{"id":913842,"date":"2026-10-29T14:32:33","date_gmt":"2026-10-29T14:32:33","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/sicurezza-file-server-windows\/"},"modified":"2026-10-29T14:32:34","modified_gmt":"2026-10-29T14:32:34","slug":"sicurezza-file-server-windows","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/sicurezza-file-server-windows\/","title":{"rendered":"Come proteggere un file server Windows con privilegio minimo e crittografia (guida [year])"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Punti chiave<\/h2>\n<ul>\n<li>Applica il privilegio minimo: costruisci gli accessi con la progettazione dei gruppi AGDLP e l\u2019ereditariet\u00e0 delle autorizzazioni, per un modello prevedibile e verificabile.<\/li>\n<li>Crittografa i dati ovunque: abilita la crittografia SMB per ogni condivisione e BitLocker (oppure EFS per casi circoscritti e legati al singolo utente) per i dati a riposo.<\/li>\n<li>Applica l\u2019hardening a OS e autenticazione: disabilita ruoli inutilizzati e protocolli legacy; controlla l\u2019uso di NTLM e migra a Kerberos.<\/li>\n<li>Fai auditing con uno scopo: tieni traccia delle modifiche alle autorizzazioni e delle eliminazioni anzich\u00e9 dell\u2019attivit\u00e0 di lettura generica; inoltra i log a un SIEM per una visibilit\u00e0 centralizzata.<\/li>\n<li>Fai il backup di dati e ACL: preserva l\u2019SDDL durante i backup e testa regolarmente i ripristini; cos\u00ec ransomware o eliminazioni accidentali non comprometteranno il controllo degli accessi.<\/li>\n<li>Dimostralo ogni mese: pubblica un pacchetto di evidenze che copra le deviazioni delle ACL, lo stato della crittografia, la conformit\u00e0 delle patch e le eccezioni di accesso.<\/li>\n<li>Resta nel perimetro del supporto: verifica che l\u2019OS rientri nel ciclo di vita del supporto Microsoft e fai riferimento a ISO\/IEC 27001:2022 nella documentazione di conformit\u00e0.<\/li>\n<\/ul>\n<\/div>\n<p>I file server non restano sicuri da soli. Gli accessi si moltiplicano, i dati crescono e la visibilit\u00e0 si riduce, permettendo a problemi minori di trasformarsi in rischi concreti. La maggior parte delle checklist di hardening trascura le attivit\u00e0 di gestione quotidiana, come le revisioni degli accessi, il backup delle ACL e la documentazione delle modifiche. Questa guida trasforma la <strong>sicurezza dei file server Windows<\/strong> in un programma gestito, con controlli chiari, monitoraggio costante e risultati verificabili.<\/p>\n<h2>Metodi per costruire la sicurezza dei file server Windows con privilegio minimo e crittografia<\/h2>\n<p>Assicurati che il tuo ambiente soddisfi i seguenti requisiti di base prima di applicare i metodi descritti in questa guida.<\/p>\n<p><strong>P<\/strong><strong>rerequisiti generali:<\/strong><\/p>\n<ul>\n<li>Dominio Active Directory con unit\u00e0 organizzative (OU) e convenzioni di denominazione gi\u00e0 definite<\/li>\n<li>Proprietari dei dati assegnati per ogni condivisione e per ogni cartella di primo livello<\/li>\n<li>Standard di progettazione dei gruppi per <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/identity\/ad-ds\/plan\/security-best-practices\/implementing-least-privilege-administrative-models\" target=\"_blank\" rel=\"noopener\">AGDLP<\/a> o AGUDLP con convenzioni di denominazione chiare<\/li>\n<li>Checklist di configurazione di base per l\u2019OS del server e finestra di patching definita<\/li>\n<li>Area di raccolta delle evidenze per le esportazioni delle <a href=\"https:\/\/www.ninjaone.com\/it\/it-hub\/gestione-degli-endpoint\/lista-di-controllo-degli-accessi\/\">Access Control List (ACL)<\/a>, i log di audit e i pacchetti mensili<\/li>\n<li>Conferma che l\u2019OS del file server rientri nel ciclo di vita del supporto Microsoft (l\u2019ESU di Windows Server 2012\/2012 R2 termina il <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/get-started\/extended-security-updates-overview\" target=\"_blank\" rel=\"noopener\">13 ottobre 2026<\/a>, mentre il supporto esteso di 2016 termina il <a href=\"https:\/\/support.microsoft.com\/en-us\/servicing\/os\/windows-10\/2025\/10\/support-for-windows-server-2016-will-end-in-january-2027\" target=\"_blank\" rel=\"noopener\">12 