উইন্ডোজ সার্ভার সিকিউর করার ৯ টি অত্যাবশ্যক টিপস

Windows Server সার্ভার চালানোর জন্য সবচেয়ে বেশি ব্যবহৃত অপারেটিং সিস্টেমের মধ্যে একটি। যেহেতু অপারেশন সাধারণত ব্যবসা-সংক্রান্ত, উইন্ডোজ সার্ভার সিকিউরিটি এন্টারপ্রাইজ ডেটার জন্য অত্যন্ত গুরুত্বপূর্ণ।

ডিফল্টভাবে Windows Server-এ কিছু সিকিউরিটি মেজার রয়েছে। কিন্তু আপনি আরও করতে পারেন আপনার উইন্ডোজ সার্ভারগুলোকে সম্ভাব্য হুমকির বিরুদ্ধে পর্যাপ্ত প্রতিরক্ষা দিতে। আপনার উইন্ডোজ সার্ভার সিকিউর করার কিছু ক্রিটিক্যাল টিপস নিচে দেওয়া হলো।

১. আপনার উইন্ডোজ সার্ভার আপ টু ডেট রাখুন

যদিও এটি একটি স্পষ্ট কাজ বলে মনে হয়, উইন্ডোজ সার্ভার ইমেজ দিয়ে ইনস্টল করা অধিকাংশ সার্ভার লেটেস্ট সিকিউরিটি এবং পারফরম্যান্স আপডেট ছাড়া থাকে। লেটেস্ট সিকিউরিটি প্যাচ ইনস্টল করা ম্যালিশিয়াস আক্রমণ থেকে সিস্টেম রক্ষার জন্য অত্যাবশ্যক।

আপনি যদি নতুন উইন্ডোজ সার্ভার সেটআপ করে থাকেন বা কেউ আপনাকে ক্রেডেনশিয়াল দিয়েছে, নিশ্চিত হোন আপনার কম্পিউটারের জন্য উপলব্ধ সকল লেটেস্ট আপডেট ডাউনলোড ও ইনস্টল করেছেন। ফিচার আপডেট কিছু সময় ডিফার করতে পারেন, কিন্তু সিকিউরিটি আপডেট উপলব্ধ होते ही ইনস্টল করা উচিত।

২. Windows Server Core দিয়ে শুধু এসেনশিয়াল OS কম্পোনেন্ট ইনস্টল করুন

Windows Server 2012 এবং উপরে, আপনি অপারেটিং সিস্টেমকে কোর মোডে ব্যবহার করতে পারেন। Windows Server Core Mode হলো একটি মিনিমাল ইনস্টলেশন অপশন যা GUI ছাড়া Windows Server ইনস্টল করে, অর্থাৎ কম ফিচার।

Windows Server Core ইনস্টল করার অনেক বেনিফিট আছে। স্পষ্ট পারফরম্যান্স অ্যাডভান্টেজ। একই হার্ডওয়্যার ব্যবহার করে আনইউটিলাইজড OS কম্পোনেন্টের মাধ্যমে পারফরম্যান্স উন্নতি পাওয়া যায় যার ফলে কম RAM এবং CPU রিকোয়ারমেন্ট, বেটার আপটাইম এবং বুট টাইম, এবং কম প্যাচ।

পারফরম্যান্স বেনিফিটগুলো ভালো হলেও, সিকিউরিটি বেনিফিটগুলো আরও ভালো। কম টুল এবং অ্যাট্যাক ভেক্টর সহ সিস্টেমে আক্রমণ করা ফুল GUI-ভিত্তিক অপারেটিং সিস্টেম হ্যাক করার চেয়ে কঠিন। Windows Server Core অ্যাট্যাক সারফেস কমিয়ে দেয়, Windows Server RSAT (Remote Server Administration) টুলস এবং Core থেকে GUI-এ স্যুইচ করার ক্ষমতা অফার করে।

৩. অ্যাডমিন একাউন্ট রক্ষা করুন

Windows Server-এ ডিফল্ট ইউজার একাউন্টের নাম Administrator। ফলস্বরূপ অধিকাংশ ব্রুট ফোর্স আক্রমণ এই একাউন্টকে টার্গেট করে। একাউন্ট রক্ষা করতে আপনি এটিকে অন্য কিছু নাম দিয়ে রিনেম করতে পারেন। অথবা লোকাল অ্যাডমিনিস্ট্রেটর একাউন্ট সম্পূর্ণরূপে ডিজেবল করে একটি নতুন অ্যাডমিন একাউন্ট তৈরি করতে পারেন।

লোকাল অ্যাডমিন একাউন্ট ডিজেবল করার পর চেক করুন লোকাল গেস্ট একাউন্ট উপলব্ধ কিনা। লোকাল গেস্ট একাউন্ট সবচেয়ে কম সিকিউর, তাই সম্ভব হলে সেগুলো দূর রাখা ভালো। অনব্যবহৃত ইউজার একাউন্টের জন্যও একই ব্যবস্থা করুন।

