Microsoft AZ-801: Sicurezza e Hardening di Windows Server — Guida allo studio

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Fa parte della Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Guida allo studio. Esercitati con risposte verificate nel centro esami Microsoft, oppure fai test cronometrati su ExamRoll.io.

Panoramica

L’hardening di Windows Server è un’attività su più livelli che dà priorità all’isolamento delle identità, al controllo delle applicazioni, alla mitigazione di exploit e malware e a perimetri di rete rigorosi, applicati in modo coerente con baseline ripetibili. L’obiettivo è prevenire il furto di credenziali, ridurre la superficie di attacco con controlli di tipo default-deny, rilevare e contenere comportamenti malevoli e verificare l’efficacia della configurazione tramite report. Le funzionalità descritte di seguito sono native delle versioni moderne di Windows Server e si integrano con la gestione su larga scala tramite Group Policy, PowerShell e i servizi di sicurezza Microsoft.

Protezione delle Identità e delle Credenziali

Windows Defender Credential Guard utilizza la sicurezza basata sulla virtualizzazione (VBS) per isolare i segreti dal sistema operativo, in modo che LSASS non possa essere analizzato (scraped) da malware. I requisiti per la VBS includono UEFI 2.3.1 con Secure Boot, virtualizzazione assistita da hardware (Intel VT-x/AMD-V con SLAT) e TPM 2.0 (fortemente raccomandato per la protezione delle chiavi). Per le VM, utilizzare macchine di Generazione 2 con Secure Boot e un vTPM; la VBS viene eseguita utilizzando l’hypervisor di Windows e non richiede l’installazione del ruolo Hyper-V.

Abilitare Credential Guard tramite Group Policy: Configurazione computer > Modelli amministrativi > Sistema > Device Guard > Attiva la sicurezza basata sulla virtualizzazione. Impostare Protezione basata sulla virtualizzazione dell’integrità del codice su Abilitato, scegliere Configurazione di Credential Guard come Abilitato con Secure Boot (o con Secure Boot e protezione DMA, dove supportato). È richiesto un riavvio. Verificare in msinfo32: Sicurezza basata sulla virtualizzazione: In esecuzione; Credential Guard: Attivato. Gli eventi vengono registrati in Microsoft-Windows-CodeIntegrity/Operational e DeviceGuard.

La protezione della Local Security Authority (LSA) integra Credential Guard. Configurare LSASS per l’esecuzione come processo protetto (PPL) per bloccare l’iniezione di codice non firmato anche da parte degli amministratori. Utilizzare Group Policy: Configurazione computer > Modelli amministrativi > Sistema > Local Security Authority > Configura LSASS per l’esecuzione come processo protetto. Questa impostazione attiva RunAsPPL, forzando l’uso esclusivo di driver firmati e attendibili. Credential Guard isola i segreti in un processo LSAISO protetto da VSM; LSASS PPL rafforza il perimetro del processo LSASS. Abilitare entrambi per una difesa in profondità (defense-in-depth).

Le Privileged Access Workstation (PAW) rendono operativo l’isolamento delle credenziali. Adottare un modello di amministrazione a più livelli (tiered):

Tier 0: AD DS, ADFS, PKI, radici di attendibilità (roots of trust) per l’identità e la sicurezza
Tier 1: server applicativi e di infrastruttura
Tier 2: workstation degli utenti Ogni livello utilizza account amministrativi separati e PAW dedicate. Le PAW sono sottoposte a hardening con Credential Guard, WDAC, HVCI (Integrità della memoria), SmartScreen, navigazione limitata e regole di egress del firewall restrittive. Bloccare i percorsi di accesso tra livelli (nessun amministratore di Tier 0 deve accedere a dispositivi di Tier 1 o 2). Questo modello riduce materialmente il raggio di impatto del furto di credenziali.

Controllo delle Applicazioni e Gestione della Superficie d’Attacco

Windows Defender Application Control (WDAC) applica una policy di tipo “default-deny” (nega per impostazione predefinita) per il codice. I tipi di policy includono una singola policy di base (SiPolicy) e policy supplementari opzionali per estendere le regole di autorizzazione senza modificare la base. Le versioni moderne di Windows Server supportano più policy contemporaneamente. WDAC governa sia i binari/script in modalità utente (user-mode) sia i driver in modalità kernel (kernel-mode). La fiducia (trust) può essere definita tramite firme Microsoft, WHQL, Windows Store, il certificato di firma del codice aziendale, l’hash di un file, attributi dell’editore/file o un “Managed Installer” che contrassegna il codice distribuito come attendibile. Distribuire prima in modalità Audit per raccogliere eventi, poi passare alla modalità Enforced per bloccare. Creare le policy utilizzando il modulo PowerShell ConfigCI:

undefined

;

undefined

per il consolidamento;

undefined

per marcare gli ID delle policy;

undefined

per generare il file firmato .p7b; distribuire in

undefined

o tramite Group Policy. WDAC può anche limitare l’uso e la registrazione delle classi COM per prevenire abusi malevoli di COM.

