Per soluzione alternativa si intende un'impostazione o una modifica nella configurazione che consente di bloccare i vettori di attacco noti prima di applicare l'aggiornamento.
- Impedire l'esecuzione di Adobe Flash Player
È possibile disattivare i tentativi di creare un'istanza di Adobe Flash Player in Internet Explorer e in altre applicazioni che supportano la funzionalità di kill bit, come Office 2007 e Office 2010, impostando il kill bit per il controllo nel Registro di sistema.
Avvertenza L'utilizzo non corretto dell'Editor del Registro di sistema potrebbe causare problemi tali da rendere necessaria la reinstallazione del sistema operativo. Microsoft non garantisce la risoluzione di problemi dovuti a un utilizzo non corretto dell'Editor del Registro di sistema. È quindi necessario utilizzare questo strumento con grande attenzione.
Per impostare il kill bit ed effettuare il controllo nel Registro di sistema, attenersi alla procedura seguente:
- Incollare quanto riportato di seguito in un file di testo e salvarlo su un file con estensione .reg.
Editor del Registro di sistema di Windows versione 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{D27CDB6E-AE6D-11CF-96B8-444553540000}]
"Compatibility Flags"=dword:00000400
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\ActiveX Compatibility\{D27CDB6E-AE6D-11CF-96B8-444553540000}]
"Compatibility Flags"=dword:00000400
- Fare doppio clic sul file .reg per applicarlo a un sistema individuale.
Inoltre, può essere applicato in domini diversi utilizzando i Criteri di gruppo. Per ulteriori informazioni sui Criteri di gruppo, consultare l'articolo di TechNet Insieme di Criteri di gruppo.Nota È necessario riavviare Internet Explorer per rendere operative queste modifiche.
Impatto della soluzione alternativa. Non esiste alcun effetto se non si prevede l'uso dell'oggetto in Internet Explorer.
Per annullare il risultato della soluzione alternativa. Eliminare le chiavi del Registro di sistema aggiunte per implementare questa soluzione alternativa.
- Impedire l'esecuzione di Adobe Flash Player su Internet Explorer 10 attraverso i Criteri di gruppo su Windows 8 e Windows Server 2012
Nota È possibile utilizzare lo snap-in di MMC Criteri di gruppo per impostare i criteri per un sistema, un'unità organizzativa o un intero domino. Per ulteriori informazioni sui Criteri di gruppo, visitare il seguente sito Web Microsoft:
Panoramica sui criteri di gruppo
Che cos'è un Editor oggetti Criteri di gruppo?
Strumenti e impostazioni principali di Criteri di gruppo
Per disattivare Adobe Flash Player in Internet Explorer 10 attraverso i Criteri di gruppo su Windows 8 e Windows Server 2012, attenersi alla procedura seguente:
Nota Questa soluzione alternativa non impedisce ad altre applicazioni, come Microsoft Office 2007 o Microsoft Office 2010, di richiamare Flash.
- Aprire il sistema di gestione dei criteri di gruppo e configurarlo per il funzionamento con l'oggetto criteri di gruppo appropriato, ad esempio, computer locale, OU o GPO dominio.
- Passare al nodo seguente:
Modelli amministrativi - Componenti di Windows - Internet Explorer - Funzionalità di protezione - Gestione componenti aggiuntivi - Fare doppio clic sull'opzione che consente di disattivare Adobe Flash in Internet Explorer e impedire alle applicazioni di utilizzare la tecnologia di Internet Explorer per creare istanze degli oggetti Flash.
- Modificare l'impostazione su Attivato.
- Fare clic su Applica, quindi su OK per tornare alla Console Gestione Criteri di Gruppo.
- Aggiornare i Criteri di gruppo su tutti i sistemi o attendere il successivo intervallo di aggiornamento pianificato per i Criteri di gruppo in modo da rendere effettive le impostazioni.
- Impedire l'esecuzione di Adobe Flash Player in Office 2010 su Windows 8 e Windows Server 2012
Nota Questa soluzione alternativa non impedisce l'esecuzione di Adobe Flash Player in Internet Explorer.
Avvertenza L'utilizzo non corretto dell'Editor del Registro di sistema potrebbe causare problemi tali da rendere necessaria la reinstallazione del sistema operativo. Microsoft non garantisce la risoluzione di problemi dovuti a un utilizzo non corretto dell'Editor del Registro di sistema. È quindi necessario utilizzare questo strumento con grande attenzione.
