Windows-serverbeheer: patches, monitoring en best practices voor IT-teams en MSP’s

Windows Server is het platform waaraan MSP’s de meeste tijd besteden. Het is het meest gebruikte serverbesturingssysteem in het MKB en in middelgrote bedrijven, waarop Active Directory, DNS, DHCP, bestandsdeling, SQL-databases, Exchange en de applicatie-backends draaien waarvan de bedrijfsvoering van elke klant afhankelijk is. Als Windows Server goed werkt, merkt niemand het. Als dat niet het geval is, ligt alles stil.

De beheersaanpak die Windows Server-omgevingen betrouwbaar houdt, is niet ingewikkeld, maar wel systematisch. Een vaste ‘Patch Tuesday’-cyclus met ringgebaseerde implementatie voordat de productieomgeving wordt aangeraakt. Monitoring van het gebeurtenissenlogboek om schijffouten en afwijkingen in de authenticatie op te sporen voordat ze tot incidenten leiden. Beveiligingsversterking die verder gaat dan het up-to-date houden van Windows. Applicatieconsistente back-ups met herstelmogelijkheden die in minuten in plaats van uren worden gemeten. En documentatie die een snel herstel mogelijk maakt, ongeacht of de technicus die de server heeft gebouwd beschikbaar is of niet.

Deze handleiding behandelt de operationele werkwijzen die ervoor zorgen dat Windows Server-omgevingen veilig en betrouwbaar blijven draaien, met zo min mogelijk ongeplande uitval. Voor MSP’s die gemengde omgevingen beheren, behandelt het bijbehorende artikel over Linux-serverbeheer de werkwijzen die van toepassing zijn wanneer Windows- en Linux-servers deel uitmaken van hetzelfde netwerk.

Het patchbeheer voor Windows-servers automatiseren.

Kaseya VSA 10 biedt op beleidsregels gebaseerd, geautomatiseerd patchbeheer voor Windows Server op alle clients, waarbij de implementatie wordt gepland, herstarts tijdens onderhoudsvensters worden afgehandeld, naleving wordt gerapporteerd en patches worden geïnstalleerd op servers die niet op het netwerk zijn aangesloten.

Ontdek Kaseya VSA 10

Wat is Windows-serverbeheer?

Windows Server-beheer omvat het geheel van doorlopende operationele werkzaamheden die ervoor zorgen dat Windows Server-systemen worden bijgewerkt, gemonitord, beveiligd, van back-ups worden voorzien en volgens de specificaties blijven presteren. Het bestrijkt de volledige levensduur van een server, vanaf de implementatie en basisconfiguratie via routineonderhoud tot en met de migratieplanning aan het einde van de levensduur.

In de praktijk omvat dit vakgebied vier onderdelen die niet los van elkaar kunnen worden gezien. Patchbeheer houdt het aanvalsoppervlak up-to-date in het licht van de maandelijkse beveiligingsupdates van Microsoft. Monitoring brengt signalen aan het licht die wijzen op problemen, nog voordat deze tot voor de gebruiker zichtbare storingen leiden. Beveiligingsversterking verkleint het kwetsbare oppervlak verder dan wat met patches alleen wordt bereikt. Back-up biedt een herstelroute wanneer de eerste drie maatregelen een incident niet kunnen voorkomen.

Voor MSP’s vormt het beheer van Windows Server de operationele kern van de meeste klantomgevingen. Storingen in Active Directory, uitval van SQL Server en onbeschikbaarheid van bestandsservers zijn de categorieën incidenten met grote impact die het grootste deel van de escalaties naar de servicedesk uitmaken. De werkwijzen in deze handleiding zorgen ervoor dat dergelijke incidenten minder vaak voorkomen en dat ze, mochten ze zich toch voordoen, sneller worden opgelost.

Patchbeheer voor Windows Server

Het patchen van Windows Server verloopt volgens een maandelijkse cyclus die is afgestemd op Microsofts ‘Patch Tuesday’, de tweede dinsdag van elke maand, waarop Microsoft cumulatieve updates, beveiligingsupdates en optionele niet-beveiligingsupdates uitbrengt. Out-of-band-patches voor kritieke kwetsbaarheden worden buiten deze cyclus om uitgebracht en moeten doorgaans met spoed worden geïmplementeerd, afhankelijk van de ernst en de uitbuitbaarheid van de kwetsbaarheid die wordt aangepakt.

