Avancerad säkerhet och viktiga nya funktioner i Windows Server

Windows Server 2025 innebär ett betydande språng framåt inom säkerhet , identitetshantering, prestanda och hybridmolnfunktioner. Det är inte en enkel stegvis uppdatering: Microsoft har åtgärdat praktiskt taget alla lager i systemet, från kärnan till Active Directory, inklusive SMB, Hyper-V, lagring och förkonfigurerade härdningspolicyer. Om du hanterar lokala eller hybridinfrastrukturer är det värt att förstå vad som har ändrats och hur man kan utnyttja det.

Parallellt stärker Windows Server 2025 många klassiska attackvektorer direkt : lagrade inloggningsuppgifter, osäkra protokoll, föråldrad kryptering och okontrollerade exponerade tjänster. Det introducerar också nya verktyg för fjärradministration, automatisering och observerbarhet som, i kombination med bästa praxis, låter dig bygga arkitekturer nära Zero Trust-modellen utan att göra dig själv galen dagligen.

Skrivbordsupplevelse och basservermiljö

Även om vi pratar om ett serverorienterat system förändras även användarupplevelselagret. Efter att du loggat in för första gången på Windows Server 2025 hittar du ett skrivbord som är väldigt likt den visuella stilen i Windows 11, med ett moderniserat gränssnitt, en omdesignad Aktivitetshanterare med Mica-material och en mer polerad upplevelse överlag.

Uppgraderingar på plats är också mer flexibla : du kan hoppa direkt till Windows Server 2025 från Windows Server 2012 R2 och senare versioner, vilket möjliggör upp till fyra versionsuppgraderingar i en enda operation. Detta förenklar avsevärt migreringen av äldre miljöer som inte var redo att uppgraderas till 2016, 2019 eller 2022.

Integrerade anslutningsmöjligheter utökasServern inkluderar nu trådlös LAN-tjänst som standard; du behöver bara aktivera tjänsten med net start wlansvc för att tillhandahålla Wi-Fi, och lägger till Bluetooth-stöd för möss, tangentbord, hörlurar och andra enheter, vilket är användbart i laboratorier, POC:er eller fysiska miljöer som inte är så "datacenter".

Bland administratörsverktygen sticker Windows Terminal och WinGet ut , båda installerade som standard. Terminal låter dig arbeta med flera skal (PowerShell, CMD, SSH) i flikar, medan WinGet tillhandahåller en mycket bekväm kommandoradshanterare för att installera, uppdatera och underhålla verktyg på servrar, inklusive processinspektionsverktyg som Process Hacker på Windows.

Integrationen med tjänster och konton stärks också : från Inställningar > Konton > E-post och konton kan du lägga till Microsoft Entra ID (tidigare Azure AD), Microsoft-konton och professionella eller utbildningskonton, samtidigt som den klassiska domänlänken bibehålls som huvudpelare men öppnar dörren för fler hybridscenarier.

Flerskiktssäkerhet och inbyggd härdning

Windows Server 2025:s huvudfokus är säkerhet på djupet . Microsoft skärper standardinställningarna, släpper frekventa säkerhetsuppdateringar och lägger till nya tekniker för att skydda autentiseringsuppgifter, kommunikation och exponerade tjänster, med särskilt fokus på ransomware-attacker och privilegieeskalering.

Uppdaterad säkerhetsbaslinje och förfinade policyer

Den officiella säkerhetsbaslinjen för Windows Server 2025 (v2506 och senare) granskas oftare för att anpassas till nya hot och feedback från communityn. Bland de viktigaste justeringarna finns ändringar av rättigheter för fjärrinloggning och avancerad granskning.

Microsoft ändrar SeDenyRemoteInteractiveLogonRight-policyn för att använda SID S-1-5-114 (lokala konton som också är administratörer) istället för den generiska SID S-1-5-113 (alla lokala konton). Detta blockerar RDP-åtkomst för lokala konton med höga behörigheter, men tillåter att lokala konton utan administratörsrollen används i support- eller återställningsscenarier när domänen inte är tillgänglig.

Gruppen Gäster har också lagts till i policyn "Neka inloggning med fjärrskrivbordstjänster" , så att även om gästkontot aktiveras av misstag kommer det fortfarande inte att kunna logga in via RDP. Detta ger ett extra skyddslager mot felkonfigurationer eller äldre grupprincipobjekt.