gennaio 2027<\/a>)<\/li>\n<\/ul>\n<h3>Metodo 1: progettare il privilegio minimo con AGDLP<\/h3>\n<p>Inizia implementando l\u2019accesso NTFS con privilegio minimo usando il modello AGDLP: <span style=\"font-weight: normal !msorm;\"><strong>Accounts &gt; Global Groups &gt; Domain Local Groups &gt; Permissions<\/strong><\/span>. In questo modo crei una struttura di <a href=\"https:\/\/www.ninjaone.com\/it\/gestione-endpoint\/controllo-degli-accessi-basato-sui-ruoli\/\">controllo degli accessi basato sui ruoli (RBAC)<\/a> in <a href=\"https:\/\/www.ninjaone.com\/it-hub\/gestione-degli-endpoint\/what-is-active-directory\/\">Active Directory (AD)<\/a> che separa in modo netto utenti, ruoli e autorizzazioni. Definisce chi deve avere accesso e come le autorizzazioni si propagano in modo logico.<\/p>\n<p><strong>Situazione d\u2019uso: <\/strong>semplificare la gestione degli utenti durante l\u2019onboarding o l\u2019offboarding.<\/p>\n<p><strong>Passaggi:<\/strong><\/p>\n<ol>\n<li><a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/identity\/ad-ds\/manage\/understand-security-groups\" target=\"_blank\" rel=\"noopener\">Crea gruppi globali basati sui ruoli in AD<\/a> per lettori e collaboratori, suddivisi per reparto e livello di accesso (ad esempio, <strong>HR_Readers<\/strong> o <strong>Finance_Contributors<\/strong><b>)<\/b>.<\/li>\n<li>Crea gruppi locali di dominio che rappresentino i livelli di accesso su ogni radice di dati o cartella, come <strong>HR_Data_Read<\/strong> o <strong>Finance_Data_Write<\/strong>, per definire chi pu\u00f2 leggere o modificare i dati nella cartella condivisa.<\/li>\n<li>Annida ogni gruppo globale nei corrispondenti gruppi locali di dominio, cos\u00ec da collegare gli utenti alle autorizzazioni in modo indiretto e gestire gli accessi tramite le relazioni tra gruppi anzich\u00e9 modificando direttamente le ACL.<\/li>\n<li>Assegna le autorizzazioni <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/crittografia-file-ntfs-windows\/\">NTFS<\/a> ai gruppi locali di dominio sulle cartelle appropriate, usando la scheda Sicurezza in Esplora file oppure PowerShell.<\/li>\n<li>Aggiungi gli utenti solo ai gruppi globali. Evita di assegnare singoli utenti o gruppi globali direttamente alle ACL, cos\u00ec da mantenere un controllo degli accessi pulito e verificabile.<\/li>\n<li>Documenta il proprietario dei dati, responsabile dell\u2019approvazione degli accessi e della revisione periodica delle autorizzazioni, per ogni radice di cartella.<\/li>\n<\/ol>\n<h3>Metodo 2: creare un albero di cartelle canonico e mantenere l\u2019ereditariet\u00e0<\/h3>\n<p>Una volta definita la progettazione degli accessi con AGDLP, crea un albero di cartelle canonico che supporti il tuo modello di privilegio minimo. In questo modo la struttura dei file resta prevedibile, l\u2019assegnazione delle autorizzazioni si semplifica e le revisioni degli accessi e gli audit diventano pi\u00f9 facili da gestire.<\/p>\n<p><strong>Situazione d\u2019uso: <\/strong>organizzare i dati dei reparti con schemi di accesso prevedibili.<\/p>\n<p><strong>Passaggi:<\/strong><\/p>\n<ol>\n<li>Definisci una struttura di cartelle prevedibile e logica, che rispecchi reparti, ruoli e tipologie di dati della tua organizzazione.<\/li>\n<li>Mantieni l\u2019ereditariet\u00e0 delle autorizzazioni abilitata per impostazione predefinita, cos\u00ec da garantire un controllo degli accessi coerente in tutte le sottocartelle.<\/li>\n<li>Interrompi l\u2019ereditariet\u00e0 solo per aree riservate pianificate, in cui l\u2019accesso deve essere limitato in modo rigoroso e gestito in modo esplicito.<\/li>\n<li>Evita di usare autorizzazioni di tipo \u201cnega\u201d, a meno che non siano circoscritte con precisione e completamente documentate, per prevenire problemi di accesso.<\/li>\n<li>Imposta le autorizzazioni a livello di condivisione su <span style=\"font-weight: normal !msorm;\"><strong>Authenticated Users: Change, Read<\/strong><\/span> oppure <span style=\"font-weight: normal !msorm;\"><strong>Everyone: Read<\/strong><\/span> e applica il privilegio minimo tramite le ACL NTFS, per evitare configurazioni incoerenti.