নियमিত পাসওয়ার্ড চেঞ্জ, নম্বর, ক্যারেক্টার এবং স্পেশাল ক্যারেক্টার সহ জটিল ও দীর্ঘ পাসওয়ার্ড চেয়ে এমন একটি ভালো পাসওয়ার্ড পলিসি ব্রুট ফোর্স আক্রমণ থেকে ইউজার একাউন্ট সিকিউর করতে সাহায্য করতে পারে।

৪. NTP কনফিগারেশন

আপনার সার্ভারকে NTP (Network Time Synchronization) সার্ভারের সাথে টাইম সিঙ্ক করার জন্য কনফিগার করা গুরুত্বপূর্ণ যাতে ক্লক ড্রিফট প্রিভেন্ট করা যায়। এটি অত্যন্ত জরুরি কারণ কয়েক মিনিটের পার্থক্যও উইন্ডোজ লগইন সহ বিভিন্ন ফাংশন ভাঙতে পারে।

অর্গানাইজেশন নেটওয়ার্ক ডিভাইস ব্যবহার করে যেগুলো ইন্টারন্যাল ক্লক ব্যবহার করে বা পাবলিক ইন্টারনেট টাইম সার্ভার damalে সিঙ্করোনাইজেশন জন্য। ডোমেন মেম্বার সার্ভারগুলো সাধারণত ডোমেন কন্ট্রোলারের সাথে টাইম সিঙ্কড থাকে। তবে, স্ট্যান্ড-আলোন সার্ভারগুলো রিপ্লে আটাক থেকে বাঁচতে এক্সটার্নাল সোর্সে NTP সেটআপ করতে হবে।

৫. উইন্ডোজ ফায়ারওয়াল এবং এন্টিভাইরাস সক্ষম ও কনফিগার করুন

Windows Servers বিল্ট-ইন ফায়ারওয়াল এবং এন্টিভাইরাস টুলের সাথে আসে। যেসব সার্ভারে হার্ডওয়ার ফায়ারওয়াল নেই, সেখানে Windows Firewall অ্যাট্যাক সারফেস কমিয়ে দেয় এবং ট্রাফিক আবশ্যক পথে সীমাবদ্ধ করে সাইবার আক্রমণ থেকে বিমান সুরক্ষা দেয়। 그러면서, হার্ডওয়্যার-ভিত্তিক বা ক্লাউড-ভিত্তিক ফায়ারওয়াল আরও সুরক্ষা দেবে এবং আপনার সার্ভারের লোড কমাবে।

ফায়ারওয়াল কনফিগার করা একটি জটিল কাজ এবং শুরুতে মাস্টার করা কঠিন। কিন্তু সঠিকভাবে কনফিগার না করলে অনঅথোরাইজড ক্লায়েন্টদের জন্য অ্যাক্সেসযোগ্য ওপেন পোর্ট সার্ভারগুলো için বিশাল সিকিউরিটি রিস্ক হতে পারে। এর ব্যবহার এবং অন্যান্য অ্যাট্রিবিউটের জন্য তৈরি করা রুলগুলো ভবিষ্যতের রেফারেন্সের জন্য নোট করে রাখুন।

৬. রিমোট ডেস্কটপ (RDP) সিকিউর করুন

আপনি যদি RDP (Remote Desktop Protocol) ব্যবহার করেন, নিশ্চিত করুন এটি ইন্টারনেটে খোলা নয়। অনঅথোরাইজড অ্যাক্সেস প্রিভেন্ট করতে ডিফল্ট পোর্ট পরিবর্তন করুন, এবং ডেডিকেটেড IP অড্রেস থাকলে RDP অ্যাক্সেস নির্দিষ্ট IP অ্যাড্রেসে সীমাবদ্ধ করুন। আপনি সিদ্ধান্ত নিতে পারেন কারা RDP অ্যাক্সেস এবং ব্যবহার করবে, কারণ এটি ডিফল্টভাবে সার্ভারের সকল ইউজারের জন্য সক্রিয় থাকে।

এছাড়া RDP সিকিউর করার সকল বেসিক সিকিউরিটি মেজার অ্যাডপ্ট করুন, যার মধ্যে: শক্তিশালী পাসওয়ার্ড ব্যবহার, টু-ফ্যাক্টর অথেন্টিকেশন সক্ষম, সফটওয়্যার আপ টু ডেট রাখা, অ্যাডভান্সড ফায়ারওয়াল সেটিংস দিয়ে অ্যাক্সেস সীমাবদ্ধ, নেটওয়ার্ক-লেভেল অথেন্টিকেশন সক্ষম, এবং একাউন্ট লকআউট পলিসি সেট করা।

৭. বিটলকার ড্রাইভ এনক্রিপশন সক্ষম করুন

Windows 10 Pro-এর মতো, অপারেটিং সিস্টেমের সার্ভার এডিশন বিল্ট-ইন ড্রাইভ এনক্রিপশন টুল BitLocker দিয়ে আসে। সিকিউরিটি প্রোফেশনালরা এটিকে সেরা এনক্রিপশন টুলের মধ্যে একটি মনে করেন কারণ এটি আপনার পুরো হার্ড ড্রাইভ এনক্রিপ্ট করতে দেয় এমনকি আপনার সার্ভারের ফিজিক্যাল সিকিউরিটি ব্রিচ হলেও।