Vissa historiska policyer tas bort från baslinjen eftersom de är föråldrade eller irrelevanta . Till exempel tas policyn "WDigest-autentisering (inaktivering kan kräva KB2871997)" bort eftersom WDigest självt inte längre lagrar lösenord i klartext i nuvarande versioner, och "Tillåt Windows Ink-arbetsyta" tas bort eftersom den inte gäller servrar, vilket minskar brus och GPO-bearbetningstid.

Parallellt ökas synligheten med nya granskningsalternativ : granskning av "ändring av auktoriseringspolicy (Lyckades)" är aktiverad på domänkontrollanter och medlemsservrar för att registrera kritiska ändringar av användarrättigheter och säkerhetspolicyer, och kommandoradsregistrering aktiveras vid processskapandehändelser, vilket avsevärt förbättrar detekteringsmöjligheterna i SIEM och EDR, vilket förklaras i säkerhetsrevisionen med auditpol och wevtutil.

Virtualiseringsbaserad säkerhet, Credential Guard och skyddad LSA

Virtualiseringsbaserad säkerhet (VBS) håller på att bli en hörnsten i modern härdning . Den utnyttjar hårdvaruvirtualisering för att skapa en isolerad miljö som skyddar kritiska komponenter från själva operativsystemet, vilket drastiskt hindrar stöld av autentiseringsuppgifter och attacker mot minnesmanipulation.

Credential Guard är nu aktiverat som standard på berättigade datorer . Den här funktionen flyttar NTLM-hemligheter, Kerberos TGT-biljetter och Credential Manager-autentiseringsuppgifter till en separat VBS-miljö, vilket förhindrar att även en angripare med lokala administratörsbehörigheter kan läsa dem i minnet med hjälp av verktyg som Mimikatz.

För att bekräfta statusen för detta skydd kan du använda PowerShell med konsultationer till klassen Win32_DeviceGuard, granskar värdena på SecurityServicesConfigured y SecurityServicesRunningoch verifiera LSA-isoleringen genom att kontrollera värdet RunAsPPL i registret. Värdet 1 indikerar att LSASS körs som en skyddad process (PPL).

Baslinjen belyser också rollen för två policyer som är nära kopplade till UEFI-låsning : aktivering av VBS (Device Guard) och konfiguration av LSA som en skyddad process. I kombination med Secure Boot, TPM 2.0 och firmware som låser UEFI-variabler blir dessa skydd mycket svåra att inaktivera, även av lokala administratörer. Det är dock lämpligt att validera hårdvarukompatibilitet och planera noggrant, eftersom det inte alltid är enkelt att återställa dessa åtgärder. För en bättre förståelse av koncept relaterade till VBS och isolering av fysiska system är dokumentationen om kärnisolering användbar.

Förstärkt och mer skalbar Active Directory

Active Directory får en av de största ansiktslyftningarna på senare år , både vad gäller prestanda och kryptografisk säkerhet samt standardbeteende gentemot äldre klienter och kontrollanter.

Först introduceras ett alternativ för sidstorlek på 32k för databasen för AD DS och AD LDS. Tidigare fungerade ESE-databasen med 8k sidor, vilket begränsade storleken på objekt och flervärdesattribut. Med 32k sidor kan flervärdesattribut växa cirka 2,6 gånger större, och flera historiska skalbarhetsbegränsningar minskas. Migreringen kräver att alla domänkontrollanter i skogen stöder detta nya format.

Active Directory-schemat utökas också med nya LDF-filer (sch89.ldf, sch90.ldf, sch91.ldf och deras motsvarigheter i AD LDS MS-ADAM-Upgrade3.ldf), och lägger till klasser och attribut för de nya säkerhets- och hanteringsfunktionerna. Dessutom finns en objektreparationsfunktion införlivad (fixupObjectState) för att återställa kritiska attribut som till exempel SamAccountType u ObjectCategory i skadade föremål.

Lösenordssäkerheten för teamkontot stärksMaskinkonton får nu slumpmässiga lösenord som standard, och Domain Controllers 2025 blockerar användningen av det typiska lösenordet som matchar kontonamnet. Ett nytt GPO, "Domain Controller: Reject machine account default password setting", låter dig hantera detta beteende och verktyg som ADAC, ADUC eller kommandon. net computer y dsmod De respekterar den nya policyn.

