Связаться →
01WINDOWS SERVER SECURITY CHECK

Разберите Windows Server по ключевым точкам риска.

Кто может подключаться, кто имеет админ-права, что останется в журналах и получится ли восстановиться после сбоя — 15 вопросов без абстрактных «галочек безопасности».

Начать проверку → Техническое обследование
15 CHECKS WEIGHTED SCORE CRITICAL RISKS LOCAL ONLY
SERVER SECURITYACCESS / RIGHTS / LOGS / BACKUP
01ДоступRDP, VPN, MFA
02ПраваAdmins, NTFS
03ЖурналыSecurity, RDP, Audit
04RecoveryBackup и restore

То, что сервер работает, ещё ничего не говорит о его защите.

Сервер может годами исправно раздавать файлы, держать 1С или принимать RDP — и одновременно хранить старых администраторов, открытые точки входа, короткие журналы и резервные копии, из которых никто ни разу не восстанавливался.

Здесь нет задачи поставить серверу красивую оценку. Цель — быстро найти места, которые стоит открыть и проверить руками в первую очередь.

Поэтому вопросы весят по-разному: открытый внешний RDP или отсутствие рабочего backup важнее, чем второстепенный недочёт в журналировании.

02SERVER SECURITY TOOL

15 проверок Windows Server.

WEB-LABS / WINDOWS SERVER SECURITY CHECK

Проверка безопасности Windows Server

Пройдитесь по 15 практическим вопросам так, как если бы вы сами осматривали сервер. Если ответ приходится угадывать — выбирайте «Частично»: неизвестность в безопасности тоже требует проверки.

01
CRITICAL ADMIN RIGHTS / 9%

Административные права ограничены и обоснованы

Проверяем локальную группу Administrators и другие привилегированные роли. Постоянные админ-права должны быть только у тех, кому они действительно нужны для администрирования.

КАК ВЫБРАТЬ ОТВЕТ
Да

Список администраторов известен, регулярно проверяется, лишних учётных записей нет, а повседневная работа выполняется без административных прав.

Частично

Администраторов немного, но права выдавались исторически, не пересматривались или отдельные сотрудники постоянно работают под привилегированной учётной записью.

Нет

Административные права есть у многих пользователей, список не контролируется либо присутствуют неизвестные/необоснованные администраторы.

02
CRITICAL RDP EXPOSURE / 10%

RDP не доступен напрямую из Интернета

Проверяем внешний доступ к TCP/3389 и другим опубликованным RDP-портам. Прямое открытие RDP в Интернет существенно увеличивает поверхность атаки.

КАК ВЫБРАТЬ ОТВЕТ
Да

RDP доступен только из доверенной сети, через VPN/RD Gateway или по строго ограниченным адресам; прямой публичный доступ отсутствует.

Частично

RDP ограничен правилами файрволла или нестандартным портом, но остаётся опубликованным наружу либо схема доступа не документирована.

Нет

RDP открыт напрямую из Интернета для широкого диапазона адресов или неизвестно, кто может подключаться извне.

03
CRITICAL REMOTE ACCESS / 8%

Удалённый доступ защищён отдельным контуром и сильной аутентификацией

Проверяем VPN, RD Gateway, MFA и правила доступа. Внешнее подключение к серверу должно быть отделено от обычной парольной проверки RDP.

КАК ВЫБРАТЬ ОТВЕТ
Да

Используется контролируемый VPN/RD Gateway или эквивалентный шлюз, доступ ограничен нужным пользователям, а где возможно применяется MFA.

Частично

Защищённый канал есть, но MFA отсутствует, используются общие учётные данные либо доступ разрешён большему числу пользователей, чем необходимо.

Нет

Удалённый доступ строится только на логине/пароле сервера, общий доступ не разграничен или способ подключения фактически не контролируется.

04
PATCHING / 7%

Обновления Windows Server устанавливаются контролируемо и регулярно

Проверяем накопительные обновления, исправления безопасности и понятный порядок перезагрузок. Сервер не должен месяцами оставаться без патчей.

КАК ВЫБРАТЬ ОТВЕТ
Да

Есть регулярный цикл установки обновлений, контролируется успешность, критичные исправления не откладываются без причины, перезагрузки планируются.

Частично

Обновления устанавливаются вручную и нерегулярно либо часть патчей долго откладывается из-за опасений нарушить работу сервисов.

Нет

Windows Update отключён надолго, состояние патчей неизвестно или сервер систематически работает без актуальных исправлений безопасности.

05
CRITICAL AV / EDR / 7%

Антивирус или EDR активен и реально контролируется

Проверяем не только наличие защитного продукта, но и состояние служб, сигнатур, исключений, обнаружений и защиты от отключения.

КАК ВЫБРАТЬ ОТВЕТ
Да

Защитное решение активно, базы/компоненты обновляются, последние обнаружения проверяются, исключения обоснованы и состояние периодически контролируется.

