Sécurité et confidentialité des mises à jour logicielles dans Configuration Manager
S'applique à: System Center 2012 Configuration Manager, System Center 2012 Configuration Manager SP1, System Center 2012 Configuration Manager SP2, System Center 2012 R2 Configuration Manager, System Center 2012 R2 Configuration Manager SP1
Notes
Cette rubrique s'affiche dans le guide Déploiement de logiciels et de systèmes d'exploitation dans System Center 2012 Configuration Manager et dans le guide Sécurité et confidentialité pour System Center 2012 Configuration Manager.
Cette rubrique contient des informations de sécurité et de confidentialité pour les mises à jour logicielles dans System Center 2012 Configuration Manager.
Meilleures pratiques de sécurité pour les mises à jour logicielles
Utilisez ces meilleures pratiques de sécurité lorsque vous déployez des mises à jour logicielles vers des clients :
Meilleure pratique de sécurité |
Plus d'informations |
|---|---|
Ne modifiez pas les autorisations par défaut des packages de mises à jour logicielles. |
Par défaut, les packages de mises à jour logicielles sont définis pour permettre aux administrateurs d'avoir un Contrôle intégral et aux utilisateurs d'avoir un accès en Lecture. La modification de ces autorisations pourrait permettre à un attaquant d'ajouter, de retirer ou de supprimer des mises à jour logicielles. |
Contrôlez l'accès à l'emplacement de téléchargement des mises à jour logicielles. |
Les comptes d'ordinateur pour le fournisseur SMS, le serveur de site et l'utilisateur administratif qui téléchargeront les mises à jour logicielles vers l'emplacement de téléchargement doivent avoir un accès en Écriture à cet emplacement. Limitez l'accès à l'emplacement de téléchargement pour éviter que des personnes malveillantes ne falsifient les fichiers sources des mises à jour logicielles. En outre, si vous utilisez un partage UNC pour l'emplacement de téléchargement, sécurisez le canal réseau à l'aide d'une signature IPsec ou SMB pour éviter la falsification des fichiers sources des mises à jour logicielles lorsqu'ils sont transférés sur le réseau. |
Utilisez le temps universel coordonné (UTC) pour évaluer les temps de déploiement. |
Si vous utilisez l'heure locale au lieu de l'heure UTC, les utilisateurs pourraient retarder l'installation des mises à jour logicielles en changeant le fuseau horaire sur leurs ordinateurs. |
Activez SSL sur WSUS, puis suivez les meilleures pratiques pour la sécurisation de Windows Server Update Services (WSUS). |
Identifiez et suivez les meilleures pratiques de sécurité pour la version de WSUS que vous utilisez avec Configuration Manager. Important Si vous configurez le point de mise à jour logicielle pour activer les communications SSL pour le serveur WSUS, vous devez configurer SSL pour les racines virtuelles sur le serveur WSUS. |
Activez la vérification de la liste de révocation de certificats. |
Par défaut, Configuration Manager ne consulte pas la liste de révocation de certificats (CRL) pour vérifier la signature des mises à jour logicielles avant de les déployer sur les ordinateurs. La vérification de la liste de révocation de certificats à chaque utilisation d'un certificat est une sécurité supplémentaire qui permet de ne pas utiliser de certificat révoqué. Toutefois, elle implique un délai de connexion et un traitement supplémentaire sur l'ordinateur qui l'effectue. Pour plus d'informations sur l'activation de la vérification de la liste de révocation des certificats pour les mises à jour logicielles, voir Comment activer la vérification de la liste de révocation de certificats pour les mises à jour logicielles. |
Configurez WSUS pour utiliser un site Web personnalisé. |
Lorsque vous installez WSUS sur le point de mise à jour logicielle, vous avez la possibilité d'utiliser le site Web IIS par défaut existant ou créer un site Web WSUS personnalisé. Créez un site Web pour WSUS de sorte que l'IIS héberge les services WSUS sur un site Web virtuel dédié, au lieu de partager le même site Web que celui utilisé par d'autres systèmes de site Configuration Manager ou d'autres applications. Pour plus d'informations, voir la section Configurer WSUS pour utiliser un site web personnalisé dans la rubrique Planification des mises à jour logicielles dans Configuration Manager. |
Protection d'accès réseau (NAP) : Ne comptez pas sur la protection d'accès réseau (NAP) pour protéger un réseau contre les utilisateurs malveillants. |
La protection d'accès réseau est conçue pour aider les administrateurs à préserver l'intégrité des ordinateurs sur le réseau, ce qui permet également de préserver l'intégrité du réseau dans sa totalité. Par exemple, si un ordinateur dispose de toutes les mises à jour logicielles requises par la stratégie NAP de Configuration Manager, l'ordinateur est considéré comme conforme, et il se verra attribuer l'accès approprié au réseau. La protection d'accès réseau n'empêche pas un utilisateur non autorisé doté d'un ordinateur conforme de télécharger un programme malveillant sur le réseau ou de désactiver l'agent NAP. |
Protection d'accès réseau (NAP) : N'utilisez pas d'application de protection d'accès réseau DHCP dans un environnement de production. |