Flera kryptografiska och protokollmässiga aspekter förstärks, särskilt i Kerberos och LDAPRC4 är inaktiverat i TGT:er, och den äldre registreringsnyckeln används inte längre. SupportedEncryptionTypes För att stödja gruppolicyobjekt (GPO:er) har PKINIT uppdaterats för att stödja modernare algoritmer, och stöd för TLS 1.3 har introducerats i LDAP. Dessutom krävs kryptering för operationer med känsliga attribut, och LDAP-signering (försegling) tillämpas som standard i nya implementeringar.

Driftförbättringar inkluderar NUMA-stöd, nya prestandaräknare och avancerad replikeringskontroll . AD DS kan nu utnyttja alla processorgrupper utöver 64 kärnor, innehåller specifika räknare för DC-lokalisering, LSA-sökningar (namn/SID) och LDAP-klient, och möjliggör ökad replikeringsprioritet med specifika partners för specifika scenarier.

Delegerade hanterade tjänstkonton (dMSA) och förbättrade LAPS

En av de största innovationerna inom hantering av tjänstidentiteter är delegerade hanterade tjänstkonton (dMSAs) . Denna nya typ av konto låter dig migrera traditionella tjänstkonton till identiteter med helt slumpmässiga, automatiskt hanterade nycklar, utan att drastiskt ändra applikationen. Ursprungliga lösenord inaktiveras, vilket minskar attackytor och möjliggör mer detaljerad hanteringsdelegering.

Den integrerade Windows LAPS-lösningen tar också ett betydande steg framåt. I Windows Server 2025 genererar och roterar LAPS unika lösenord för varje lokal administratör och lagrar dem säkert i AD eller Microsoft Entry ID, men lägger nu till funktioner som ny automatisk hantering av lokala konton och detektering av återställning av bilder med hjälp av attributet msLAPS-CurrentPasswordVersion och stöd för lösenfraser som är läsbara av människor ÄtMumsKaramellGodis.

En ny, "mer läsbar" lösenordskomplexitet introduceras. (värde 5 tum PasswordComplexityDetta utesluter lättförväxlade tecken som I/O/Q/l/0/1 och vissa symboler, vilket bibehåller robustheten samtidigt som skrivfel minskas. ADUC-tillägget inkluderar en förbättrad LAPS-flik med mer läsbara teckensnitt för att visa lösenord.

Dessutom integrerar LAPS nya åtgärder efter autentisering (PAA) , till exempel alternativet "Återställ lösenordet, logga ut det hanterade kontot och avsluta eventuella återstående processer", vilket inte bara loggar ut det hanterade kontot efter återställningen, utan också räknar upp och avslutar alla processer som fortfarande körs under den identiteten, med utökade loggningshändelser för att underlätta granskning.

Förstärkt SMB: QUIC, kryptering, signering och brute-force-begränsning

SMB-protokollet är ett annat viktigt område som får betydande förstärkning , både på transportnivå och när det gäller autentisering och åtkomstkontroll, särskilt utformat för hybridmiljöer och distansarbete.

SMB över QUIC blir alltmer utbrett även efter Azure Edition och är tillgängligt på Windows Server Standard och Datacenter. Denna metod inkapslar SMB 3.1.1 över QUIC med hjälp av TLS 1.3 och UDP-portar, vilket skapar ett slags "SMB VPN" för säker åtkomst till edge-servrar från opålitliga nätverk, perfekt för distansarbete och mobila enheter utan att behöva konfigurera ett traditionellt VPN.

Administratörer kan styra SMB via QUIC med hjälp av GPO och PowerShellQUIC-klienten kan inaktiveras med principen "Aktivera SMB via QUIC" eller med Set-SmbClientConfiguration -EnableSMBQUIC $falseAktivera signatur- och krypteringsgranskningar för att upptäcka klienter eller servrar som inte stöder dessa funktioner och granska motsvarande händelser i SMBClient- och SMBServer-loggarna (Granskning och anslutning).

