विंडोज सर्वर सर्वर पावर करने के लिए सबसे कॉमनली यूज होने वाले ऑपरेटिंग सिस्टम्स में से है। ऑपरेशन की नेचर (आमतौर पर बिजनेस) के कारण विंडोज सर्वर सिक्योरिटी एंटरप्राइज डेटा के लिए क्रिटिकल है।
डिफॉल्ट रूप से विंडोज सर्वर में कुछ सिक्योरिटी मेजर्स होते हैं। लेकिन आप और कर सकते हैं ताकि आपके विंडोज सर्वर्स को संभावित खतरों के खिलाफ पर्याप्त डिफेंस मिले। यहां आपके विंडोज सर्वर को सिक्योर करने के कुछ क्रिटिकल टिप्स हैं।
1. अपने विंडोज सर्वर को अप टू डेट रखें
यह ऑब्वियस लग सकता है, लेकिन विंडोज सर्वर इमेज के साथ इंस्टॉल्ड ज्यादातर सर्वर्स लेटेस्ट सिक्योरिटी और परफॉरमेंस अपडेट्स के बिना होते हैं। लेटेस्ट सिक्योरिटी पैच इंस्टॉल करना मैलिशियस अटैक्स से सिस्टम बचाने के लिए क्रूशियल है।
अगर आपने नया विंडोज सर्वर सेटअप किया है या क्रेडेंशियल्स मिले हैं, तो पक्का करें कि आपके कंप्यूटर के लिए अवेलेबल सभी लेटेस्ट अपडेट्स डाउनलोड और इंस्टॉल हो जाएं। फीचर अपडेट कुछ समय के लिए डेफर कर सकते हैं, लेकिन सिक्योरिटी अपडेट्स अवेलेबल होते ही इंस्टॉल करें।
2. विंडोज सर्वर कोर के जरिए केवल एसेंशियल OS कंपोनेंट्स इंस्टॉल करें
विंडोज सर्वर 2012 और ऊपर, आप ऑपरेटिंग सिस्टम को इसके कोर मोड में यूज कर सकते हैं। Windows Server Core Mode मिनिमल इंस्टॉलेशन ऑप्शन है जो विंडोज सर्वर को GUI के बिना इंस्टॉल करता है, यानी रिड्यूस्ड फीचर्स।
Windows Server Core इंस्टॉल करने के कई फायदे हैं। ऑब्वियस: परफॉरमेंस एडवांटेज। सेम हार्डवेयर से अनयूटिलाइज्ड OS कंपोनेंट्स के कारण कम RAM और CPU जरूरत, बेहतर अपटाइम और बूट टाइम, कम पैचेज।
परफॉरमेंस बेनिफिट्स अच्छे हैं, लेकिन सिक्योरिटी बेनिफिट्स और बेहतर। कम टूल्स और अटैक वैक्टर्स वाले सिस्टम पर अटैक करना पूरी GUI-बेस्ड OS हैक करने से कठिन है। Windows Server Core अटैक सरफेस घटाता है, Windows Server RSAT (Remote Server Administration) टूल्स देता है और Core से GUI पर स्विच करने की क्षमता।
3. एडमिन अकाउंट प्रोटेक्ट करें
विंडोज सर्वर में डिफॉल्ट यूजर अकाउंट का नाम Administrator होता है। नतीजतन, ज्यादातर ब्रूट फोर्स अटैक्स इसी अकाउंट पर टार्गेटेड होते हैं। अकाउंट प्रोटेक्ट करने के लिए इसे रीनेम कर सकते हैं। या लोकल एडमिनिस्ट्रेटर अकाउंट पूरी तरह डिसेबल करके नया एडमिन अकाउंट बना सकते हैं।
लोकल एडमिन अकाउंट डिसेबल करने के बाद, चेक करें कि लोकल गेस्ट अकाउंट अवेलेबल तो नहीं। लोकल गेस्ट अकाउंट्स सबसे कम सिक्योर होते हैं, इसलिए जहां संभव हो उन्हें हटा दें। अनयूज्ड यूजर अकाउंट्स के लिए भी वही ट्रीटमेंट।