<\/li>\n<li>Rimuovi le cartelle ridondanti, verifica che l\u2019ereditariet\u00e0 sia rimasta intatta e assicurati che le nuove cartelle di reparto o di progetto seguano lo stesso modello di denominazione e autorizzazioni.<\/li>\n<\/ol>\n<h3>Metodo 3: crittografare i dati in transito e a riposo<\/h3>\n<p>Il livello di protezione successivo \u00e8 la crittografia, che rende i dati illeggibili agli utenti non autorizzati anche in caso di intercettazione o furto. La crittografia previene le fughe di dati e aiuta a soddisfare i <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/conformita-it\/\">requisiti di conformit\u00e0<\/a> come GDPR, HIPAA e ISO\/IEC 27001:2022.<\/p>\n<p>Ricorda che la finestra di transizione triennale dall\u2019edizione 2013 <a href=\"https:\/\/www.sgs.com\/en-us\/news\/2025\/09\/last-chance-to-transition-to-iso-iec-27001-2022-and-next-steps-if-you-miss-the-deadline\" target=\"_blank\" rel=\"noopener\">si \u00e8 chiusa il 31 ottobre 2025<\/a>, quindi i certificati ISO\/IEC 27001:2013 non sono pi\u00f9 validi. Fai riferimento all\u2019<a href=\"https:\/\/www.iso.org\/obp\/ui\/#iso:std:iso-iec:27001:ed-3:v1:en\" target=\"_blank\" rel=\"noopener\">edizione 2022<\/a> e ai controlli dell\u2019Allegato A ristrutturati in tutta la documentazione relativa alla conformit\u00e0.<\/p>\n<p><strong>Situazione d\u2019uso: <\/strong>proteggere i file sensibili condivisi in rete tra i reparti.<\/p>\n<p><strong>Passaggi:<\/strong><\/p>\n<ol>\n<li>Abilita la crittografia <a href=\"https:\/\/www.ninjaone.com\/it-hub\/sicurezza-degli-endpoint\/what-is-smb-server-message-block\/\">SMB<\/a> su ogni condivisione o server che contiene dati sensibili. Usa File Server Manager o PowerShell per attivare la crittografia SMB dove i client la supportano. Ad esempio:<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong><code>Set-SmbShare -Name \"Finance\" -EncryptData $true<\/code><\/strong><\/p>\n<p><strong>Nota: <\/strong>la crittografia SMB richiede il supporto di SMB 3.x da parte del client. I client Windows moderni (Windows 8, Windows Server 2012 e versioni successive) supportano SMB 3.x e negoziano automaticamente sessioni crittografate quando accedono a condivisioni crittografate. I client Linux e macOS devono utilizzare implementazioni SMB che supportino la crittografia SMB 3.x (ad esempio, versioni recenti di <strong>cifs-utils<\/strong> su Linux e release recenti di macOS). I client limitati a versioni SMB precedenti (SMB 1.x o 2.x) non possono connettersi alle condivisioni in cui la crittografia \u00e8 obbligatoria.<\/p>\n<p>A partire da Windows 11 versione 24H2 e Windows Server 2025, le impostazioni predefinite della firma SMB sono pi\u00f9 restrittive rispetto alle versioni precedenti, in cui la firma era richiesta per impostazione predefinita solo per SYSVOL, NETLOGON e il traffico dei domain controller. Windows Server 2025 ora richiede la firma SMB in uscita per impostazione predefinita; Windows 11 versione 24H2 (Enterprise, Pro ed Education) richiede per impostazione predefinita sia la firma in uscita sia quella in entrata. Anche l\u2019accesso di fallback come guest \u00e8 disabilitato per impostazione predefinita su Windows Server 2025 e Windows 11 versione 24H2 (Enterprise, Pro ed Education), mentre Windows 11 24H2 Home lo mantiene ancora abilitato.La crittografia SMB, per\u00f2, non \u00e8 ancora obbligatoria per impostazione predefinita in nessuna versione, quindi continua ad abilitarla esplicitamente per ogni condivisione come descritto sopra. Se il tuo file server o i suoi client utilizzano un OS meno recente, non dare per scontato che la firma sia gi\u00e0 applicata: verificalo direttamente con <span style=\"font-weight: normal !msorm;\"><strong>Get-SmbServerConfiguration<\/strong><\/span> e <span style=\"font-weight: normal !msorm;\"><strong>Get-SmbClientConfiguration<\/strong><\/span>.<\/p>\n<ol start=\"2\">\n<li>Usa <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/encrypting-file-system-efs\/\">Encrypting File System (EFS)<\/a> solo per scenari limitati e incentrati sull\u2019utente, in cui i file devono essere crittografati con chiavi specifiche dell\u2019utente.