزارهای امنیتی دیگر مانند Bitdefender یا Kaspersky برای حفاظت بهتر استفاده کرد.

فعال‌سازی Windows Defender Application Control (WDAC) برای جلوگیری از اجرای نرم‌افزارهای مخرب

WDAC یکی از قابلیت‌های امنیتی پیشرفته ویندوز سرور است که اجازه می‌دهد فقط برنامه‌های تاییدشده اجرا شوند.

مراحل:

1. کلیدهای Win + R را فشار دهید و gpedit.msc را تایپ کنید و Enter بزنید.

2. به مسیر زیر بروید:

   Computer Configuration > Administrative Templates > System > Device Guard

3. گزینه Turn on Virtualization Based Security را پیدا کنید و روی آن دابل‌کلیک کنید.

   • گزینه Enabled را انتخاب کنید.

4. گزینه Deploy Windows Defender Application Control را پیدا کرده و فعال کنید.

5. سیستم را Restart کنید تا تغییرات اعمال شوند.

🔹 نتیجه: فقط برنامه‌های مجاز اجرا خواهند شد و بدافزارها قادر به اجرا نخواهند بود.

۱۱. تنظیم حساب‌های کاربری با Policy‌های امنیتی مناسب

استفاده از Group Policy در ویندوز سرور، این امکان را فراهم می‌کند که بتوانید تنظیمات امنیتی دقیقی برای کاربران تعریف کنید و از اجرای سیاست‌های امنیتی اطمینان حاصل کنید.

ایجاد سیاست‌های امنیتی با Group Policy

مراحل:

1. کلیدهای Win + R را فشار دهید و gpedit.msc را تایپ کنید و Enter بزنید.

2. برای تنظیم سیاست‌های رمز عبور، به مسیر زیر بروید:

   Computer Configuration > Windows Settings > Security Settings > Account Policies > Password Policy
   

3. مقادیر زیر را تنظیم کنید:

   • Minimum password length: حداقل ۱۲ کاراکتر

   • Password must meet complexity requirements: فعال شود

   • Maximum password age: ۶۰ روز

4. روی Apply و سپس OK کلیک کنید.

🔹 نتیجه: کاربران مجبور خواهند شد از رمزهای پیچیده و قوی استفاده کنند.

۱۲. محدود کردن تعداد تلاش‌های ورود ناموفق

با تنظیم Account Lockout Policy، می‌توان مشخص کرد که اگر یک کاربر چندین بار رمز را اشتباه وارد کرد، حساب او به‌طور موقت قفل شود. این کار از حملات Brute Force جلوگیری می‌کند.

تنظیم محدودیت برای تلاش‌های ورود ناموفق (Account Lockout Policy)

مراحل:

• کلیدهای Win + R را فشار دهید و gpedit.msc را تایپ کنید و Enter بزنید.

• به مسیر زیر بروید:

Computer Configuration > Windows Settings > Security Settings > Account Policies > Account Lockout Policy

• روی Account lockout threshold دابل‌کلیک کنید و مقدار مناسبی (مثلاً ۳ یا ۵ تلاش ناموفق) تنظیم کنید.

• روی Apply و سپس OK کلیک کنید.

🔹 نتیجه: بعد از تعداد مشخصی تلاش ناموفق، حساب قفل شده و فقط مدیر سیستم می‌تواند آن را باز کند.

۱۳. تغییر پورت پیش‌فرض Remote Desktop (RDP)

مراحل:

1. کلیدهای Win + R را فشار دهید و regedit را تایپ کرده و Enter بزنید.

2. به مسیر زیر بروید:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

3. مقدار PortNumber را پیدا کنید، روی آن دابل‌کلیک کنید و مقدار آن را از 3389 به عددی دلخواه (مثلاً 54321) تغییر دهید.

4. روی OK کلیک کنید و رجیستری را ببندید.

5. Windows Firewall را باز کنید و یک Rule جدید برای پورت جدید ایجاد کنید.

6. سیستم را Restart کنید تا تغییرات اعمال شود.

🔹 نتیجه: تغییر پورت پیش‌فرض RDP، سرور را در برابر حملات Brute Force ایمن‌تر می‌کند.

۱۴. غیرفعال کردن Remote Desktop (RDP) در صورت عدم نیاز

اگر نیازی به RDP ندارید، آن را غیرفعال کنید. در صورت نیاز به استفاده از آن، می‌توانید با تغییر پورت پیش‌فرض و استفاده از MFA امنیت آن را بهبود دهید.

۱۵. تنظیمات امنیتی برای سرویس‌های وب (IIS Hardening)

اگر سرور شما به‌عنوان یک وب سرور عمل می‌کند، حتماً Internet Information Services (IIS) را بهینه‌سازی کرده و سرویس‌های ناامن را غیرفعال کنید.

۱۶. استفاده از نرم‌افزارهای مانیتورینگ سرور

ابزارهایی مانند PRTG Network Monitor یا Nagios می‌توانند فعالیت‌های مشکوک را شناسایی کرده و از حملات جلوگیری کنند.

۱۷. تنظیم هشدارهای امنیتی و ارسال نوتیفیکیشن

می‌توانید سرور را طوری تنظیم کنید که در صورت تشخیص رفتار مشکوک، به مدیر سیستم هشدار داده شود تا اقدامات لازم را انجام دهد.

