• Artigo

Segurança e privacidade para atualizações de software no Configuration Manager

 

Aplica-se a: System Center 2012 Configuration Manager, System Center 2012 Configuration Manager SP1, System Center 2012 Configuration Manager SP2, System Center 2012 R2 Configuration Manager, System Center 2012 R2 Configuration Manager SP1

System_CAPS_noteObservação

Este tópico é exibido na nos guias Implantando software e sistemas operacionais no System Center 2012 Configuration Manager e Segurança e privacidade no System Center 2012 Configuration Manager.

Este tópico contém as informações de segurança e privacidade para atualizações de software no System Center 2012 Configuration Manager.

Práticas recomendadas de segurança para atualizações de software

Use as seguintes práticas recomendadas de segurança quando você implantar atualizações de software aos clientes:

Prática recomendada de segurança

Mais informações

Não altere as permissões padrão nos pacotes de atualização de software.

Por padrão, os pacotes de atualização de software são definidos para permitir que os administradores de Controle Total e usuários tenham acesso de Leitura. Se você alterar essas permissões, isso permitirá que um invasor adicione, remova ou exclua as atualizações de software.

Controle o acesso ao local de download de atualizações de software.

As contas de computador para o Provedor de SMS, o servidor do site e o usuário administrativo que realmente baixam as atualizações de software para o local de download requerem acesso de Gravação para o local de download. Restrinja o acesso ao local de download para reduzir o risco de ataques de falsificação aos arquivos de origem de atualizações de software no local de download.

Além disso, se você usar um compartilhamento UNC para o local de download, proteja o canal de rede usando assinatura IPsec ou SMB para evitar falsificação dos arquivos de origem de atualizações de software quando eles forem transferidos via rede.

Use o UTC para avaliar horários de implantação.

Se for usado o horário local em vez do UTC, os usuários poderão ter um atraso na instalação das atualizações de software por conta da mudança de fuso horário em seus computadores

Habilite SSL no WSUS e siga as práticas recomendadas para proteger o WSUS (Windows Server Update Services).

Identifique e siga as práticas recomendadas de segurança para a versão do WSUS que você usa com o Gerenciador de Configurações.

System_CAPS_importantImportante

Caso configure o ponto de atualização de software para habilitar comunicações SSL para o servidor WSUS, configure raízes virtuais para SSL no servidor WSUS.

Habilite verificação de CRL.

Por padrão, o Gerenciador de Configurações não verifica a CRL (lista de certificados revogados) para confirmar a assinatura nas atualizações de software antes de serem implantadas nos computadores. Verificar a CRL sempre que um certificado é usado oferece mais segurança contra o uso de certificado revogado, mas gera atraso de conexão e incorre em processamentos adicionais no computador em que a verificação é executada.

Para obter mais informações sobre como habilitar a verificação de CRL para atualizações de software, consulte Como habilitar a verificação CRL para atualizações de software.

Configure o WSUS para usar um site personalizado.

Quando você instala o WSUS no ponto de atualização de software, pode usar o site Padrão do IIS existente ou criar um site personalizado do WSUS. Crie um site personalizado para WSUS de forma que o IIS hospede os serviços do WSUS em um site virtual dedicado, em vez de compartilhar o mesmo site que é usado por outros sistemas de site do Gerenciador de Configurações ou outros aplicativos.

Para obter mais informações, veja a seção Configurar o WSUS para usar um site personalizado no tópico Planejando atualizações de software no Configuration Manager.

NAP (Proteção de acesso à rede): Não confie na NAP para proteger uma rede contra usuários mal-intencionados.

Com a Proteção de Acesso à Rede os administradores podem manter a integridade dos computadores na rede, o que, por sua vez, ajuda a manter a integridade da rede em geral. Por exemplo, se um computador tiver todas as atualizações de software necessárias à política NAP do Configuration Manager, o computador será considerado compatível e obterá o acesso apropriado à rede. A Proteção de Acesso à Rede não impede que um usuário autorizado com um computador compatível carregue um programa mal-intencionado na rede ou desative o agente NAP.

NAP (Proteção de acesso à rede): Não use a imposição de NAP para DHCP em um ambiente de produção.

Use NAP para DHCP em um ambiente seguro de teste ou para fins de monitoramento apenas. Quando você usa NAP para DHCP, os invasores podem modificar os pacotes de declaração de integridade entre o cliente e o servidor de políticas de integridade NAP, e os usuários podem contornar o processo NAP.

NAP (Proteção de acesso à rede): Use políticas NAP consistentes em toda a hierarquia para minimizar a confusão.