<\/li>\n<\/ol>\n<p>\ud83d\udca1 EFS si basa sui certificati di crittografia dell\u2019utente: senza un backup corretto dei certificati o un Data Recovery Agent (DRA) configurato, i file crittografati possono diventare definitivamente inaccessibili. Per i file server condivisi o i dati di reparto, \u00e8 preferibile usare BitLocker per la crittografia a riposo e la crittografia SMB per i dati in transito, perch\u00e9 sono pi\u00f9 scalabili e affidabili ed evitano la gestione dei certificati per singolo utente.<\/p>\n<ol start=\"3\">\n<li>Attiva BitLocker sulle unit\u00e0 del server che contengono cartelle condivise o backup, cos\u00ec da crittografare interi dischi e proteggere i dati a riposo con una gestione centralizzata delle chiavi.<\/li>\n<li>Documenta quali cartelle o condivisioni richiedono la crittografia, in base alla sensibilit\u00e0 dei dati e alle esigenze di conformit\u00e0.<\/li>\n<li>Definisci e testa le procedure di verifica per confermare che la crittografia sia attiva. Usa comandi <a href=\"https:\/\/www.ninjaone.com\/it\/it-hub\/gestione-degli-endpoint\/cos-e-powershell\/\">PowerShell<\/a> come Get-SmbShare e gli strumenti di gestione di BitLocker per verificare la crittografia su tutti i percorsi protetti.<\/li>\n<\/ol>\n<h3>Metodo 4: applicare l\u2019hardening all\u2019OS e ai servizi<\/h3>\n<p>Un sistema operativo vulnerabile o privo di patch pu\u00f2 compromettere l\u2019intera postura di sicurezza del tuo server Windows. L\u2019hardening dell\u2019OS e dei suoi servizi riduce la superficie di attacco e rafforza la difesa contro malware ed escalation dei privilegi.<\/p>\n<p><strong>Situazione d\u2019uso: <\/strong>preparare i server per la produzione in ambienti sicuri.<\/p>\n<p><strong>Passaggi:<\/strong><\/p>\n<ol>\n<li>Disabilita ruoli e caratteristiche inutilizzati per ridurre i potenziali punti di ingresso. Usa Server Manager o PowerShell per rimuovere i servizi non necessari alla funzione di file server, come IIS, Telnet o SMBv1.<\/li>\n<li>Limita l\u2019accesso interattivo ai soli amministratori e blocca gli accessi non necessari alla console del server.<\/li>\n<li>Applica soluzioni di protezione degli endpoint e software antivirus con esclusioni adeguate per le operazioni NTFS e gli strumenti di backup.<\/li>\n<li>Controlla l\u2019autenticazione NTLM e migra a Kerberos dove possibile, dato che Microsoft sta progressivamente portando NTLM verso la disattivazione predefinita nelle prossime versioni di Windows Server. Usa l\u2019auditing NTLM integrato in Windows Server 2025 e Windows 11 24H2 per individuare le dipendenze residue prima che causino interruzioni.<\/li>\n<li>Richiedi protocolli di canale sicuro come la firma SMB e TLS per imporre comunicazioni autenticate e protette. Usa inoltre la crittografia SMB dove \u00e8 necessario crittografare i dati dei file in transito.<\/li>\n<li>Mantieni una finestra di patch mensile costante per applicare aggiornamenti di sicurezza e correzioni di sistema.<\/li>\n<li>Registra le installazioni di patch riuscite e conserva i log per audit e risoluzione dei problemi.<\/li>\n<\/ol>\n<h3>Metodo 5: abilitare un auditing che risponda a domande reali<\/h3>\n<p>Un auditing efficace dei file server Windows deve fornire informazioni utili all\u2019azione. Invece di registrare tutto, concentrati sugli eventi che rispondono a domande operative e di sicurezza fondamentali: chi ha modificato le autorizzazioni, chi ha eliminato dei file o chi ha tentato di accedere a dati riservati.<\/p>\n<p><strong>Situazione d\u2019uso: <\/strong>monitorare cartelle critiche o riservate per rilevare accessi o modifiche non autorizzati.<\/p>\n<p><strong>Passaggi:<\/strong><\/p>\n<ol>\n<li>Configura l\u2019auditing tramite <strong>Configurazione avanzata dei criteri di controllo<\/strong> nella <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/console-di-gestione-dei-criteri-di-gruppo\/\">Console Gestione Criteri di gruppo (GPMC)<\/a> o nell\u2019editor dei criteri locali. Evita le impostazioni legacy dei criteri di controllo, che possono essere ignorate quando sono in uso i criteri avanzati.