تنظیم هشدارهای امنیتی و ارسال نوتیفیکیشن در ویندوز سرور

با تنظیم هشدارهای امنیتی، می‌توان از تلاش‌های ورود ناموفق، تغییرات غیرمجاز در فایل‌ها و سایر رویدادهای مشکوک مطلع شد.

مراحل:

1. کلیدهای Win + R را فشار دهید و taskschd.msc را تایپ کرده و Enter بزنید.

2. در بخش Task Scheduler, روی Create Task کلیک کنید.

3. در تب General, یک نام برای تسک (مثلاً “Security Alerts”) انتخاب کنید.

4. به تب Triggers بروید و روی New کلیک کنید.

   • گزینه On an event را انتخاب کنید.

   • Log را روی Security قرار دهید.

   • Event ID را وارد کنید (مثلاً 4625 برای ورود ناموفق).

5. به تب Actions بروید و روی New کلیک کنید.

   • گزینه Send an email را انتخاب کنید.

   • ایمیل خود را وارد کرده و تنظیمات SMTP را انجام دهید.

6. تنظیمات را ذخیره کرده و OK بزنید.

🔹 نتیجه: با هر تلاش ورود ناموفق، به ایمیل شما هشدار ارسال خواهد شد.

۱۸. بررسی و بهبود امنیت پایگاه‌ داده‌ها

اگر از پایگاه داده‌ای مانند SQL Server استفاده می‌کنید، حتماً دسترسی‌های کاربران را محدود کرده و امکان اتصال از راه دور را فقط در صورت نیاز فعال کنید.

بررسی و بهبود امنیت پایگاه داده SQL Server

پایگاه داده‌ها یکی از مهم‌ترین اهداف هکرها هستند، بنابراین باید تنظیمات امنیتی مناسبی برای آن‌ها اعمال شود.

مراحل برای افزایش امنیت SQL Server:

1. حذف یا تغییر نام حساب sa (System Administrator):

   • در SQL Server Management Studio (SSMS) به Security > Logins بروید.

   • روی sa راست‌کلیک کرده و Rename را انتخاب کنید.

   • یک نام جدید برای آن انتخاب کنید.

2. فعال کردن احراز هویت ویندوز به جای احراز هویت SQL Server:

   • در SSMS به Server Properties بروید.

   • در تب Security، گزینه Windows Authentication Mode را انتخاب کنید.

3. محدود کردن دسترسی‌های کاربران:

   • به Security > Logins بروید و سطح دسترسی کاربران را بررسی کنید.

   • دسترسی‌های غیرضروری را حذف کنید.

4. فعال کردن SSL برای ارتباطات امن:

   • در SQL Server Configuration Manager، به Protocols for SQL Server بروید.

   • روی Properties کلیک کنید و گزینه Force Encryption را فعال کنید.

🔹 نتیجه: این تغییرات باعث افزایش امنیت پایگاه داده و جلوگیری از حملات SQL Injection و دسترسی‌های غیرمجاز می‌شود.

۱۹. ایجاد و اجرای برنامه پشتیبان‌گیری (Backup Plan)

تهیه نسخه‌های پشتیبان از اطلاعات و تنظیمات سرور در بازه‌های زمانی منظم، باعث می‌شود که در صورت حمله سایبری یا خرابی سخت‌افزاری، اطلاعات از دست نروند.

ایجاد و اجرای یک برنامه پشتیبان‌گیری خودکار از داده‌ها

پشتیبان‌گیری منظم از داده‌ها یکی از مهم‌ترین اقدامات امنیتی است که در صورت حملات سایبری یا خرابی سخت‌افزاری، اطلاعات شما را نجات می‌دهد.

مراحل برای تنظیم بکاپ خودکار در ویندوز سرور:

1. Windows Server Backup را نصب کنید:

   • در Server Manager، روی Add roles and features کلیک کنید.

   • در بخش Features، گزینه Windows Server Backup را فعال کنید و نصب کنید.

2. تنظیم بکاپ زمان‌بندی‌شده:

   • Windows Server Backup را باز کنید.

   • روی Backup Schedule کلیک کنید.

   • گزینه Full Server Backup را انتخاب کنید.

   • محل ذخیره‌سازی را مشخص کنید (دیسک محلی، درایو شبکه یا فضای ابری).

   • زمان اجرای بکاپ را مشخص کنید (مثلاً روزانه یا هفتگی).

   • تنظیمات را ذخیره کرده و Finish را بزنید.

🔹 نتیجه: بکاپ‌گیری خودکار از اطلاعات و تنظیمات سرور انجام می‌شود و در صورت بروز مشکل، می‌توان اطلاعات را بازیابی کرد.

۲۰. تست نفوذ و ارزیابی امنیتی منظم

انجام تست‌های نفوذ (Penetration Testing) توسط کارشناسان امنیتی، نقاط ضعف سرور را مشخص کرده و به شما کمک می‌کند تا مشکلات را قبل از سوءاستفاده مهاجمان برطرف کنید.

نتیجه‌گیری

با پیاده‌سازی این ۲۰ راهکار امنیتی، می‌توان ویندوز سرور را در برابر تهدیدات سایبری مقاوم‌تر کرد. امنیت یک فرآیند مداوم است و نیاز به نظارت و به‌روزرسانی مستمر دارد. اگر مسئول مدیریت یک ویندوز سرور هستید، همین حالا اقدام کنید و امنیت سرور خود را ارتقا دهید.