Alternativa SMB-portar för TCP, QUIC och RDMA har introducerats , vilket gör att du kan kringgå den traditionella TCP/445-porten när det krävs av din säkerhetsdesign. Brandväggsregler har också uppdaterats: NetBIOS-portarna 137–139 öppnas inte längre automatiskt när nya delade resurser skapas; istället används en mer restriktiv regelgrupp, "Fil- och skrivardelning (Restriktiv)". För att kontrollera om det finns öppna portar och nätverksexponeringar på servern, se guiderna för att visa öppna nätverksportar.

Vid autentisering kräver nu alla utgående SMB-anslutningar signatur och kryptering enligt konfigurationen ; klienten kan blockera NTLM för fjärranslutningar, och SMB-tjänsten implementerar en autentiseringshastighetsbegränsare för att begränsa NTLM- eller PKU2U-baserade brute-force-attacker genom att introducera ökande fördröjningar efter misslyckade försök.

IPsec, RRAS och andra åtgärder för att härda anslutningen

Utöver SMB justerar Windows Server 2025 andra nätverks- och VPN-komponenter för att anpassa dem till moderna kryptografiska säkerhetsstandarder.

I IPsec ändras standardordningen för nyckelmoduler till IKEv2 och IKEv1 För autentiserade anslutningar med maskincertifikat, lämna AuthIP som ett äldre alternativ som kan återaktiveras med registreringsnyckeln IpsecRestoreLegacyKeyModDetta driver organisationer att använda IKEv2, vilket är mer robust och modernt.

I Routing and Remote Access (RRAS) kommer nya installationer med PPTP och L2TP inaktiverade som standard. De kan fortfarande aktiveras om miljön kräver det, men avsikten är att prioritera SSTP och IKEv2, som är mycket säkrare. Konfigurationer som redan använde PPTP/L2TP och uppdateras kommer att behålla sitt beteende för att förhindra oväntade avbrott.

Inom certifikat och TLS förstärker Windows minimikraven : certifikatsökning och -hantering stöder SHA-256 som standard, och TLS-servercertifikat måste använda RSA-nycklar på minst 2048 bitar, vilket överensstämmer med den stegvisa utfasningen av certifikat som anses vara svaga.

Hyper-V, prestanda och infrastruktur för AI

Inom virtualiseringsområdet vidgar Windows Server 2025 horisonterna både vad gäller rå prestanda och stöd för arbetsbelastningar inom artificiell intelligens , vilka i allt högre grad är beroende av GPU:er, massivt minne och nätverk med låg latens.

Hyper-V ökar skalbarhetsgränserna avsevärt : en värd kan nu hantera upp till 4 PB minne och 2048 logiska processorer, medan en virtuell maskin av generation 2 kan nå 240 TB RAM och 2048 vCPU:er, vilket öppnar dörren till enorma databasmiljöer, avancerad analys eller lokala AI-motorer.

GPU-partitionering (GPU-P) låter dig dela en enda fysisk GPU mellan flera virtuella maskiner genom att allokera dedikerade "skivor" enligt varje virtuell maskins behov. Detta är avgörande för AI, rendering eller beräkningsintensiva scenarier där tidigare en dedikerad GPU krävdes för varje gästvärd. Dessutom stöder GPU-P hög tillgänglighet med automatisk redundansväxling inom klustret och livemigrering, även med partitionerade GPU:er.

Dynamisk processorkompatibilitet har omdesignats för blandade kluster , med hjälp av den maximala uppsättningen CPU-funktioner som delas mellan alla noder, vilket förbättrar prestandan jämfört med klassiskt kompatibilitetsläge, särskilt när funktioner som SLAT (second-level address translation) används.

Funktionen hypervisor-enforced paging translation (HVPT) lägger till ett extra försvarslager mot godtyckliga minnesskrivningsattacker och skyddar systemets viktiga sidtabellstrukturer. HVPT är aktiverat som standard när hårdvaran stöder det, men det tillämpas inte när servern körs som en virtuell gästmaskin.

I virtuella nätverk är funktionen AccelNet (AccelNet) tillgänglig i förhandsversion för att förenkla användningen av SR-IOV i kluster, vilket minskar latens, jitter och CPU-användning. Network ATC erbjuder under tiden en avsiktsbaserad modell för att distribuera konsekventa värdnätverkskonfigurationer över hela klustret.

Modern och optimerad lagring för utveckling

Lagringssystemet i Windows Server 2025 håller också på att moderniseras , med förbättringar av NVMe-prestanda, nya ReFS-funktioner och optimeringar inriktade på utvecklare och högeffektiva scenarier.

Dev Drive, som redan var bekant i Windows 11, anländer till servervärlden som en ReFS-baserad volymtyp optimerad för utvecklingsarbetsbelastningar, med finare kontroll över filter, antivirus och säkerhetsinställningar. Nu stöder Dev Drive även blockkloning, så kopior av stora filer utförs som billiga metadataoperationer, vilket minskar faktisk I/O och snabbar upp operationerna avsevärt.

ReFS använder inbyggd deduplicering och komprimering som är utformad för både statiska arbetsbelastningar (bildarkiv, säkerhetskopior) och aktiva virtuella skrivbord eller filservrar. I miljöer med hög datavolym kan kapacitetsbesparingarna vara mycket betydande utan att prestandan påverkas särskilt mycket.

Tunnprovisionerade volymer på Storage Spaces Direct underlättar effektivare kapacitetsallokering , vilket möjliggör säker överprovisionering samtidigt som den faktiska förbrukningen övervakas. Dessutom kan befintliga fasta volymer konverteras till tunnprovisionering, vilket återför oanvänt utrymme till poolen för återanvändning i andra volymer.

Rent prestandamässigt är NVMe-stödet bättre anpassat , vilket ökar IOPS och minskar CPU-användningen jämfört med tidigare versioner. SMB integrerar även komprimering med LZ4-standarden, vilket lägger till ytterligare ett alternativ till XPRESS, LZNT1 och PATTERN_V1 för scenarier där prioritering av komprimerings- och dekomprimeringshastighet önskas.

Azure Arc, hybridmodell och centraliserad hantering

Windows Server 2025 omfattar hybridmodellen med Azure Arc fullt ut , vilket gör det enkelt att hantera lokala servrar som om de vore inbyggda Azure-resurser, inklusive fakturering, övervakning och avancerade åtgärder.

Azure Arc-installationsprogrammet är nu en funktion som installeras på begäran som standard , med en mycket enkel guide och en ikon i systemfältet som effektiviserar serveranslutningen till Arc. När du är ansluten kan du tillämpa policyer, övervaka, distribuera tillägg eller integrera med andra Azure-lösningar på ett enhetligt sätt.

Betala-per-användning-licensiering introduceras via Azure Arc , vilket gör att du kan licensiera Windows Server i prenumerationsläge och bara betala för faktisk användning, ett intressant alternativ till permanenta licenser för miljöer med hög belastningsvariation eller projekt med begränsad varaktighet.

Azure Arc-aktiverad Windows Server-hantering ger flera ytterligare fördelar : integration med Windows Admin Center direkt i Azure Portal, Just-In-Time-fjärrsupport med detaljerade loggar, automatiserade bedömningar av bästa praxis och guidad distribution av Azure Site Recovery för affärskontinuitet.

Programvarudefinierade nätverk och Azure-liknande säkerhetspolicyer

Programvarudefinierade nätverk (SDN) i Windows Server 2025 kommer ännu närmare Azure-upplevelsen , både vad gäller driftsmodell och standardskydd.

SDN-nätverkskontrollanten finns nu som en klustertjänst på fysiska värdar , vilket eliminerar behovet av att distribuera dedikerade virtuella maskiner för denna komponent, vilket förenklar topologin och frigör datorresurser.

Standardnätverkspolicyer med en "neka som standard"-filosofi introduceras , liknande Azure Network Security Groups: all inkommande trafik till de virtuella maskinerna nekas initialt, vilket endast öppnar de explicit tillåtna portarna, medan utgående trafik tillåts som standard för att inte sakta ner applikationer.

Servicetaggar möjliggör mer intuitiv arbetsbelastningssegmentering genom att associera NSG:er med virtuella maskiner med hjälp av mänskligt läsbara taggar istället för IP-intervall. Detta gör det enklare att ändra topologier utan att skriva om komplexa regler och minskar konfigurationsfel.

SDN Multisite-funktionalitet ger Layer 2- och Layer 3-anslutning mellan olika platser utan ytterligare komponenter , vilket bibehåller enhetliga policyer även när virtuella maskiner migrerar mellan platser. Detta kompletteras av förbättrad prestanda från Layer 3-gateways, som förbrukar mindre CPU och erbjuder högre dataflöde.

