Introduzione: Il concetto di Hardening del Sistema
Siamo arrivati al capitolo conclusivo della nostra guida completa sulla gestione degli account. Nei tutorial precedenti abbiamo compreso la teoria del Minimo Privilegio (Tutorial 1), configurato operativamente gli account (Tutorial 2), gestito la routine quotidiana (Tutorial 3), studiato l’elevazione dei permessi (Tutorial 4) e analizzato le insidie dei falsi prompt (Tutorial 5).
Per completare l’opera e mettere al sicuro il computer in modo definitivo, occorre effettuare il cosiddetto Hardening (irrobustimento) delle impostazioni relative agli utenti. L’hardening consiste nel ridurre al minimo la superficie d’attacco disattivando funzioni non necessarie e applicando criteri stringenti sugli accessi.
1. Disabilitare gli Account Inattivi e l’Account Guest
Un sistema operativo appena installato o utilizzato da tempo può contenere profili utente residui o account di servizio abilitati per errore.
Azioni pratiche da eseguire:
-
Disattivare l’Account Guest (Ospite): L’account Guest consente l’accesso al sistema senza password. Su Windows, macOS e Linux deve rimanere rigorosamente disabilitato.
-
Rimuovere o disattivare account inutilizzati: Se sul PC sono presenti profili creati per colleghi, familiari o test che non vengono più usati, è opportuno disabilitarli o eliminarli insieme alla loro cartella utente.
-
Account Amministratore Integrato: Assicurarsi che l’account
Administratordi sistema sia disattivato, affidando l’amministrazione solo all’account Amministratore personalizzato creato nel Tutorial 2.
[INSERIRE IMMAGINE 1: Schermata della gestione utenti con evidenziati gli account disabilitati]2. Applicare Criteri di Sicurezza sulle Password e sul Blocco Account
Anche la separazione dei ruoli fallisce se un malintenzionato può tentare di indovinare la password dell’Amministratore all’infinito senza essere bloccato.
Criteri fondamentali da configurare:
-
Soglia di Blocco Account (Account Lockout Policy): Configurare il sistema affinché blocchi temporaneamente l’accesso (ad esempio per 15 o 30 minuti) dopo 3 o 5 tentativi di password errati consecutivi.
-
Autenticazione a Più Fattori (2FA / Windows Hello): Se il sistema lo consente, integrare la password con l’uso di un token FIDO2, un’impronta digitale o un codice temporaneo (OTP).
-
Evitare la memorizzazione automatica: Non salvare la password d’amministrazione in file di testo o note non cifrate sul desktop dell’Utente Standard.
3. Monitorare gli Accessi e gli Eventi di Sistema
Un utente consapevole verifica periodicamente chi ha effettuato l’accesso al sistema e se ci sono stati tentativi non autorizzati.
-
Su Windows (Visualizzatore Eventi): Apri
eventvwr.msc, vai su Registri di Windows > Protezione e filtra per Event ID4624(Accesso riuscito) ed Event ID4625(Accesso non riuscito). -
Su Linux / macOS (Log di autenticazione): Esamina i file di log di sistema tramite terminale per individuare eventuali anomalie:
Bash
# Su Linux Debian/Ubuntu sudo journalctl -u ssh -n 50 # Oppure controlla il registro degli accessi sudo sudo cat /var/log/auth.log | grep sudo
4. Checklist Finale di Sicurezza degli Account
Prima di considerare il tuo sistema completamente protetto, verifica di aver spuntato tutti i punti di questa checklist riassuntiva:
-
[ ] Account Principale: L’utente utilizzato ogni giorno è di tipo Utente Standard.
-
[ ] Account Amministratore: Esiste un account Amministratore dedicato con nome personalizzato e password complessa.
-
[ ] Account Guest: L’account Ospite/Guest è completamente disabilitato.
-
[ ] Protezione UAC / sudo: L’UAC di Windows è impostato sul livello predefinito (con Desktop Sicuro) e
sudorichiede la password ad ogni sessione. -
[ ] Separazione File: I file personali sono isolati e la condivisione avviene solo tramite cartelle pubbliche dedicate.
-
[ ] Nessun Bypass: Nessun utente ha permessi di autologin senza password all’avvio del PC.
Conclusione della Serie
Applicando le indicazioni di questa serie di 6 tutorial hai trasformato il tuo computer da un sistema vulnerabile a una postazione di lavoro blindata, costruita sulle migliori pratiche di sicurezza informatica utilizzate in ambito professionale ed aziendale.