De aanbevolen werkwijze voor het installeren van patches begint bij een testomgeving, niet bij de productieomgeving. Implementeer de patch eerst op een representatieve set niet-productieservers, observeer de situatie gedurende 24 tot 48 uur en rol de patch vervolgens uit naar de productieomgeving. De patchbeleidsengine van Kaseya VSA 10 ondersteunt ringgebaseerde implementatie, waarbij groepen servers worden gedefinieerd die patches achtereenvolgens ontvangen, met validatiecontroles tussen de ringen. Zo worden incidentele updates opgevangen die compatibiliteitsproblemen veroorzaken met specifieke serverworkloads, zoals een cumulatieve update die conflicteert met een bepaalde netwerkdriverconfiguratie, zonder dat de productiesystemen hierdoor als eerste worden blootgesteld.

Het beheer van herstarts is de andere operationeel gevoelige variabele. Voor veel Windows Server-patches is een herstart nodig om de installatie te voltooien. Herstarts van servers moeten worden ingepland in onderhoudsvensters, buiten de productietijden van productieservers, waarbij klanten vooraf op de hoogte moeten worden gesteld wanneer de server bedrijfskritische applicaties host. De configuratie van het onderhoudsvenster in Kaseya VSA 10 zet patch-installaties en herstarts in de wachtrij voor het goedgekeurde venster in plaats van ze onmiddellijk toe te passen, wat betekent dat er geen ongeplande herstarts plaatsvinden tijdens productietijden.

Het patchen van applicaties van derden is een punt waarop veel Windows Server-omgevingen tekortschieten. Windows Update zorgt voor de updates van Microsoft-componenten. Applicaties van derden, waaronder Adobe, Java, webbrowsers en databaseclients, vereisen apart beheer. De patchbibliotheek voor applicaties van derden van Kaseya VSA 10 omvat meer dan 200 applicaties, waardoor het geautomatiseerde patchbeheer niet langer beperkt blijft tot Windows, maar wordt uitgebreid naar alle software die op de server draait.

Monitoring van Windows-servers

Effectieve monitoring van Windows Server omvat vier gebieden: systeembronnen, services, gebeurtenislogboeken en schijfruimte. De meeste gevallen van ongeplande uitval geven op ten minste één van deze gebieden een waarneembaar signaal af voordat ze zichtbaar worden voor eindgebruikers.

Bij het monitoren van systeembronnen worden het CPU-gebruik (een aanhoudend hoog gebruik duidt op een overbelaste server of uit de hand gelopen processen), het geheugengebruik en het gebruik van het paginabestand (geheugendruk die de prestaties van applicaties beïnvloedt), de schijf-I/O-latentie (trage schijfleesbewerkingen die de responstijden van applicaties beïnvloeden) en de netwerkdoorvoer (verzadiging van de interface of buitensporig veel hertransmissies) bijgehouden. Drempelwaarschuwingen voor deze statistieken geven het engineeringteam de tijd om onderzoek te doen voordat er gevolgen voor de gebruikers optreden.

Servicemonitoring controleert of de processen die een server zou moeten uitvoeren, ook daadwerkelijk actief zijn. Kritieke Windows-services, waaronder Active Directory, DNS, DHCP, de afdrukspooler en toepassingsspecifieke services, moeten worden gecontroleerd op beschikbaarheid en er moet automatisch een waarschuwing worden gegeven wanneer ze stoppen. De servicemonitoring en de functie voor automatisch herstarten van Kaseya VSA 10 pakken veelvoorkomende scenario’s van servicestoringen aan zonder dat er een technicus aan te pas hoeft te komen. Dit maakt het verschil tussen een korte, vanzelf verdwijnende storing en een supportticket.