Частично

Антивирус установлен и работает, но состояние редко проверяется, исключений слишком много либо нет централизованного контроля событий.

Нет

Защита отключена, неисправна, давно не обновлялась или фактически отсутствует.

06
SECURITY LOG / 6%

Журнал Security имеет достаточную фактическую глубину истории

Проверяем MaximumSize и реальную скорость заполнения. Важен не размер файла сам по себе, а сколько дней событий остаётся до перезаписи.

КАК ВЫБРАТЬ ОТВЕТ
Да

Размер журнала подобран по фактической нагрузке, известна примерная глубина истории, а старые события не исчезают раньше необходимого срока расследования.

Частично

Размер журнала увеличен, но реальная глубина истории не измерялась либо периодически обнаруживается слишком быстрая перезапись.

Нет

Журнал остаётся малым, история быстро перезаписывается или никто не знает, за какой период доступны события.

07
RDP LOGS / 4%

Отдельные журналы RDP включены и используются при проверках

Проверяем Operational-журналы служб удалённых рабочих столов, которые помогают восстанавливать историю подключений и сеансов помимо общего Security Log.

КАК ВЫБРАТЬ ОТВЕТ
Да

Журналы RemoteConnectionManager/LocalSessionManager и связанные RDP-события доступны, не отключены и учитываются при расследовании входов.

Частично

Журналы существуют, но их размер мал, они не контролируются или администратор обычно смотрит только Security.

Нет

RDP-журналы отключены, недоступны либо организация не знает, где смотреть историю удалённых подключений.

08
AUDIT POLICY / 6%

Расширенная политика аудита фиксирует нужные действия

Проверяем Advanced Audit Policy: входы, управление учётными записями, изменения политики, привилегированные действия и другие категории по задачам сервера.

КАК ВЫБРАТЬ ОТВЕТ
Да

Нужные категории Advanced Audit Policy включены осознанно, события появляются в журналах, а объём аудита соответствует роли сервера.

Частично

Часть важных категорий включена, но настройка фрагментарная или не проверялось, что события действительно записываются.

Нет

Используются только настройки по умолчанию, аудит важных действий отключён или никто не знает, какие события фиксируются.

09
ACCOUNTS / 6%

Учётные записи персональные, актуальные и управляемые

Проверяем общие логины, отключённых сотрудников, Guest, неиспользуемые учётки, сервисные аккаунты и возможность связать действие с конкретным человеком.

КАК ВЫБРАТЬ ОТВЕТ
Да

У пользователей персональные учётные записи, устаревшие аккаунты отключаются, Guest не используется, сервисные аккаунты отделены и имеют понятное назначение.

Частично

Основные учётки персональные, но остались общие логины, старые аккаунты или сервисные записи без владельца и документации.

Нет

Несколько сотрудников используют один логин, есть неизвестные активные аккаунты либо увольнение не приводит к своевременному отключению доступа.

10
NTFS / SHARES / 7%

Права NTFS и общих папок соответствуют реальной необходимости

Проверяем широкие разрешения, наследование, старые группы, доступ бывших сотрудников и расхождение между Share Permissions и NTFS.

КАК ВЫБРАТЬ ОТВЕТ
Да

Критичные папки имеют понятные группы доступа, лишние разрешения удалены, права периодически сверяются, а административный доступ отделён.

Частично

Рабочий доступ в целом корректен, но есть старые группы, избыточное наследование или права, назначенные напрямую отдельным пользователям.

Нет

Широкие группы имеют полный доступ без необходимости, структура разрешений непонятна или никто не может уверенно сказать, кто имеет доступ к критичным папкам.

11
FILE AUDIT / 4%

Для критичных данных настроен целевой аудит изменений

Проверяем, можно ли установить факт удаления или изменения особо важных файлов. Аудит должен быть целевым, иначе журналы быстро переполняются лишними событиями.

КАК ВЫБРАТЬ ОТВЕТ
Да

Для действительно критичных каталогов включён нужный Object Access/SACL, объём событий контролируется и известно, где искать записи об изменениях.

Частично

Аудит включён только на части ресурсов либо собирает слишком много шума и поэтому практически не используется.

Нет

Изменения критичных файлов никак не журналируются, хотя расследование таких действий важно для организации.

12
PERSISTENCE / 6%

Планировщик, службы и автозапуск периодически проверяются

Проверяем механизмы закрепления: Scheduled Tasks, службы, автозапуск и неизвестные исполняемые файлы. Подозрительные задания могут долго оставаться незамеченными.

КАК ВЫБРАТЬ ОТВЕТ
Да

Администратор знает штатные задания и службы, новые/неизвестные элементы проверяются, а найденные отклонения можно связать с установленным ПО или задачей.

Частично

Проверка выполняется только при проблемах, и нет исходного списка или понимания, какие задания/службы считаются штатными.

Нет

Планировщик, службы и автозапуск практически не контролируются; неизвестные задачи могут существовать длительное время.