एक अच्छी पासवर्ड पॉलिसी जो रेगुलर पासवर्ड चेंज, नंबर्स, कैरेक्टर्स, स्पेशल कैरेक्टर्स के साथ कॉम्प्लेक्स और लेंथी पासवर्ड मांगती है, यूजर अकाउंट्स को ब्रूट फोर्स अटैक्स से सिक्योर करने में मदद कर सकती है।
4. NTP कॉन्फिगरेशन
अपने सर्वर को NTP (Network Time Synchronization) सर्वर्स के साथ टाइम सिंक करने के लिए कॉन्फिगर करना महत्वपूर्ण है ताकि क्लॉक ड्रिफ्ट रोका जा सके। यह एसेंशियल है क्योंकि कुछ मिनटों का अंतर भी कई फंक्शन्स तोड़ सकता है, जिसमें विंडोज लॉगिन शामिल है।
ऑर्गनाइजेशंस नेटवर्क डिवाइसेज यूज करते हैं जो इंटरनल क्लॉक्स यूज करते हैं या पब्लिक इंटरनेट टाइम सर्वर पर सिंक्रोनाइजेशन के लिए निर्भर होते हैं। डोमेन मेंबर्स सर्वर्स का टाइम आमतौर पर डोमेन कंट्रोलर के साथ सिंक होता है। हालांकि, स्टैंड-अलोन सर्वर्स के लिए आपको NTP एक्सटर्नल सोर्स पर सेटअप करना होगा रीप्ले अटैक्स रोकने के लिए।
5. विंडोज फायरवॉल और एंटीवायरस इनेबल और कॉन्फिगर करें
विंडोज सर्वर्स बिल्ट-इन फायरवॉल और एंटीवायरस टूल के साथ आते हैं। जिन सर्वर्स पर हार्डवेयर फायरवॉल नहीं है, वहां विंडोज फायरवॉल अटैक सरफेस घटाकर और ट्रैफिक को जरूरी पाथवेज तक लिमिट करके साइबर अटैक्स के खिलाफ अच्छी प्रोटेक्शन दे सकता है। लेकिन हार्डवेयर-बेस्ड या क्लाउड-बेस्ड फायरवॉल ज्यादा प्रोटेक्शन देगा और आपके सर्वर से लोड हटाएगा।
फायरवॉल कॉन्फिगर करना मेसी टास्क हो सकता है और शुरुआत में मास्टर करना कठिन। लेकिन अगर सही से कॉन्फिगर न हो, तो अनऑथराइज्ड क्लाइंट्स के लिए एक्सेसिबल ओपन पोर्ट्स सर्वर्स के लिए बड़ा सिक्योरिटी रिस्क बन सकते हैं। इसके यूज के लिए बने नियमों और अन्य एट्रिब्यूट्स को फ्यूचर रेफरेंस के लिए नोट करके रखें।
6. रिमोट डेस्कटॉप (RDP) सिक्योर करें
अगर RDP (Remote Desktop Protocol) यूज करते हैं, तो पक्का करें कि यह इंटरनेट पर ओपन नहीं है। अनऑथराइज्ड एक्सेस रोकने के लिए डिफॉल्ट पोर्ट बदलें, और अगर डेडिकेटेड IP एड्रेस एक्सेस है तो RDP एक्सेस को स्पेसिफिक IP एड्रेस तक रेस्ट्रिक्ट करें। आप यह भी तय कर सकते हैं कि कौन RDP एक्सेस और यूज कर सकता है, क्योंकि यह डिफॉल्ट रूप से सर्वर पर सभी यूजर्स के लिए इनेबल होता है।
साथ ही RDP सिक्योर करने के लिए बाकी बेसिक सिक्योरिटी मेजर्स भी अपनाएं: स्ट्रॉन्ग पासवर्ड, टू-फैक्टर ऑथेंटिकेशन, सॉफ्टवेयर अप टू डेट रखें, एडवांस्ड फायरवॉल सेटिंग्स से एक्सेस रेस्ट्रिक्ट करें, नेटवर्क-लेवल ऑथेंटिकेशन इनेबल करें, अकाउंट लॉकआउट पॉलिसी सेट करें।
7. बिटलॉकर ड्राइव एन्क्रिप्शन इनेबल करें
विंडोज 10 प्रो की तरह, ऑपरेटिंग सिस्टम के सर्वर एडिशन में बिल्ट-इन ड्राइव एन्क्रिप्शन टूल BitLocker आता है। सिक्योरिटी प्रोस इसे बेस्ट एन्क्रिप्शन टूल्स में मानते हैं क्योंकि यह आपको पूरी हार्ड ड्राइव एन्क्रिप्ट करने देता है भले ही आपके सर्वर की फिजिकल सिक्योरिटी भंग हो जाए।