Het monitoren van de Windows-gebeurtenislogboeken is de bron van de meest waardevolle vroegtijdige waarschuwingssignalen. Mislukte authenticatiepogingen, schijffouten (gebeurtenis-ID’s 7, 11 en 51 in het systeemlogboek), crashes van applicaties en storingen in services worden allemaal in de gebeurtenislogboeken geregistreerd voordat ze voor de gebruiker zichtbare symptomen veroorzaken. Door de gebeurtenislogboeken te monitoren met vooraf gedefinieerde waarschuwingsdrempels kan een schijf die leesfouten vertoont, een vervangingsprocedure in gang zetten voordat deze uitvalt, in plaats van pas tijdens het herstel na een storing.

Schijfruimte verdient een eigen waarschuwingssysteem, omdat een volle schijf symptomen veroorzaakt die variëren naargelang welk volume vol raakt. Een volle OS-schijf zorgt ervoor dat Windows-services worden stopgezet. Een volle logschijf zorgt ervoor dat applicaties er niet meer naar kunnen schrijven. Een volle gegevensschijf verstoort de toegang tot bestanden voor elke gebruiker die aan die share is gekoppeld. Geautomatiseerde waarschuwingen bij 80 procent en 90 procent van de capaciteit bieden voldoende tijd om het probleem aan te pakken voordat een van deze gevolgen zich voordoet.

Beveiligingsversterking van Windows-servers

Het versterken van de beveiliging op Windows Server gaat veel verder dan alleen het up-to-date houden van patches. De belangrijkste maatregelen voor het versterken van de beveiliging in door MSP’s beheerde serveromgevingen zijn de volgende.

RDP moet als methode voor externe toegang worden beperkt of vervangen. Een blootgesteld RDP-verbinding op de standaardpoort (3389) met wachtwoordgebaseerde authenticatie is een van de meest voorkomende toegangspunten voor ransomware in MKB-omgevingen. Er moet minimaal authenticatie op netwerkniveau worden afgedwongen. Idealiter wordt directe blootstelling via RDP vervangen door externe toegang via een VPN of op basis van RMM (Kaseya VSA 10 biedt dit standaard), waardoor het externe aanvalsoppervlak volledig wordt geëlimineerd.

LAPS (Local Administrator Password Solution) moet op alle servers worden geïmplementeerd om ervoor te zorgen dat elke machine een uniek, automatisch vernieuwd lokaal beheerderswachtwoord heeft. Als er binnen een serverpark één lokaal beheerderswachtwoord wordt gedeeld, betekent dit dat één gecompromitteerde inlogcode laterale toegang tot alle servers mogelijk maakt.

Groepsbeleid moet ervoor zorgen dat de beveiligingsstandaard binnen het gehele serverpark wordt nageleefd. Wachtwoordbeleid, instellingen voor het blokkeren van accounts, auditbeleid en beleid inzake softwarebeperkingen worden allemaal beheerd via Groepsbeleid, en een consistente Groepsbeleidsstandaard zorgt ervoor dat deze instellingen niet afwijken.

Overbodige rollen en functies moeten worden uitgeschakeld. IIS op servers waarop geen webtoepassingen worden gehost. Telnet, FTP en verouderde protocollen waarvoor moderne alternatieven bestaan. De installatieoptie ‘Windows Server Core’ verkleint, waar mogelijk, het aanvalsoppervlak door de grafische gebruikersinterface (GUI) en veel van de componenten waarvan deze afhankelijk is, te verwijderen.

Auditlogging moet bevoorrechte bewerkingen omvatten. Aanmeldingsgebeurtenissen, het gebruik van bevoegdheden, beleidswijzigingen en toegang tot objecten op gevoelige shares leveren allemaal beveiligingslogboekvermeldingen op die worden ingevoerd in de correlatie-engine van een SIEM. Kaseya SIEM verwerkt Windows Server-beveiligingslogboeken en brengt zo signalen over serverbeveiliging, authenticatiegebeurtenissen, uitbreiding van bevoegdheden en beleidswijzigingen samen in dezelfde correlatielaag als telemetrie van endpointsen en netwerken uit meer dan 60 gegevensbronnen.

Back-up en herstel van Windows-servers

Voor back-ups van Windows Server zijn drie niveaus nodig die geschikt zijn voor verschillende herstelscenario’s.

Een back-up op image-niveau biedt bescherming bij rampherstel en snel herstel na een catastrofale storing, hardwarefout, versleuteling door ransomware of beschadiging van het besturingssysteem. De image legt de volledige toestand van de server vast en kan worden gebruikt om de server op andere hardware te herstellen of om de server virtueel te laten draaien terwijl het primaire herstelproces plaatsvindt.

