Windows Server 2022: Configuracao Inicial e Fortalecimento de Seguranca

Apos instalar o Windows Server 2022, e fundamental realizar a configuracao inicial e aplicar praticas de hardening antes de colocar o servidor em producao. Este guia cobre os passos essenciais para proteger seu servidor contra ameacas comuns e garantir conformidade com padroes de seguranca.

Configuracao Inicial do Servidor

Os primeiros passos apos a instalacao envolvem identificar o servidor, configurar a rede e aplicar atualizacoes. Use PowerShell para realizar as configuracoes basicas:

# Renomear o servidor
Rename-Computer -NewName "SRV-PROD-01" -Restart

# Configurar IP estatico
New-NetIPAddress -InterfaceAlias "Ethernet" `
  -IPAddress 192.168.1.10 `
  -PrefixLength 24 `
  -DefaultGateway 192.168.1.1

# Configurar DNS
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" `
  -ServerAddresses 192.168.1.1, 8.8.8.8

# Definir fuso horario
Set-TimeZone -Id "E. South America Standard Time"

# Instalar atualizacoes do Windows
Install-Module PSWindowsUpdate -Force
Get-WindowsUpdate -Install -AcceptAll -AutoReboot

Configure tambem o Windows Remote Management (WinRM) para gerenciamento remoto seguro e instale o Windows Admin Center para administracao centralizada via navegador. Desabilite servicos desnecessarios como Print Spooler em servidores que nao funcionam como servidores de impressao.

Fortalecimento do Windows Defender e Firewall

O Windows Defender oferece protecao robusta quando configurado adequadamente. Configure as opcoes avancadas de protecao e regras de firewall restritivas:

# Garantir que protecao em tempo real esta ativa
Set-MpPreference -DisableRealtimeMonitoring $false

# Habilitar protecao contra adulteracao
Set-MpPreference -EnableControlledFolderAccess Enabled

# Configurar exclusoes apenas quando necessario
Add-MpPreference -ExclusionPath "D:\SQLData"

# Habilitar protecao de rede
Set-MpPreference -EnableNetworkProtection Enabled

# Firewall - bloquear tudo e permitir apenas servicos necessarios
Set-NetFirewallProfile -Profile Domain,Public,Private -DefaultInboundAction Block
New-NetFirewallRule -DisplayName "Allow RDP" `
  -Direction Inbound -Protocol TCP -LocalPort 3389 `
  -Action Allow -Profile Domain

Revise regularmente as regras de firewall e remova regras desnecessarias. Use o Windows Defender Firewall com Seguranca Avancada para criar regras granulares baseadas em programa, porta e escopo de endereco IP.

Desabilitando Protocolos Inseguros e Configurando TLS

Protocolos legados como TLS 1.0, TLS 1.1 e SSL 3.0 possuem vulnerabilidades conhecidas. Desabilite-os e force o uso de TLS 1.2 e 1.3:

# Desabilitar TLS 1.0
New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" -Force
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" `
  -Name "Enabled" -Value 0 -PropertyType DWORD

# Desabilitar TLS 1.1
New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server" -Force
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server" `
  -Name "Enabled" -Value 0 -PropertyType DWORD

# Verificar protocolos habilitados
Get-TlsCipherSuite | Format-Table Name, Protocol

Apos desabilitar protocolos antigos, teste a conectividade dos servicos criticos para garantir que clientes e aplicacoes funcionem corretamente com TLS 1.2+. Use ferramentas como nmap ou sites de teste SSL para validar a configuracao.

Politicas de Auditoria e Monitoramento

Configure auditoria avancada para registrar eventos de seguranca e detectar atividades suspeitas. Essas politicas sao essenciais para conformidade e investigacao de incidentes:

# Habilitar auditoria de logon
auditpol /set /subcategory:"Logon" /success:enable /failure:enable

# Auditoria de gerenciamento de contas
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable

# Auditoria de alteracoes de politica
auditpol /set /subcategory:"Audit Policy Change" /success:enable /failure:enable

# Verificar politicas configuradas
auditpol /get /category:*

# Configurar tamanho maximo do log de seguranca (1 GB)
wevtutil sl Security /ms:1073741824

Encaminhe logs para um SIEM (Security Information and Event Management) como Splunk, Elastic SIEM ou Microsoft Sentinel para analise centralizada. Configure alertas para eventos criticos como falhas de logon repetidas, criacao de contas privilegiadas e alteracoes em Group Policy.

Resumo

O fortalecimento de seguranca do Windows Server 2022 e um processo continuo que comeca na instalacao e deve ser mantido com atualizacoes regulares, revisao de politicas e monitoramento ativo. Seguindo as praticas deste guia, voce reduz significativamente a superficie de ataque e melhora a postura de seguranca do servidor.