<\/li>\n<li>In GPMC, vai a: <strong>Configurazione del computer &gt; Criteri &gt; Impostazioni di Windows &gt; Impostazioni sicurezza &gt; Configurazione avanzata dei criteri di controllo &gt; Accesso agli oggetti &gt; Controlla file system<\/strong><b>.<\/b><\/li>\n<li>Abilita <strong>Controlla file system<\/strong> sia per gli eventi riusciti sia per quelli non riusciti.<\/li>\n<li>Applica l\u2019auditing NTFS aggiungendo le System Access Control List (SACL) alle radici delle cartelle sensibili. Registra le modifiche alle autorizzazioni, le operazioni di eliminazione e i tentativi di accesso non riusciti, anzich\u00e9 l\u2019attivit\u00e0 di lettura generica, per ridurre il rumore.<\/li>\n<li>Inoltra i log di audit al tuo sistema <a href=\"https:\/\/www.ninjaone.com\/it-hub\/sicurezza-degli-endpoint\/what-is-security-information-and-event-management-siem\/\">Security Information and Event Management (SIEM)<\/a> o di gestione dei log, per centralizzare la visibilit\u00e0 e correlare gli eventi con altri segnali di sicurezza.<\/li>\n<li>Associa gli eventi di audit al proprietario dei dati responsabile, cos\u00ec da semplificare le indagini e la responsabilit\u00e0. Usa una denominazione o metadati coerenti nel tuo SIEM.<\/li>\n<li>Misura il tasso di successo dell\u2019analisi dei log e la latenza, per confermare che il tuo SIEM acquisisca ed elabori i dati in modo affidabile.<\/li>\n<li>Conserva almeno 90-180 giorni di log dettagliati, o pi\u00f9 a lungo se richiesto dalla conformit\u00e0. Verifica che la rotazione dei log, il backup e i controlli di integrit\u00e0 funzionino correttamente.<\/li>\n<\/ol>\n<h3>Metodo 6: proteggersi da ransomware e modifiche di massa<\/h3>\n<p>Il ransomware e le modifiche massive ai file possono causare danni irreversibili al tuo file server. Con questo metodo applichi controlli che rilevano e contengono le modifiche non autorizzate, mantenendo disponibili le opzioni di ripristino.<\/p>\n<p><strong>Situazione d\u2019uso: <\/strong>impedire che un ransomware crittografi o elimini grandi volumi di file.<\/p>\n<p><strong>Passaggi:<\/strong><\/p>\n<ol>\n<li>Usa il file screening di <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows-server\/storage\/fsrm\/fsrm-overview\" target=\"_blank\" rel=\"noopener\">File Server Resource Manager (FSRM)<\/a> per bloccare o segnalare estensioni di file rischiose (come .exe, .js o .bat) nelle cartelle condivise in cui non sono necessarie. Installa FSRM sul file server e applica le regole di file screening a cartelle o condivisioni specifiche.<\/li>\n<li>Applica il privilegio minimo agli account di servizio, concedendo solo le autorizzazioni necessarie e rimuovendo l\u2019accesso in scrittura ai dati sensibili.<\/li>\n<li>Configura avvisi per picchi improvvisi di modifiche o eliminazioni, che possono indicare un ransomware o operazioni massive. Usa regole FSRM o SIEM per rilevare questo comportamento.<\/li>\n<\/ol>\n<p>\ud83d\udca1 FSRM pu\u00f2 generare avvisi di base basati su regole, ma non esegue analisi comportamentali o basate sulla frequenza e pu\u00f2 non rilevare picchi improvvisi di modifiche. Per un rilevamento affidabile, usa regole SIEM o strumenti dedicati di analitiche comportamentali o anti-ransomware, che analizzano gli schemi di attivit\u00e0 sui file e distinguono i comportamenti dannosi dalle operazioni massive legittime.<\/p>\n<ol start=\"4\">\n<li>Mantieni backup offline o immutabili che il ransomware non possa alterare e testali regolarmente per confermare che il ripristino avvenga correttamente.<\/li>\n<li>Documenta i passaggi di passaggio al ripristino, indicando chi avvia il restore, come vengono convalidati i dati e come viene ripristinato l\u2019accesso.<\/li>\n<\/ol>\n<h3>Metodo 7: eseguire il backup di dati e ACL insieme<\/h3>\n<p>Fare il backup dei file senza le relative autorizzazioni pu\u00f2 compromettere il controllo degli accessi dopo un ripristino. Questo metodo mantiene intatti sia i dati sia le ACL, per preservare sicurezza e usabilit\u00e0.<\/p>\n<p><strong>Situazione d\u2019uso: <\/strong>ripristinare i file con i controlli di accesso corretti dopo un\u2019eliminazione accidentale o un attacco ransomware.