एन्क्रिप्शन के दौरान, BitLocker आपके कंप्यूटर के बारे में इन्फॉर्मेशन कैप्चर करता है और कंप्यूटर की ऑथेंटिसिटी वेरिफाई करने के लिए यूज करता है। वेरिफाई होने पर आप पासवर्ड से लॉगिन कर सकते हैं। संदिग्ध एक्टिविटी डिटेक्ट होने पर BitLocker रिकवरी की मांगेगा। डिक्रिप्शन की न मिलने तक डेटा लॉक्ड रहेगा।
अगर हार्ड ड्राइव एन्क्रिप्शन में नए हैं, तो विंडोज 10 में BitLocker यूज करने की इस डिटेल्ड गाइड को देखें।
8. माइक्रोसॉफ्ट बेसलाइन सिक्योरिटी एनालाइजर यूज करें
Microsoft Baseline Security Analyzer (MBSA) IT प्रोफेशनल्स द्वारा यूज किया जाने वाला फ्री सिक्योरिटी टूल है जो उनके सर्वर्स की सिक्योरिटी मैनेज करने में मदद करता है। यह सर्वर के साथ सिक्योरिटी इश्यूज और मिसिंग अपडेट्स ढूंढता है और माइक्रोसॉफ्ट की सिक्योरिटी रिकमेंडेशन्स के अनुसार रेमेडिएशन गाइडेंस रिकमेंड करता है।
यूज करने पर, MBSA विंडोज एडमिनिस्ट्रेटिव वल्नरेबिलिटीज चेक करता है जैसे कमजोर पासवर्ड, SQL और IIS वल्नरेबिलिटीज की मौजूदगी, इंडिविजुअल सिस्टम्स पर मिसिंग सिक्योरिटी अपडेट्स। यह IP एड्रेस, डोमेन और अन्य एट्रिब्यूट्स द्वारा इंडिविजुअल या ग्रुप ऑफ कंप्यूटर्स स्कैन कर सकता है। अंत में डिटेल्ड सिक्योरिटी रिपोर्ट तैयार होकर ग्राफिकल यूजर इंटरफेस पर HTML में दिखाई जाती है।
9. लॉग मॉनिटरिंग कॉन्फिगर करें और अनावश्यक नेटवर्क पोर्ट्स डिसेबल करें
विंडोज सर्वर और इंस्टॉल्ड कंपोनेंट्स द्वारा यूज न होने वाली या अनावश्यक सर्विसेज/प्रोटोकॉल्स डिसेबल होनी चाहिए। पोर्ट स्कैन चलाकर चेक करें कि कौन सी नेटवर्क सर्विसेज इंटरनेट पर एक्सपोज्ड हैं।
लॉगिन अटेम्प्ट्स मॉनिटर करना इंट्रूजन रोकने और सर्वर को ब्रूट फोर्स अटैक्स से बचाने के लिए उपयोगी है। डेडिकेटेड इंट्रूजन प्रिवेंशन टूल्स सभी लॉग फाइल्स देखने/रिव्यू करने और संदिग्ध एक्टिविटी डिटेक्ट होने पर अलर्ट भेजने में मदद कर सकते हैं। अलर्ट्स के आधार पर, उन IP एड्रेसेज को अपने सर्वर्स से कनेक्ट होने से ब्लॉक करने के लिए उचित एक्शन ले सकते हैं।
विंडोज सर्वर हार्डनिंग साइबर अटैक्स का रिस्क घटा सकती है!
जब आपके विंडोज सर्वर सिक्योरिटी की बात आती है, तो सिस्टम को रेगुलरली सिक्योरिटी रिस्क्स के लिए ऑडिट करके टॉप पर रहना हमेशा अच्छा होता है। लेटेस्ट अपडेट्स इंस्टॉल करके, एडमिन अकाउंट प्रोटेक्ट करके, जब भी संभव हो Windows Server Core मोड यूज करके, और BitLocker के जरिए ड्राइव एन्क्रिप्शन इनेबल करके शुरू कर सकते हैं।
विंडोज सर्वर कंज्यूमर एडिशन विंडोज 10 के समान कोड शेयर कर सकता है और दिखने में समान लग सकता है, लेकिन इसे कॉन्फिगर और यूज करने का तरीका बहुत अलग है।