এনক্রিপশনের সময় BitLocker আপনার কম্পিউটারের বিষয়ে ইনফরমেশন ক্যাপচার করে এবং কম্পিউটারের প্রামাণিকতা যাচাই করতে ব্যবহার করে। একবার ভেরিফাই হলে আপনি পাসওয়ার্ড দিয়ে কম্পিউটারে লগইন করতে পারেন। সাস্পিশিয়াস এক্টিভিটি ডিটেক্ট হলে BitLocker আপনাকে রিকভারি কী এন্টার করতে বলবে। ডিক্রিপশন কী না দেওয়া পর্যন্ত ডেটা লকড থাকবে।

আপনি যদি হার্ড ড্রাইভ এনক্রিপশনে নতুন হন, উইন্ডোজ ১০-এ BitLocker কীভাবে ব্যবহার করবেন সেটা জানতে এই ডিটেইলড গাইড চেক করুন।

৮. Microsoft Baseline Security Analyzer ব্যবহার করুন

Microsoft Baseline Security Analyzer (MBSA) একটি ফ্রি সিকিউরিটি টুল যা IT প্রফেশনালরা তাদের সার্ভার সিকিউরিটি ম্যানেজ করতে ব্যবহার করে। এটি সার্ভারের সিকিউরিটি ইস্যু এবং মিসিং আপডেট খুঁজে বের করে এবং মাইক্রোসফটের সিকিউরিটি রিকমেন্ডেশন অনুযায়ী রিমিডিয়েশন গাইডেন্স দেয়।

যখন ব্যবহার করা হয়, MBSA উইন্ডোজ অ্যাডমিনিস্ট্রেটিভ ভালনারেবিলিটি চেক করে যেমন ವিক পাসওয়ার্ড, SQL এবং IIS ভালনারেবিলিটি উপস্থিতি, এবং ইনডিভিজুয়াল সিস্টেমে মিসিং সিকিউরিটি আপডেট। এটি IP অ্যাড্রেস, ডোমেন এবং অন্যান্য অ্যাট্রিবিউট দিয়ে ইনডিভিজুয়াল বা গ্রুপ অফ কম্পিউটার স্ক্যান করতে পারে। শেষে একটি ডিটেইলড সিকিউরিটি রিপোর্ট প্রস্তুত হবে এবং HTML-এ গ্রাফিক্যাল ইউজার ইন্টারফেসে দেখানো হবে।

৯. লগ মনিটরিং কনফিগার করুন এবং অনাবশ্যক নেটওয়ার্ক পোর্ট ডিজেবল করুন

Windows Server এবং ইনস্টলড কম্পোনেন্টের দ্বারা প্রয়োজন নেই বা ব্যবহার নেই এমন সকল সার্ভিস বা প্রোটোকল ডিজেবল করতে হবে। পোর্ট স্ক্যান রান করে চেক করুন কোন নেটওয়ার্ক সার্ভিস ইন্টারনেটে এক্সপোজড।

লগইন অটেম্প্ট মনিটরিং ইনট্রুশন প্রিভেন্ট এবং ব্রুট ফোর্স আক্রমণ থেকে সার্ভার রক্ষা করতে উপযোগী। ডেডিকেটেড ইনট্রুশন প্রিভেনশন টুলস আপনাকে সকল লগ ফাইল ভিউ ও রিভিউ করতে এবং সাস্পিশিয়াস এক্টিভিটি ডিটেক্ট হলে অ্যালার্ট পাঠাতে সাহায্য করে। অ্যালার্টের ভিত্তিতে আপনি সঠিক অ্যাকশন নিতে পারেন সার্ভারের সাথে কানেক্ট করা IP অ্যাড্রেসগুলো ব্লক করতে।

উইন্ডোজ সার্ভার হার্ডেনিং সাইবার আটাকের রিস্ক কমাতে পারে!

আপনার Windows Server সিকিউরিটির কথা হলে, সিস্টেমকে রেগুলারলি সিকিউরিটি রিস্কের জন্য অডিট করে টপে থাকা সবসময় ভালো। আপনি লেটেস্ট আপডেট ইনস্টল করে, অ্যাডমিন একাউন্ট রক্ষা করে, সম্ভব হলে Windows Server Core মোড ব্যবহার করে, এবং BitLocker দিয়ে ড্রাইভ এনক্রিপশন সক্ষম করে শুরু করতে পারেন।

যদিও Windows Server কনসিউমার এডিশন উইন্ডোজ ১০-এর মতো কোড শেয়ার করে এবং একই দেখায়, কিন্তু কীভাবে এটি কনফিগার এবং ব্যবহৃত হয় সেটা বস্তুতঃ সম্পূর্ণ ভিন্ন।