<\/p>\n<p><strong>Passaggi:<\/strong><\/p>\n<ol>\n<li>Usa strumenti di backup che preservino il <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows\/win32\/secauthz\/security-descriptor-definition-language\" target=\"_blank\" rel=\"noopener\">Security Descriptor Definition Language (SDDL)<\/a>, cos\u00ec da mantenere le ACL durante backup e ripristino.<\/li>\n<li>Esporta ogni notte le ACL dalle radici di dati critiche per una protezione aggiuntiva. Usa PowerShell o <strong>icacls<\/strong> per esportare le autorizzazioni e conserva l\u2019output in modo sicuro insieme ai backup dei dati. La sintassi generale \u00e8 la seguente:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>icacls <\/strong><strong>&#8220;<\/strong><strong>&lt;RootFolderPath&gt;<\/strong><strong>&#8220;<\/strong><strong> \/save <\/strong><strong>&#8220;<\/strong><strong>&lt;BackupFilePath&gt;.txt<\/strong><strong>&#8220;<\/strong><strong> \/t \/c<\/strong><\/p>\n<p>Ad esempio:<\/p>\n<p style=\"padding-left: 40px;\"><strong>icacls <\/strong><strong>&#8220;<\/strong><strong>D:\\DataRoot<\/strong><strong>&#8220;<\/strong><strong> \/save <\/strong><strong>&#8220;<\/strong><strong>D:\\Backups\\ACL_Backup\\DataRoot_ACLs.txt<\/strong><strong>&#8220;<\/strong><strong> \/t \/c<\/strong><\/p>\n<ol start=\"3\">\n<li>Inserisci nella tua routine di backup un test rapido per ripristinare un piccolo percorso di cartella e verificare che sia i dati sia le autorizzazioni vengano ripristinati correttamente.<\/li>\n<li>Registra ogni esecuzione di backup, il relativo stato di completamento e i risultati dei test. Conserva questi log per gli audit e i controlli operativi.<\/li>\n<li>Adatta pianificazioni, percorsi di esportazione delle ACL e impostazioni di conservazione man mano che cambiano la struttura delle cartelle o le radici dei dati.<\/li>\n<\/ol>\n<h3>Metodo 8: gestire le revisioni degli accessi e le eccezioni<\/h3>\n<p>Le autorizzazioni di accesso tendono a divergere nel tempo a causa di richieste estemporanee, cambi di ruolo ed esigenze temporanee. Revisioni periodiche e un processo chiaro per le eccezioni mantengono il privilegio minimo, garantiscono la responsabilit\u00e0 e supportano la conformit\u00e0.<\/p>\n<p><strong>Situazione d\u2019uso: <\/strong>prevenire l\u2019accumulo di privilegi nelle cartelle dei reparti.<\/p>\n<p><strong>Passaggi:<\/strong><\/p>\n<ol>\n<li>Esegui revisioni trimestrali degli accessi insieme ai proprietari dei dati, per verificare che le autorizzazioni attuali corrispondano alle esigenze di business.<\/li>\n<li>Rimuovi o sottoponi a escalation le autorizzazioni di cui non \u00e8 possibile verificare la necessit\u00e0 per il business o l\u2019approvazione da parte del proprietario dei dati.<\/li>\n<li>Richiedi che ogni richiesta estemporanea di autorizzazioni indichi un responsabile, una motivazione, eventuali controlli compensativi e una data di scadenza.<\/li>\n<li>Configura i gruppi di AD o del file server in modo che i membri temporanei vengano rimossi automaticamente alla fine del periodo di accesso approvato.<\/li>\n<li>Tieni traccia di tutte le autorizzazioni temporanee in un semplice registro e verifica che gli accessi scaduti vengano revocati nei tempi previsti.<\/li>\n<li>Registra le approvazioni dei proprietari dei dati nell\u2019area delle evidenze, per supportare gli audit e mantenere la responsabilit\u00e0.<\/li>\n<\/ol>\n<h3>Metodo 9: rilevare le deviazioni con i confronti delle ACL e i controlli di configurazione<\/h3>\n<p>Col tempo, autorizzazioni e configurazioni di sistema possono cambiare a causa di modifiche manuali o errori di automazione. Questo metodo ti aiuta a individuare e correggere tempestivamente le deviazioni, confrontando ACL e configurazioni attuali con una baseline nota.<\/p>\n<p><strong>Situazione d\u2019uso: <\/strong>rilevare modifiche non autorizzate alle autorizzazioni o interruzioni dell\u2019ereditariet\u00e0 sulle cartelle condivise.<\/p>\n<p><strong>Passaggi:<\/strong><\/p>\n<ol>\n<li>Confronta le esportazioni notturne delle ACL delle cartelle critiche con una baseline nota, per rilevare modifiche non autorizzate. Usa PowerShell o strumenti di confronto testuale per individuare voci aggiunte, rimosse o modificate.