Bij applicatieconsistente back-ups wordt gebruikgemaakt van de Volume Shadow Copy Service (VSS) om Exchange, SQL Server, Active Directory en andere VSS-compatibele applicaties vast te leggen in een transactieconsistente toestand. Een standaard momentopname op bestandsniveau van een SQL Server-database terwijl er transacties lopen, kan niet worden hersteld. VSS zorgt ervoor dat de vastgelegde toestand foutloos is.

Gedetailleerd herstel van bestanden en mappen is geschikt voor alledaagse herstelverzoeken, zoals per ongeluk verwijderde bestanden, eerdere versies van documenten of mailboxitems die zijn verwijderd. Het volledig herstellen van de server voor dit soort verzoeken kost iedereen onnodig veel tijd. Met gedetailleerd herstel krijgt de gebruiker binnen enkele minuten precies wat hij nodig heeft.

Datto BCDR biedt back-ups op image-niveau met op VSS gebaseerde applicatieconsistentie voor Windows Server, waarmee alle drie de herstelscenario’s vanuit één enkele back-uparchitectuur worden gedekt. Dankzij ‘Instant Virtualization’ wordt de server binnen enkele minuten na een hardwarefout opgestart vanuit de back-upimage, waardoor de bedrijfscontinuïteit gewaarborgd blijft terwijl het primaire herstelproces doorgaat.

IT Glue Documentatie, configuratie van serverrollen, IP-toewijzingen, applicatie-instellingen en serviceafhankelijkheden vormen samen de operationele context die een snel herstel mogelijk maakt. Een server waarvan wel een back-up is gemaakt, maar die niet gedocumenteerd is, kan in theorie weliswaar worden hersteld, maar in de praktijk verloopt dit traag. De technicus moet de configuratie van de omgeving dan uit het hoofd of door onderzoek reconstrueren, terwijl de klant geen toegang heeft. Gedocumenteerde configuraties zorgen ervoor dat herstel systematisch verloopt in plaats van op basis van onderzoek.

Ontdek Datto BCDR voor back-ups van Windows Server.

Windows-serverbeheer voor MSP’s

Voor MSP’s brengt het beheer van Windows Server binnen een klantenportefeuille een extra laag van complexiteit met zich mee die verder gaat dan de technische aspecten. Dezelfde patch moet voor de omgeving van elke klant de ‘test-en-dan-productie’-workflow doorlopen, volgens het onderhoudsvenster van elke klant. Waarschuwingen uit de servicemonitoring worden doorgestuurd naar de juiste ticketwachtrij van de klant. Beveiligingsgebeurtenissen van de servers van de ene klant worden niet vermengd met die van een andere klant.

De operationele omvang van het probleem wordt duidelijk wanneer er bij meerdere klanten tegelijk iets misgaat. Stel je een ‘Patch Tuesday’ voor waarbij een cumulatieve update voor Windows Server 2022 een authenticatieprobleem veroorzaakt dat van invloed is op Active Directory-omgevingen met een specifieke groepsbeleidsconfiguratie. Een MSP die patchimplementatie op basis van een ringmodel hanteert, ontdekt het symptoom op een testserver voordat de productieomgeving wordt beïnvloed, stelt de implementatie bij alle getroffen klanten uit en wacht op de ‘out-of-band’-oplossing. Een MSP die handmatig patches installeert of de implementatie op dezelfde dag in de productieomgeving bij alle klanten uitvoert, krijgt te maken met hetzelfde probleem dat zich tegelijkertijd in de AD-omgeving van elke klant voordoet, waarbij elke klant een afzonderlijke escalatie genereert.

De MSP-specifieke meerwaarde op het gebied van beheer komt voort uit de toolinglaag. Kaseya VSA 10 en Datto RMM beheren patchbeleid, servicemonitoring, waarschuwingen via het gebeurtenissenlogboek en externe toegang in elke klantomgeving vanuit één enkele console, waarbij de scheiding tussen klanten te allen tijde wordt gehandhaafd. IT Glue bevat de documentatie per klant, serverrollen, IP-toewijzingen, applicatieconfiguraties en herstelprocedures, die tijdens een actief incident toegankelijk zijn voor elke technicus in het team, zonder dat de klant of de collega die gewoonlijk dat account beheert, hoeft te worden geraadpleegd.