13
REMOTE TOOLS / 5%

AnyDesk, Radmin и другие средства удалённого доступа учтены

Проверяем сторонние агенты удалённого управления, их пароли, автозапуск, список разрешённых операторов и необходимость постоянной работы на сервере.

КАК ВЫБРАТЬ ОТВЕТ
Да

Все удалённые инструменты известны и обоснованы, ненужные удалены, постоянный доступ ограничен, а учётные данные и разрешения контролируются.

Частично

Инструменты используются по необходимости, но часть настроек доступа, автозапуска или владельцев не задокументирована.

Нет

На сервере есть неизвестные или неконтролируемые средства удалённого доступа, общие пароли либо постоянный доступ без понятного владельца.

14
CRITICAL BACKUP / RESTORE / 9%

Резервные копии сервера проверяются восстановлением

Проверяем не просто наличие задания backup, а актуальность копий, изоляцию хотя бы одной копии и возможность реально восстановить критичные данные или сервис.

КАК ВЫБРАТЬ ОТВЕТ
Да

Копии создаются регулярно, ошибки контролируются, есть независимая/изолированная копия и выполнялось успешное тестовое восстановление.

Частично

Backup создаётся, но restore давно не тестировался, копии доступны из той же среды или контроль успешности выполняется нерегулярно.

Нет

Рабочих резервных копий нет, они давно не создаются либо никто не знает, можно ли из них восстановиться.

15
CRITICAL FIREWALL / 6%

Windows Firewall включён и входящие правила минимальны

Проверяем профили файрволла, разрешённые входящие службы, широкие правила Any/Any и доступ к административным портам из ненужных сегментов.

КАК ВЫБРАТЬ ОТВЕТ
Да

Файрволл включён на используемых профилях, разрешены только необходимые сервисы и источники, широкие временные правила отсутствуют или документированы.

Частично

Файрволл включён, но накопились старые/широкие правила, часть служб доступна большему числу сетей, чем требуется.

Нет

Файрволл отключён либо разрешающие правила фактически открывают сервер для широкого доступа без необходимости.

Важно: это предварительная самопроверка конфигурации, а не подтверждение отсутствия уязвимостей или следов компрометации. Итог зависит от точности ваших ответов и не заменяет техническое обследование сервера.

Заказать техническое обследование Windows Server
03CONTROL AREAS

На что именно смотрим.

RDP
01

Удалённый доступ

Можно ли достучаться до RDP снаружи, через что подключаются администраторы и сотрудники, есть ли VPN/RD Gateway, MFA и сторонние агенты вроде AnyDesk/Radmin.

ADM
02

Администраторы и учётки

Кто состоит в Administrators, остались ли общие/старые логины и можно ли связать действие на сервере с конкретным человеком.

LOG
03

Журналы и аудит

Сколько истории реально остаётся в Security, доступны ли отдельные RDP-журналы и фиксируются ли нужные действия, а не просто «что-то пишется».

ACL
04

NTFS и общие ресурсы

Share + NTFS, наследование, старые группы и главный вопрос: кто фактически может прочитать, изменить или удалить критичные данные.

AV
05

Защита и обновления

Работает ли антивирус на самом деле, когда ставились обновления и нет ли неизвестных задач/служб, которые запускаются автоматически.

BKP
06

Резервное копирование

Не просто «есть задание backup», а свежесть копий, их изоляция и факт успешного восстановления хотя бы в тесте.

Даже 100% не означает, что сервер чист

Этот инструмент не сканирует систему и не ищет вредоносное ПО, скрытые учётки или следы чужих действий. Он помогает проверить базовые настройки. Если уже есть подозрение на инцидент, нужен отдельный разбор журналов, процессов, задач, служб и других следов.

Не гонитесь за общим процентом

Один опасный пункт может быть важнее десятка зелёных. Поэтому открытый RDP, неконтролируемые администраторы, отсутствие работающей защиты, backup или сетевой фильтрации отдельно помечаются как критичные.

01
ACCESS

Сначала разберитесь, откуда вообще можно войти

Посмотрите внешний RDP, VPN, сторонние агенты удалённого доступа и состав Administrators. Если здесь бардак, остальные настройки уже не спасают ситуацию.

02
VISIBILITY

Потом убедитесь, что после инцидента останутся следы

Security, RDP-журналы и нужные категории аудита должны хранить достаточно истории, чтобы через несколько дней всё ещё можно было восстановить последовательность событий.

03
RECOVERY

И обязательно попробуйте восстановиться

Успешный backup в логе — ещё не доказательство. Один тестовый restore обычно даёт больше уверенности, чем десятки зелёных отчётов о копировании.

04WINDOWS SERVER

Нужно посмотреть сам сервер, а не ответы в чек-листе?

При техническом обследовании мы смотрим фактическую конфигурацию: кто имеет доступ, как устроен RDP, какие права на папки, что сохраняют журналы, работают ли backup и другие защитные настройки.

Обсудить проверку сервера →