<\/li>\n<li>Genera avvisi se un account utente compare direttamente in una ACL: indica una violazione della policy che aggira la struttura AGDLP.<\/li>\n<li>Esamina le modifiche in cui l\u2019ereditariet\u00e0 \u00e8 stata disabilitata in modo imprevisto, perch\u00e9 possono isolare cartelle o creare lacune negli accessi.<\/li>\n<li>Monitora le modifiche dell\u2019ambito dei gruppi, ad esempio un gruppo globale che diventa universale, o gruppi locali di dominio che acquisiscono nuovi membri da origini inattese.<\/li>\n<li>Mantieni una checklist di configurazione che includa impostazioni SMB, criteri di controllo e stato della crittografia.<\/li>\n<li>Verifica la checklist ogni mese per confermare che le configurazioni critiche restino corrette e conformi.<\/li>\n<\/ol>\n<h3>Metodo 10: pubblicare un pacchetto mensile di evidenze<\/h3>\n<p>Il lavoro sulla sicurezza deve essere documentato per dimostrare che i controlli funzionano come previsto. Questo metodo formalizza il processo di raccolta e distribuzione delle evidenze mensili che mostrano la postura di sicurezza del tuo file server.<\/p>\n<p><strong>Situazione d\u2019uso: <\/strong>supportare audit interni ed esterni con documentazione chiara.<\/p>\n<p><strong>Passaggi:<\/strong><\/p>\n<ol>\n<li>Crea una pagina per ogni proprietario dei dati che riepiloghi le deviazioni delle ACL rilevate nel mese precedente. Includi i percorsi delle cartelle del reparto, i proprietari e le metriche di sicurezza principali.<\/li>\n<li>Aggiungi una sezione che elenchi gli eventi di audit di maggior valore, come modifiche alle autorizzazioni, tentativi di accesso non riusciti ed esiti delle indagini.<\/li>\n<li>Riporta lo stato della crittografia per cartelle e volumi di competenza di ciascun proprietario dei dati. Verifica che BitLocker, EFS e la crittografia SMB siano ancora attivi e annota eventuali discrepanze.<\/li>\n<li>Documenta i risultati delle esercitazioni di backup e ripristino, inclusi i tassi di successo ed eventuali problemi o miglioramenti.<\/li>\n<li>Elenca tutte le eccezioni di accesso concesse nel mese, con responsabili, motivazioni, date di scadenza e stato attuale.<\/li>\n<li>Includi due brevi cronologie di indagini o incidenti recenti, che mostrino come sono stati rilevati, gestiti e risolti.<\/li>\n<\/ol>\n<h2>Tabella riepilogativa delle best practice<\/h2>\n<p>Una solida postura di sicurezza dipende da pratiche costanti che generano un valore misurabile. Questa tabella riassume le tecniche principali descritte nella guida, il loro scopo e i vantaggi che offrono.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Pratica<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Scopo<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Valore ottenuto<\/strong><\/td>\n<\/tr>\n<tr>\n<td>AGDLP con ereditariet\u00e0<\/td>\n<td>Accessi prevedibili<\/td>\n<td>Modifiche pi\u00f9 rapide e meno errori<\/td>\n<\/tr>\n<tr>\n<td>SMB pi\u00f9 crittografia a riposo<\/td>\n<td>Riservatezza<\/td>\n<td>Dati pi\u00f9 sicuri in transito e a riposo<\/td>\n<\/tr>\n<tr>\n<td>Auditing mirato<\/td>\n<td>Visibilit\u00e0<\/td>\n<td>Indagini e audit pi\u00f9 rapidi<\/td>\n<\/tr>\n<tr>\n<td>Backup delle ACL insieme ai dati<\/td>\n<td>Ripristini accurati<\/td>\n<td>Meno tempi di inattivit\u00e0 e meno rilavorazioni<\/td>\n<\/tr>\n<tr>\n<td>Pacchetto mensile di evidenze<\/td>\n<td>Responsabilit\u00e0<\/td>\n<td>Chiarezza e fiducia a livello dirigenziale<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Esempio di punto di contatto con l\u2019automazione<\/h2>\n<p>L\u2019automazione garantisce che i tuoi controlli restino coerenti e riduce al minimo le verifiche manuali. Ecco un esempio di flusso di lavoro che mostra come i processi pianificati possono semplificare le operation di sicurezza di un file server Windows.<\/p>\n<ol>\n<li>Un processo notturno esporta le ACL con icacls per tutte le radici di cartella protette, normalizza i dati in formato CSV, li confronta con la baseline e apre attivit\u00e0 per ogni anomalia rilevata.<\/li>\n<li>Un altro processo pianificato verifica che la crittografia SMB sia abilitata sulle condivisioni richieste, controlla il buon esito dell\u2019analisi SIEM e l\u2019et\u00e0 dei log, e aggiunge le metriche di performance a una dashboard centrale.