Sistemi Operativi

Unified Write Filter (UWF): come proteggere Windows da modifiche permanenti

Quando si gestiscono postazioni condivise, aule scolastiche, chioschi multimediali, dispositivi industriali o sistemi dedicati a uno specifico scopo, uno dei requisiti più importanti è garantire che il sistema operativo rimanga sempre nello stato previsto dall’amministratore. In questi scenari è fondamentale impedire che installazioni accidentali, modifiche alle impostazioni o malware possano compromettere il corretto funzionamento del dispositivo. Per rispondere a questa esigenza, Microsoft mette a disposizione Unified Write Filter (UWF), una funzionalità introdotta con Windows 10 e disponibile nelle edizioni Enterprise, Education e IoT Enterprise, oltre che nelle corrispondenti versioni di Windows 11. Eh già, non è disponibile nelle edizioni Home…

event

Windows Server Data Deduplication: installazione, configurazione e gestione della deduplica

La quantità di dati archiviati sui file server e sulle piattaforme di virtualizzazione continua a crescere anno dopo anno. Tra documenti, immagini ISO, backup e soprattutto dischi virtuali (VHD/VHDX), non è raro ritrovarsi con decine o centinaia di gigabyte di dati che, in realtà, contengono moltissime informazioni duplicate. Pensiamo, ad esempio, a un ambiente Hyper-V in cui sono presenti numerose macchine virtuali installate a partire dalla stessa immagine di Windows Server: gran parte dei file di sistema sarà identica in ogni disco virtuale, con un conseguente spreco di spazio che potrebbe essere evitato. Per risolvere questo problema, Microsoft ha introdotto…

event

Implementare Active Directory Tiering: guida pratica con il framework ufficiale Microsoft

Uno degli errori più comuni nella gestione di Active Directory consiste nell’utilizzare gli account amministrativi su workstation e server che non dovrebbero mai ospitare credenziali con privilegi elevati. È proprio da queste situazioni che hanno origine molti degli attacchi informatici più gravi. Nella maggior parte dei casi gli attaccanti non prendono di mira direttamente i Domain Controller. Preferiscono compromettere un computer di un amministratore o un server membro, rubare le credenziali presenti in memoria e utilizzarle per spostarsi lateralmente fino a raggiungere gli account con privilegi più elevati. Tecniche come Pass-the-Hash e Pass-the-Ticket esistono da molti anni e continuano ancora…

event

Installare Windows Server 2025 su Mac M4 PRO

I Mac con processore Apple Silicon sono macchine estremamente efficienti, silenziose e abbastanza potenti da rendere naturale una domanda: possiamo usarli anche per costruire un laboratorio Windows Server? Con Windows 11 ARM la risposta è relativamente semplice. Parallels Desktop, VMware Fusion e UTM possono virtualizzare un sistema operativo che condivide l’architettura ARM64 del processore Apple. Windows Server 2025, però, introduce un ostacolo meno visibile dell’assenza di una porta USB: l’immagine pubblica distribuita da Microsoft è x64. Un MacBook M4 Pro non può quindi virtualizzarla direttamente. Per eseguirla deve ricreare via software un processore compatibile Intel/AMD. È la differenza tra virtualizzazione…

event

I ruoli FSMO di Active Directory: cosa sono e cosa succede se non sono disponibili

Chi amministra Active Directory conosce il concetto di replica multi-master: ogni Domain Controller può ricevere modifiche e replicarle agli altri DC del dominio. Esistono però alcune operazioni che, per evitare conflitti e garantire la coerenza del database di Active Directory, devono essere eseguite da un solo Domain Controller alla volta. Per questo motivo Microsoft ha introdotto i Flexible Single Master Operations (FSMO), oggi chiamati anche Operations Master Roles. I ruoli FSMO sono cinque: 2 ruoli a livello di Forest: Schema Master e Domain Naming Master 3 ruoli a livello di Domain: RID Master, PDC Emulator e Infrastructure Master Dove vengono…