Per ulteriori informazioni su come impedire l'esecuzione di un controllo in Internet Explorer, vedere l'articolo della Microsoft Knowledge Base 240797. Seguire la procedura descritta e creare un valore Compatibility Flags nel Registro di sistema in modo da impedire la creazione di un'istanza dell'oggetto COM in Internet Explorer.
Per disattivare Adobe Flash Player solo in Office 2010, impostare il kill bit per il controllo ActiveX per Adobe Flash Player nel Registro di sistema effettuando la procedura indicata di seguito:
- Creare un file di testo denominato Disable_Flash.reg con i contenuti seguenti:
Editor del Registro di sistema di Windows versione 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\Common\COM\Compatibility\{D27CDB6E-AE6D-11CF-96B8-444553540000}]
"Compatibility Flags"=dword:00000400
- Fare doppio clic sul file .reg per applicarlo a un sistema individuale.
Nota È necessario riavviare Internet Explorer per rendere operative queste modifiche.Inoltre, può essere applicato in domini diversi utilizzando i Criteri di gruppo. Per ulteriori informazioni sui Criteri di gruppo, consultare l'articolo di TechNet Insieme di Criteri di gruppo.
- Evitare l'esecuzione di controlli ActiveX in Office 2007 e Office 2010
Per disattivare tutti i controlli ActiveX in Microsoft Office 2007 e Microsoft Office 2010, incluso Adobe Flash Player in Internet Explorer 10, attenersi alla procedura seguente:
- Fare clic su File, Opzioni, Centro protezione e poi fare clic su Impostazioni Centro protezione.
- Fare clic su Impostazioni ActiveX nel riquadro sinistro e poi selezionare Disattiva tutti i controlli senza notifica.
- Fare clic su OK per salvare le impostazioni.
Impatto della soluzione alternativa. I documenti Office che utilizzano controlli ActiveX incorporati potrebbero non essere visualizzati correttamente.
Per annullare il risultato della soluzione alternativa.
Per riattivare i controlli ActiveX in Microsoft Office 2007 e Microsoft Office 2010, eseguire i passaggi seguenti:
- Fare clic su File, Opzioni, Centro protezione e poi fare clic su Impostazioni Centro protezione.
- Fare clic su Impostazioni ActiveX nel riquadro sinistro e poi deselezionare Disattiva tutti i controlli senza notifica.
- Fare clic su OK per salvare le impostazioni.
- Impostare il livello dell'area di protezione Internet e Intranet locale su "Alta" per bloccare i controlli ActiveX e script attivo in queste aree
È possibile realizzare una protezione più efficace del sistema dai rischi connessi a queste vulnerabilità modificando le impostazioni relative all'area di protezione Internet in modo che i controlli ActiveX e lo script attivo vengano bloccati. Tale operazione può essere eseguita impostando la protezione del browser su Alta.
Per alzare il livello di protezione del brower in Internet Explorer, attenersi alla seguente procedura:
- Dal menu Strumenti di Internet Explorer, scegliere Opzioni Internet.
- Nella finestra di dialogo Opzioni Internet, fare clic sulla scheda Protezione, quindi su Internet.
- In Livello di protezione per l'area, spostare il dispositivo di scorrimento su Alta. Il livello di protezione per tutti i siti Web visitati viene così impostato su Alta.
- Fare clic su Intranet locale.
- In Livello di protezione per l'area, spostare il dispositivo di scorrimento su Alta. Il livello di protezione per tutti i siti Web visitati viene così impostato su Alta.
- Fare clic su OK per confermare le modifiche e tornare a Internet Explorer.
Nota Se il dispositivo di scorrimento non è visibile, fare clic su Livello predefinito, quindi spostare il dispositivo di scorrimento su Alta.
Nota Con l'impostazione della protezione su Alta, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si riscontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente anche quando la protezione è impostata su Alta.
Impatto della soluzione alternativa. Il blocco dei controlli ActiveX e di script attivo può avere effetti collaterali. Numerosi siti Web su Internet o su una rete Intranet utilizzano ActiveX o Script attivo per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare controlli ActiveX per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. Il blocco dei controlli ActiveX o script attivo è un'impostazione globale per tutti i siti Internet e Intranet. Se non si desidera che i controlli ActiveX o script attivo vengano bloccati in tali siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".
Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.
Dopo l'impostazione della richiesta di blocco dei controlli ActiveX e dello script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi da siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.
A tale scopo, utilizzare la seguente procedura:
- In Internet Explorer, scegliere Opzioni Internet dal menu Strumenti e fare clic sulla scheda Protezione.
- Nella sezione Selezionare un'area di contenuto Web per specificare le relative impostazioni di protezione, fare clic su Siti attendibili, quindi su Siti.
- Se si desidera aggiungere siti che non richiedono un canale crittografato, deselezionare la check box Richiedi verifica server (https:) per tutti i siti dell'area.
- Nella casella Aggiungi il sito Web all'area, aggiungere l'URL del sito desiderato, quindi fare clic sul pulsante Aggiungi.
- Ripetere la procedura per ogni sito da aggiungere all'area.
- Fare due volte clic su OK per confermare le modifiche e tornare a Internet Explorer.
Nota È possibile aggiungere qualsiasi sito che si ritiene non effettuerà operazioni dannose sul sistema. In particolare è utile aggiungere i due siti *.windowsupdate.microsoft.com e *.update.microsoft.com, ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.
- Configurare Internet Explorer in modo che venga richiesta conferma prima dell'esecuzione di script attivo oppure disattivare tali script nell'area di protezione Internet e Intranet locale
È possibile realizzare una protezione più efficace del sistema dai rischi connessi a queste vulnerabilità modificando le impostazioni in modo che venga richiesta conferma prima di eseguire lo script attivo o per disattivare tale script nell'area di protezione Internet e Intranet locale. A tale scopo, utilizzare la seguente procedura:
- In Internet Explorer, scegliere Opzioni Internet dal menu Strumenti.
- Selezionare la scheda Protezione.
- Selezionare Internet e fare clic sul pulsante Livello personalizzato.
- Nella sezione Esecuzione script dell'elenco Impostazioni, selezionare Esecuzione script attivo, quindi fare clic su Chiedi conferma o Disattiva e su OK.
- Selezionare Intranet locale, quindi fare clic sul pulsante Livello personalizzato.
- Nella sezione Esecuzione script dell'elenco Impostazioni, selezionare Esecuzione script attivo, quindi fare clic su Chiedi conferma o Disattiva e su OK.
- Fare due volte clic su OK per tornare a Internet Explorer.
Nota Se si disattiva Esecuzione script attivo nelle aree di protezione Internet e Intranet locale, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si riscontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente.
Impatto della soluzione alternativa. La visualizzazione di una richiesta di conferma prima dell'esecuzione di script attivo può avere effetti collaterali. Numerosi siti Web su Internet o su una rete Intranet utilizzano l'opzione Script attivo per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare script attivo per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. La richiesta di conferma prima dell'esecuzione di script attivo è un'impostazione globale per tutti i siti Internet e Intranet. Se si utilizza questa soluzione alternativa, le richieste di conferma verranno visualizzate di frequente. A ogni richiesta di conferma, se si ritiene che il sito da visitare sia attendibile, fare clic su Sì per consentire l'esecuzione di script attivo. Se non si desidera che venga richiesta conferma per tutti i siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".
Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.
Dopo l'impostazione della richiesta di conferma prima dell'esecuzione di controlli ActiveX e script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi da siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.
A tale scopo, utilizzare la seguente procedura:
- In Internet Explorer, scegliere Opzioni Internet dal menu Strumenti e fare clic sulla scheda Protezione.
- Nella sezione Selezionare un'area di contenuto Web per specificare le relative impostazioni di protezione, fare clic su Siti attendibili, quindi su Siti.
- Se si desidera aggiungere siti che non richiedono un canale crittografato, deselezionare la check box Richiedi verifica server (https:) per tutti i siti dell'area.
- Nella casella Aggiungi il sito Web all'area, aggiungere l'URL del sito desiderato, quindi fare clic sul pulsante Aggiungi.
- Ripetere la procedura per ogni sito da aggiungere all'area.
- Fare due volte clic su OK per confermare le modifiche e tornare a Internet Explorer.
Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul sistema. In particolare è utile aggiungere i due siti *.windowsupdate.microsoft.com e *.update.microsoft.com, ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.