Política NAP configurada de maneira incorreta pode resultar em clientes que deveriam ser restringidos, terem acesso à rede, ou acesso erroneamente restringido a clientes válidos. Quanto mais complicada for sua estrutura de políticas NAP, maior será o risco de erros de configuração. Configure o agente do cliente NAP do Configuration Manager e os pontos do Validador da Integridade do Sistema do Configuration Manager para usarem as mesmas configurações por toda a hierarquia, ou por hierarquias adicionais na organização, se os clientes puderem se mover entre elas.

System_CAPS_importantImportante

Se um cliente do Gerenciador de Configurações com o agente cliente de Proteção de Acesso à Rede habilitado se mover para uma hierarquia do Gerenciador de Configurações diferente, e sua declaração de integridade do cliente for validada por um ponto do Validador da Integridade do Sistema de fora de sua hierarquia, o processo de validação falhará na verificação do site. Isso resultará em um estado de integridade do cliente desconhecido, o que por padrão é configurado no servidor da política de integridade NAP como não compatível. Se o servidor de política de integridade NAP tiver políticas de rede configuradas para acesso à rede limitado, esses clientes não poderão ser remediados e terão o risco de não poderem acessar a rede integralmente. Uma política de isenção no servidor de política de integridade NAP poderia conceder um acesso à rede irrestrito a clientes do Gerenciador de Configurações que se movem para fora da hierarquia do Gerenciador de Configurações.

NAP (Proteção de acesso à rede): Não habilite a Proteção de Acesso à Rede imediatamente como uma configuração de cliente em novos sites do Gerenciador de Configurações.

Embora os servidores de site publiquem a referência do estado de integridade do Gerenciador de Configurações para um controlador de domínio quando as políticas NAP do Gerenciador de Configurações são modificadas, pode ser que esses dados novos não fiquem imediatamente disponíveis para recuperação pelo ponto do Validador da Integridade do Sistema até que a replicação do Active Directory seja concluída. Se você habilitar a Proteção de Acesso à Rede em clientes do Gerenciador de Configurações antes que a replicação esteja concluída, e seu servidor de política de integridade NAP conceder acesso limitado à rede a clientes não compatíveis, isso poderá causar um ataque de negação de serviço contra si mesmo.

NAP (Proteção de acesso à rede): Se você armazenar a referência de estado de integridade em uma floresta designada, especifique duas contas diferentes para publicar e recuperar a referência de estado de integridade.

Ao designar uma floresta do Active Directory para armazenar a referência de estado de integridade, especifique duas contas diferentes, pois são necessários conjuntos diferentes de permissões:

  • A Conta de Publicação de Referências de Estado de Integridade requer permissões de Leitura, Gravação e Criação para a floresta do Active Directory que armazena a referência de estado de integridade.

  • A Conta de Consultas de Referências de Estado de Integridade requer somente permissão de Leitura para a floresta do Active Directory que armazena a referência de estado de integridade. Não conceda a essa conta direitos de logon interativo.

NAP (Proteção de acesso à rede): Não confie na Proteção de Acesso à Rede como um mecanismo de imposição instantânea ou em tempo real.

Há atrasos inerentes no mecanismo de imposição de NAP. Enquanto o NAP ajuda a manter computadores compatíveis durante um longo tempo de execução, atrasos de imposição típicos podem ser por diversas horas ou mais, devido a uma variedade de fatores, incluindo as configurações de diversos parâmetros de configuração.

Informações de privacidade para atualizações de software

As atualizações de software verificam os computadores cliente para determinar quais atualizações de software são necessárias, e então enviam as informações de volta ao banco de dados do site. Durante o processo de atualizações de software, o Gerenciador de Configurações pode transmitir informações entre clientes e servidores que identificam o computador e as contas de logon.

O Gerenciador de Configurações mantém informações de estado sobre o processo de implantação de software. As informações de estado não são criptografadas durante a transmissão ou o armazenamento. As informações de estado são armazenadas no banco de dados do Gerenciador de Configurações e excluídas pelas tarefas de manutenção do banco de dados. Nenhuma informação de estado é enviada à Microsoft.

O uso de atualizações de software do Gerenciador de Configurações para instalar atualizações de software em computadores cliente pode estar sujeito aos termos de licença de software dessas atualizações, que são separados dos Termos de Licença de Software do Microsoft System Center 2012 Configuration Manager. Sempre examine e concorde com os Termos de Licenciamento de Software antes de instalar as atualizações de software usando o Gerenciador de Configurações.

O Gerenciador de Configurações não implementa atualizações de software por padrão e requer diversas etapas de configuração para que as informações sejam coletadas.

Antes de configurar as atualizações de software, considere os requisitos de privacidade.