event

Perché SYSVOL è parte della superficie d’attacco di Active Directory

Quando si parla di sicurezza Active Directory, quasi sempre si parte dagli stessi punti: Domain Admin, Kerberos, NTLM, service account, deleghe, ACL, certificati, Domain Controller. Tutto giusto. Ma c’è un componente che spesso rimane sullo sfondo, proprio perché è troppo normale per sembrare interessante: SYSVOL. SYSVOL è una di quelle cose che gli amministratori vedono da anni, usano da anni, danno per scontata da anni. È lì, sui Domain Controller. È replicata. È necessaria. È consultata dai client. Contiene script, policy, template, configurazioni e file usati dalle Group Policy. In altre parole: SYSVOL non è semplicemente una share. È uno…

event

SQL Server e NTLM: quando Kerberos non trova il nome giusto

Nel precedente articolo abbiamo parlato di NTLM, Kerberos, IAKerb e LocalKDC, cioè del percorso con cui Microsoft sta cercando di ridurre sempre di più la dipendenza storica da NTLM negli ambienti Windows. Sotto l’articolo è arrivato un commento molto interessante: “… Utilizzando le hardening configurations di Defender avevo poco tempo fa usato le GPO “Network Security: Restrict NTLM – etc etc”, finendo per scoprire amaramente che i servizi SQL usano massicciamente NTLM, bloccando così ogni autenticazione dei client…” Il commento centra perfettamente il problema. Perché NTLM, in molte infrastrutture, non è semplicemente un vecchio protocollo ancora abilitato. È spesso il…

event

Verso un Windows senza NTLM: IAKerb, LocalKDC e il futuro dell’autenticazione

Negli ambienti Windows, l’autenticazione non è solo un dettaglio tecnico ma un meccanismo che definisce la fiducia nei servizi e nei dispositivi. Per decenni il protocollo NT LAN Manager (NTLM) ha rappresentato il “piano B”: una soluzione di ripiego quando il metodo consigliato, Kerberos, non era disponibile. Negli ultimi mesi Microsoft ha iniziato un percorso di modernizzazione che mira a ridurre, fino a eliminare, la dipendenza da NTLM introducendo due componenti chiave: IAKerb e Local KDC. L’obiettivo di questo articolo è spiegare perché NTLM è stato così importante, cosa offre Kerberos in più e come le nuove funzionalità cambieranno la gestione dell’autenticazione.…

event

Hyper-V Live Migration tra cluster e foreste Active Directory diverse

In alcuni scenari può essere necessario spostare una o più macchine virtuali Hyper-V da un cluster a un altro senza interrompere i servizi erogati. Pensiamo, ad esempio, ad attività di consolidamento dell’infrastruttura, sostituzione dell’hardware, migrazione verso un nuovo datacenter, separazione di ambienti aziendali oppure integrazione tra infrastrutture appartenenti a foreste Active Directory diverse. La Live Migration consente di trasferire una macchina virtuale da un host Hyper-V a un altro mantenendola accesa, riducendo al minimo l’impatto sugli utenti e sulle applicazioni. Quando però i due host appartengono a cluster differenti e, soprattutto, a foreste diverse, la configurazione richiede qualche attenzione in…

event

Strong Certificate Mapping in Active Directory: cosa cambia per certificati, SID e KDC

Per anni abbiamo raccontato i certificati come una garanzia quasi assoluta. Se il certificato è valido, se la chain è corretta, se la CA è attendibile, allora siamo a posto. Più o meno. In Active Directory, soprattutto quando entra in gioco l’autenticazione Kerberos basata su certificato, la domanda non è soltanto: “Questo certificato è valido?”. La domanda vera è un’altra: “Questo certificato appartiene davvero a questo utente o a questo computer?” Ed è qui che entra in gioco lo Strong Certificate Mapping. Il tema sembra piccolo, quasi da addetti ai lavori. In realtà può avere un impatto enorme su ambienti…

event