<\/li>\n<li>Uno script mensile assembla i grafici, tiene traccia dell\u2019anzianit\u00e0 delle eccezioni e include due cronologie di indagini, per poi raccogliere tutto in un pacchetto di evidenze di una sola pagina destinato al reporting di conformit\u00e0.<\/li>\n<\/ol>\n<h2>Integrazione con NinjaOne<\/h2>\n<p>Un\u2019automazione essenziale tramite NinjaOne aiuta a mantenere una buona igiene di sicurezza senza aggiungere complessit\u00e0 inutile. Ecco come:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Caratteristica NinjaOne<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>Funzione<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"https:\/\/www.ninjaone.com\/docs\/endpoint-management\/policies\/policy-scheduled-tasks\/\">Attivit\u00e0 pianificate<\/a><\/td>\n<td>Eseguire ogni notte gli script di esportazione delle ACL e confrontare le autorizzazioni sulle radici protette.<\/td>\n<\/tr>\n<tr>\n<td>Patch management<\/td>\n<td>Verificare che i servizi necessari siano in esecuzione e che le patch mensili vengano installate correttamente.<\/td>\n<\/tr>\n<tr>\n<td>Policy di monitoraggio<\/td>\n<td>Monitorare lo stato del file server e la disponibilit\u00e0 dei servizi, per confermare che gli agenti di logging e i servizi necessari siano attivi.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Scopri come <a href=\"https:\/\/www.ninjaone.com\/it\/gestione-patch\/\">NinjaOne Patch Management<\/a> mantiene i file server su una cadenza di patch costante: inizia oggi una <a href=\"https:\/\/www.ninjaone.com\/it\/gestione-patch\/free-trial\/\">prova gratuita<\/a> del software.<\/p>\n<h2>Costruire una resilienza duratura nella sicurezza dei file server Windows<\/h2>\n<p>La sicurezza dei file server \u00e8 pi\u00f9 efficace quando i ruoli governano gli accessi, la crittografia \u00e8 sempre attiva, l\u2019auditing ha uno scopo chiaro e le procedure di ripristino vengono testate regolarmente. Unire privilegio minimo e hardening del sistema a controlli delle deviazioni e tracciamento delle evidenze riduce il rischio e mantiene stabili le operation.<\/p>\n<p><strong>Argomenti correlati:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/configurazione-file-server-windows\/\">Configurazione di un file server Windows: guida passo passo<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/it-hub\/sicurezza-degli-endpoint\/cos-e-l-accesso-con-minimo-privilegio\/\">Che cos\u2019\u00e8 l\u2019accesso con privilegio minimo?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/permessi-tecnici-privilegio-minimo\/\">Come impostare autorizzazioni con privilegio minimo per i tecnici senza rallentare i flussi di lavoro<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/backup-e-ripristino-delle-autorizzazioni-dei-file\/\">Come eseguire il backup e il ripristino delle autorizzazioni di file, cartelle o unit\u00e0 in Windows<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>I file server non restano sicuri da soli. Gli accessi si moltiplicano, i dati crescono e la visibilit\u00e0 si riduce, permettendo a problemi minori di trasformarsi in rischi concreti. La maggior parte delle checklist di hardening trascura le attivit\u00e0 di gestione quotidiana, come le revisioni degli accessi, il backup delle ACL e la documentazione delle [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":742537,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4367],"tags":[],"class_list":["post-913842","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicurezza"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/913842","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=913842"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/913842\/revisions"}],"predecessor-version":[{"id":913843,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/913842\/revisions\/913843"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/742537"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=913842"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=913842"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=913842"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}