L'application de protection d'accès réseau DHCP ne doit être utilisée que dans un environnement de test ou à des fins de surveillance. Lorsque vous utilisez la protection d'accès réseau DHCP, des personnes malveillantes peuvent modifier la déclaration des paquets d'intégrité entre le client et le serveur de la stratégie d'intégrité NAP et les utilisateurs peuvent alors contourner le processus NAP. |
Protection d'accès réseau (NAP) : Utilisez des stratégies de protection d'accès réseau dans l'ensemble de la hiérarchie afin de réduire les risques de confusion. |
Une stratégie de protection d'accès réseau mal configurée pourrait autoriser des clients à accéder au réseau alors qu'ils doivent disposer d'un accès restreint ou des clients valides pourraient disposer d'un accès restreint à tort. Plus votre stratégie NAP est complexe, plus les risques de configuration incorrecte sont élevés. Configurez l'agent du client NAP de Configuration Manager et les points du programme de validation d'intégrité système de Configuration Manager pour qu'ils utilisent les mêmes paramètres dans l'ensemble de la hiérarchie ou sur des hiérarchies supplémentaires dans l'organisation si les clients peuvent se déplacer entre elles. Important Si un client Configuration Manager pour lequel l'agent du client de protection d'accès réseau est activé se déplace dans une autre hiérarchie Configuration Manager et que sa déclaration d'intégrité est validée par un point du programme de validation d'intégrité système en dehors de sa hiérarchie, le processus de validation ne parviendra pas à effectuer la vérification du site. Par conséquent, l'état d'intégrité d'un client sera inconnu, cet état étant configuré par défaut sur le serveur de stratégie d'intégrité NAP comme non conforme. Si le serveur de stratégie d'intégrité NAP comporte des stratégies réseau configurées pour un accès limité au réseau, ces clients ne pourront pas être mis à jour et risqueront d'être incapables d'accéder à l'intégralité du réseau. Une stratégie d'exemption sur le serveur de stratégie d'intégrité NAP pourrait donner aux clients Configuration Manager qui se déplacent hors de leur hiérarchie Configuration Manager un accès au réseau sans restriction. |
Protection d'accès réseau (NAP) : N'activez pas immédiatement la protection d'accès réseau comme un paramètre client de nouveaux sites Configuration Manager. |
Même si les serveurs de site publient la référence d'état d'intégrité de Configuration Manager sur un contrôleur de domaine lorsque des stratégies NAP de Configuration Manager sont modifiées, ces nouvelles données ne sont peut-être pas disponibles immédiatement pour extraction par le point du programme de validation d'intégrité système tant que la réplication Active Directory n'est pas terminée. Si vous activez la protection d'accès réseau sur des clients Configuration Manager avant la fin de la réplication et si votre serveur de stratégie d'intégrité NAP octroie aux clients non conformes un accès réseau limité, vous pourrez provoquer une attaque par déni de service contre vous-même. |
Protection d'accès réseau (NAP) : Si vous stockez la référence d'état d'intégrité dans une forêt désignée, spécifiez deux comptes différents pour la publication et la récupération de la référence d'état d'intégrité. |
Lorsque vous désignez une forêt Active Directory pour stocker la référence d'état d'intégrité, spécifiez deux comptes différents, car ils nécessitent différents jeux d'autorisations :
|
Protection d'accès réseau (NAP) : Ne comptez pas sur la protection d'accès réseau car elle ne constitue pas un système d'application instantané ou en temps réel. |
Il existe des délais inhérents au mécanisme d'application de la protection d'accès réseau. La protection d'accès réseau contribue à assurer la conformité des ordinateurs dans le temps, cependant, les délais d'application sont généralement de plusieurs heures (voire plus) en raison de différents facteurs, notamment les réglages de divers paramètres de configuration. |
Informations de confidentialité pour les mises à jour logicielles
Les mises à jour logicielles analysent vos ordinateurs clients pour connaître les mises à jour requises et renvoient les informations à la base de données de site. Au cours du processus de mise à jour logicielle, Configuration Manager peut faire circuler, entre les clients et les serveurs, des informations qui permettent d'identifier les comptes d'ordinateurs et d'ouvertures de session.
Configuration Manager conserve les informations d'état relatives au processus de déploiement de logiciels. Les informations d'état ne sont pas chiffrées au cours de la transmission ou du stockage. Les informations d'état sont stockées dans la base de données Configuration Manager et sont supprimées par les tâches de maintenance de la base de données. Aucune information d'état n'est renvoyée à Microsoft.
L'utilisation des mises à jour logicielles Configuration Manager pour installer les mises à jour logicielles sur les ordinateurs clients peut être soumise à un contrat de licence indépendant du contrat de licence logiciel de Microsoft System Center 2012 Configuration Manager. Consultez et acceptez toujours les termes du contrat de licence logicielle pour pouvoir installer les mises à jour logicielles à l'aide de Configuration Manager.
Configuration Manager n'implémente pas les mises à jour logicielles par défaut et requiert plusieurs étapes de configuration avant de collecter les informations.
Avant de configurer les mises à jour logicielles, réfléchissez à vos besoins en matière de confidentialité.