Exploit protection fornisce mitigazioni dei processi a livello globale e per singola applicazione. Le mitigazioni a livello di sistema includono DEP, ASLR (forzatura della rilocazione, randomizzazione bottom-up, alta entropia), CFG, SEHOP e policy restrittive per la gestione degli handle e il caricamento delle immagini. Gli override a livello di applicazione consentono una regolazione granulare, come l’abilitazione/disabilitazione di Child Process Creation, Export Address Filtering o Arbitrary Code Guard per un eseguibile specifico. Gestire con l’app Sicurezza di Windows (Controllo app e browser > Protezione dagli exploit) o PowerShell:

undefined

;

undefined

;

undefined

. Esportare/Importare file XML per la distribuzione su larga scala:

undefined

. Quando un’applicazione line-of-business deve generare processi figlio, creare un override per la singola app disabilitando quella mitigazione solo per l’eseguibile in questione.

Le regole di Riduzione della superficie di attacco (ASR) bloccano le tecniche di malware a livello comportamentale. Configurare per ogni regola in modalità Block (Blocca), Audit (Controlla) o Warn (Avvisa). Gli ID delle regole comuni includono:

D4F940AB-401B-4EFC-AADC-AD5F3C50688A: Blocca la creazione di processi figlio da parte delle app di Office
3B576869-A4EC-4529-8536-B80A7769E899: Blocca la creazione di contenuto eseguibile da parte delle app di Office
75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84: Blocca l’iniezione di codice in altri processi da parte delle app di Office
BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550: Blocca il contenuto eseguibile proveniente da client di posta elettronica e webmail
D3E037E1-3EB8-44C8-A917-57927947596D: Blocca l’avvio di eseguibili scaricati da parte di JavaScript/VBScript
5BEB7EFE-FD9A-4556-801D-275E5FFC04CC: Blocca l’esecuzione di script potenzialmente offuscati
D1E49AAC-8F56-4280-B9BA-993A6D77406C: Blocca la creazione di processi originati da comandi PSExec e WMI
01443614-CD74-433A-B99E-2ECDC07BFC25: Blocca gli eseguibili a meno che non soddisfino criteri di prevalenza, età o elenchi attendibili
9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2: Blocca il furto di credenziali da LSASS Gestire con PowerShell:

undefined

. Definire esclusioni di processi/file che si applicano solo ad ASR con

undefined

. Gli eventi vengono riportati nel Visualizzatore eventi in Microsoft-Windows-Windows Defender/Operational e, se l’endpoint è integrato in Microsoft Defender for Endpoint, nelle tabelle di ricerca avanzata (DeviceEvents, DeviceSecurityEvents) con identificatori espliciti delle regole ASR.

L’Accesso controllato alle cartelle (CFA) contrasta i ransomware limitando la scrittura in cartelle protette da parte di processi non attendibili. Le impostazioni predefinite includono le cartelle del profilo utente Documenti, Immagini, Desktop, Preferiti e altre; è possibile aggiungere percorsi personalizzati (inclusi volumi di dati che ospitano condivisioni di applicazioni). Consentire la scrittura a specifici binari line-of-business tramite le “app consentite”. Gestire usando

undefined

;

undefined

;

undefined

. Monitorare i blocchi nei registri eventi di Windows Defender e ottimizzare le app consentite sulla base di prove concrete, non di supposizioni.

Protezione degli Endpoint e Baseline di Sicurezza

Windows Defender Antivirus sui server fornisce protezione in tempo reale e scansioni pianificate/su richiesta (on-demand). I tipi di scansione includono Rapida (Quick), Completa (Full) e Personalizzata (Custom); pianificare gli aggiornamenti delle definizioni, del motore e della piattaforma tramite Group Policy o WSUS. Usare

undefined

per una scansione completa, o PowerShell

undefined

. Configurare le esclusioni (percorsi, processi, estensioni) con

undefined

, ma minimizzare le esclusioni e preferire voci precise basate sui processi; abbinarle ad ASR e WDAC per evitare rischi di compensazione. La protezione antimanomissione (Tamper Protection) impedisce modifiche non autorizzate alle impostazioni di Defender (registro e WMI) da parte di malware o amministratori locali; gestire centralmente tramite la gestione delle impostazioni di sicurezza di Microsoft Defender for Endpoint per i server. Abilitare la protezione fornita dal cloud (MAPS) e l’invio automatico di campioni per un blocco rapido delle minacce emergenti; verificare con

undefined

(AMServiceEnabled, AntispywareSignatureLastUpdated, IsTamperProtected, CloudProtectionEnabled).

Le baseline di sicurezza implementano un hardening collaudato su larga scala. Utilizzare il Microsoft Security Compliance Toolkit (MSCT) per scaricare le baseline di Windows Server (backup di GPO e documentazione). Importare le GPO di baseline tramite la Group Policy Management (clic destro su Oggetti Criteri di gruppo > Importa impostazioni) o applicarle localmente con LGPO.exe. Convalidare prima in una OU (Organizational Unit) di test. Utilizzare Policy Analyzer (parte di MSCT) per confrontare le GPO correnti e le policy locali con la baseline, identificare conflitti e produrre report sulle deviazioni. Documentare qualsiasi deviazione intenzionale con una giustificazione aziendale e un processo di change control, e rieseguire i confronti dopo i cicli di patch per mantenere la consapevolezza del “drift” (deriva).

Tutti i domini · Microsoft Defender for Cloud e Sicurezza degli Endpoint →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →