Seguridad y privacidad para las actualizaciones de software en Configuration Manager

No cambie los permisos predeterminados de los paquetes de actualización de software.

De manera predeterminada, los paquetes de actualización de software están configurados para permitir que los administradores tengan Control total y que los usuarios tengan Acceso de lectura. Si cambia estos permisos, los atacantes podrían agregar, quitar o eliminar actualizaciones de software.

Use UTC para evaluar las horas de implementación.

Si usa la hora local en vez de UTC, los usuarios podrían retrasar la instalación de actualizaciones de software mediante el cambio de la zona horaria en sus equipos.

Habilite la comprobación de CRL.

De manera predeterminada, Configuration Manager no comprueba la lista de revocación de certificados (CRL) para comprobar la firma en las actualizaciones de software antes de implementarlas en los equipos. La comprobación de CRL cada vez que se usa un certificado proporciona una mayor seguridad frente a certificados revocados, pero incorpora un retraso en la conexión e implica un procesamiento adicional en el equipo que realiza la comprobación de CRL.

Para obtener más información acerca de cómo habilitar la comprobación de la CRL para actualizaciones de software, consulte Cómo habilitar la comprobación de CRL para actualizaciones de software.

Protección de acceso a redes (NAP): No se base solamente en NAP para proteger la red de usuarios malintencionados.

La Protección de acceso a redes está diseñada para ayudar a los administradores a mantener el estado de mantenimiento de los equipos en la red, lo que contribuye al mantenimiento de la integridad global de la misma. Por ejemplo, si un equipo dispone de todas las actualizaciones de software requeridas por la directiva de NAP de Configuration Manager, se considerará que el equipo es compatible y, por lo tanto, se le concederá el acceso correspondiente a la red. La Protección de acceso a redes no impide que los usuarios autorizados en equipos compatibles carguen programas malintencionados en la red o deshabiliten el agente NAP.

Protección de acceso a redes (NAP): Use directivas de NAP coherentes en toda la jerarquía para evitar confusiones.

Las directivas de NAP mal configuradas podrían permitir el acceso a la red a clientes que no deberían poder obtener acceso a la misma o limitar el acceso a los que deberían poder obtenerlo. El riesgo de que se produzcan errores de configuración aumenta en función de la complicación del diseño de la directiva de NAP. Configure el agente cliente de NAP de Configuration Manager y los puntos del Validador de mantenimiento del sistema de Configuration Manager para que usen la misma configuración en toda la jerarquía o en jerarquías adicionales en la organización si los clientes pueden moverse entre las mismas.

Importante

Si un cliente de Configuration Manager con el agente cliente de Protección de acceso a redes habilitado se mueve a otra jerarquía de Configuration Manager y un punto de Validador de mantenimiento del sistema fuera de su jerarquía valida su informe de mantenimiento de cliente, es posible que se produzca un error del proceso de validación al comprobar el sitio. Esto resultará en un estado de mantenimiento de cliente desconocido que, de forma predeterminada, está configurado en el servidor de directivas de mantenimiento de NAP como no compatible. Si el servidor de directivas de mantenimiento de NAP tiene directivas de red configuradas para el acceso limitado a la red, estos clientes no se pueden corregir y es posible que no puedan obtener acceso completo a la red. Una directiva de excepciones en el servidor de directivas de mantenimiento de NAP podría proporcionar a los clientes de Configuration Manager que se mueven fuera de su jerarquía de Configuration Manager acceso de red sin restricciones.

Protección de acceso a redes (NAP): Si almacena la referencia de estado de mantenimiento en un bosque designado, especifique dos cuentas distintas para la recuperación y la publicación de la referencia de estado de mantenimiento.

Al designar un bosque de Active Directory para almacenar la referencia de estado de mantenimiento, especifique dos cuentas distintas, ya que requieren conjuntos de permisos diferentes:

• La cuenta de publicación de referencia de estado de mantenimiento requiere permisos de lectura, escritura y creación en el bosque de Active Directory que almacena la referencia de estado de mantenimiento.

• La cuenta de consulta de referencia de estado de mantenimiento solo requiere permiso de lectura en el bosque de Active Directory que almacena la referencia de estado de mantenimiento. No conceda a esta cuenta derechos de inicio de sesión interactivo.