Kaseya Intelligence: autonoom beheer van Windows-servers

Kaseya Intelligence uit meer dan drie exabyte aan geaggregeerde en geanonimiseerde gegevens en meer dan 17 miljoen beheerde endpointsen, waardoor autonome acties binnen het Kaseya 365 mogelijk worden gemaakt. Voor Windows Server-omgevingen komt deze operationele verschuiving het duidelijkst tot uiting in de twee meest voorkomende beheertaken.

Geautomatiseerde patch-implementatie via Kaseya VSA 10, met ringgebaseerde fasering en planning van onderhoudsvensters, maakt een einde aan de handmatige coördinatiewerkzaamheden die van Patch Tuesday een terugkerende operationele gebeurtenis maken in plaats van een achtergrondproces. De door Kaseya Intelligence aangestuurde back-upverificatie maakt gebruik van AI-gestuurde screenshot-analyse met een nauwkeurigheid van meer dan 99,9 procent om te bevestigen dat back-uptaken succesvol zijn voltooid en dat de geback-upte omgeving in een herstelbare toestand verkeert, zonder dat een technicus elke taak handmatig hoeft te controleren. Deze combinatie zorgt ervoor dat de twee meest voorkomende storingsbronnen bij het beheer van Windows Server – niet-gepatchte kwetsbaarheden en niet-geverifieerde back-ups – continu worden beheerd, in plaats van op een frequentie die het team handmatig kan volhouden. Ontdek Kaseya Intelligence.

De Windows Server-omgevingen die betrouwbaar blijven draaien, zijn niet de omgevingen waar de meest geavanceerde tools worden gebruikt. Het zijn juist de omgevingen waar de basisprocessen zijn geautomatiseerd en de signalen worden gemonitord. Patches worden eerst door een testgroep getest voordat ze in productie gaan. Gebeurtenislogboeken signaleren schijfwaarschuwingen voordat schijven uitvallen. Servicemonitors worden geactiveerd voordat gebruikers er iets van merken. Back-ups worden gecontroleerd. Er is documentatie beschikbaar voor de server die op zondag om 2 uur ’s nachts uitvalt. Al deze werkwijzen zijn eenvoudig. De kunst is om ze allemaal consequent uit te voeren, op elke server, voor elke klant, elke maand.

Belangrijkste punten

• Door patches via een ringmodel te implementeren en eerst in een testomgeving te testen, worden compatibiliteitsproblemen opgespoord voordat ze gevolgen hebben voor bedrijfskritische servers. De patchbeleidsengine van Kaseya VSA 10 zorgt ervoor dat deze workflow geautomatiseerd verloopt in plaats van handmatig, met planning van onderhoudsvensters die onvoorziene herstarts in de productieomgeving voorkomt.
• Door het Windows-gebeurtenislogboek te monitoren, kunnen schijffouten, afwijkingen in de authenticatie en storingen in services worden opgespoord voordat deze voor de gebruiker zichtbare symptomen veroorzaken. De meest te voorkomen incidenten op Windows Server zijn die waarbij het waarschuwingssignaal al dagen vóór de storing in het gebeurtenislogboek stond.
• De directe virtualisatie van Datto BCDR zorgt voor een snel herstel na hardwarefouten van Windows Server, waarbij de server binnen enkele minuten vanaf de back-upopslag wordt opgestart in plaats van te moeten wachten op vervanging van de hardware. Dankzij de op VSS gebaseerde applicatieconsistentie wordt gewaarborgd dat gegevens van Exchange, SQL en Active Directory in een herstelbare toestand worden vastgelegd.
• Voor MSP’s die Windows Server-omgevingen voor meerdere klanten beheren, zorgen platformtools (Kaseya VSA 10, Datto RMM, IT Glue) ervoor dat het aanbrengen van patches, de monitoring en de documentatie schaalbaar zijn voor tientallen klantomgevingen, zonder dat het personeelsbestand evenredig hoeft mee te groeien.