Containerportabilitet och Windows Server Insider-programmet

I containermiljöer fokuserar Windows Server 2025 på portabilitet . Plattformen gör det möjligt att flytta containeravbildningar och deras data mellan olika värdar och miljöer utan ändringar, vilket minskar friktionen vid uppgradering av värdversioner eller byte av infrastruktur.

Denna portabilitet förenklar moderniseringen av äldre applikationer , eftersom du kan inkapsla dem i Windows-containrar och flytta dem mellan lokala, publika moln eller testmiljöer utan att behöva paketera om varje gång, så länge du respekterar minimikraven för versionskompatibilitet.

För att hålla dig uppdaterad med dessa funktioner erbjuder Windows Server Insider-programmet tidig åtkomst till versioner med nya funktioner och ändringar, vilket gör det möjligt för administratörer och partners att testa säkerhets-, prestanda- och kompatibilitetsscenarier innan de når produktionsläget.

Uppdateringsstatus, kända problem och säkerhetstester i verkligheten

Windows Server 2025, precis som alla live-system, har en ständig cykel av uppdateringar och korrigeringar , och Microsoft dokumenterar ganska transparent kända problem och deras lösningsstatus.

Bland de senaste incidenterna sticker ett fel med WUSA ut. Installera .msu-filer från delade resurser med flera paket genererade fel ERROR_BAD_PATHNAMEÅtgärderna innebär att kopiera .msu-filerna lokalt eller använda Known Issue Rollback (KIR) med speciella grupprinciper, medan en definitiv korrigering distribueras i framtida uppdateringar.

Ett annat problem påverkade rotationen av maskinlösenord vid användning av Kerberos-autentisering med PKINIT , vilket orsakade att vissa enheter fastnade med utgångna lösenord och autentiseringsfel. Detta åtgärdades i säkerhetsuppdateringen från april 2025 (KB5055523), och under tiden inaktiverades Credential Guard-funktionen "Teamkonton" tillfälligt tills en stabil lösning fanns tillgänglig.

Det rapporterades också om oväntade uppdateringar från Windows Server 2019 och 2022 till 2025 i miljöer som använde tredjepartsverktyg för patchhantering som behandlade funktionsuppdateringar som rekommenderade snarare än valfria. Microsoft mildrade situationen genom att pausa erbjudandebannern i Windows Update och samarbeta med leverantörer för att förtydliga användningen av klassificeringen DeploymentAction=OptionalInstallation.

Utöver teorin har penetrationstestlabb satt de nya skydden på prov . I tester med olika Potato-liknande verktyg (Juicy, Lovely, Rogue, PrintSpoofer) misslyckades de flesta, medan PetitPotato bara lyckades eskalera till lokal administratörsnivå, inte till SYSTEM. Detta indikerar en verklig förstärkning av personifieringskontroller och COM/RPC-tjänster, även om det fortfarande är viktigt att granska tjänstkonfigurationer och filbehörigheter.

Eskaleringstester med felkonfigurerade tjänster, såsom DNSadmin-attacker eller FTP-missbruk, förblir gångbara om grundläggande behörighetsfel görs, vilket fungerar som en påminnelse om att inte ens det bästa operativsystemet kan kompensera för dålig konfiguration; det är lämpligt att använda verktyg för att granska behörigheter och sökvägar, såsom AccessChk i Windows , och granska åtkomstkontroller.

Försök gjordes också att utnyttja kärnsårbarheter som CVE-2025-21325, utan framgång i uppdaterade versioner, där problemet orsakade BSOD:er på grund av KERNEL_SECURITY_CHECK_FAILURE istället för att eskalera till SYSTEM.

Sammantaget tar Windows Server 2025 säkerhet genom design till nästa nivå : den minskar exponeringen av autentiseringsuppgifter, stärker protokoll och introducerar en mer aggressiv baslinje utan att offra operativ flexibilitet. Den kombinerar lokala, hybrid- och AI-funktioner för att göra det möjligt för organisationer att bygga mer motståndskraftiga, övervakningsbara och hotklara infrastrukturer, förutsatt att de följer bästa praxis, genomför regelbundna granskningar och implementerar en tydlig stärkande strategi.