Impostazione della sicurezza dei client per Lync Server 2010

Ultima modifica dell'argomento: 2011-07-17

Quando si configurano i client prima della distribuzione di una rete di Microsoft Lync Server 2010, applicare le misure consigliate seguenti per migliorare la sicurezza dei client:

• Utilizzare Windows 7, Windows Vista o Windows XP con il Service Pack più recente.

• Configurare i criteri client per la crittografia di contenuto multimediale e altre funzionalità. Alcuni di questi criteri chiave sono criteri di avvio automatico dei client che specificano ad esempio i server predefiniti e la modalità di sicurezza che il client deve utilizzare fino al completamento dell'accesso. Poiché diventano effettivi prima che il client esegua l'accesso e inizi a ricevere impostazioni di provisioning di tipo in-band dal server, questi criteri devono essere presenti nel Registro di sistema del computer client prima dell'accesso iniziale. È possibile utilizzare Criteri di gruppo per configurare questi criteri. Alcune impostazioni invece devono essere configurate utilizzando Lync Server Management Shell prima della distribuzione dei client. Per informazioni dettagliate su questi criteri e impostazioni, vedere Criteri e impostazioni client chiave nella documentazione relativa alla pianificazione.

• Configurare Lync 2010 per l'utilizzo di TLS, che fornisce la segnalazione crittografata. La riservatezza anche di comunicazioni crittografate diversamente, ad esempio quelle multimediali, non è garantita quando un utente si connette al server utilizzando TCP. La chiave di crittografia può essere intercettata dall'autore di un attacco e utilizzata per decrittografare il messaggio. Se è necessario consentire le connessioni client su TCP, tenere presente questa vulnerabilità.

• Il trasferimento di file tra utenti è peer-to-peer. Tutti i trasferimenti di file sono crittografati per impostazione predefinita. Chiedere agli utenti di eseguire una verifica antivirus prima di aprire i file trasferiti.

• Tenere in considerazione le restrizioni sulle connessioni client e sui messaggi.

• Isolare gli utenti in base ai requisiti di utilizzo.

• Eseguire il software antivirus nel client.

• Eseguire la verifica della disponibilità e applicare con frequenza gli aggiornamenti generali e di sicurezza.

• Utilizzare le procedure consigliate relative alle password complesse.

• Eseguire solo le applicazioni e i servizi necessari.

• Abilitare l'impostazione di Criteri di gruppo Richiedi modalità di protezione avanzata SIP per l'oggetto Criteri di gruppo degli utenti.

Il controllo dell'accesso per un account utente in genere viene eseguito abilitando e disabilitando ogni account utente in Active Directory. Se tuttavia un utente è attualmente connesso a Lync Server 2010 quando si disabilita il relativo account, egli continuerà a disporre dell'accesso finché non si disconnetterà. Un utente inoltre può continuare a eseguire l'accesso fino a 180 giorni dopo la disabilitazione del relativo account in Active Directory (tempo di scadenza predefinito dei certificati di Lync). Per ovviare a questo problema, è possibile disabilitare l'autenticazione basata sui certificati o ridurre il tempo di scadenza dei certificati. Per garantire l'accesso a Lync Server 2010 solo agli utenti che dispongono di credenziali appropriate, è inoltre possibile eseguire le operazioni seguenti:

• Se si disabilita un utente in Active Directory e si desidera evitare che tale utente possa accedere a Lync Server 2010, utilizzare Lync Server Management Shell per eseguire il cmdlet Disable-CsUser. In questo modo viene forzata la disconnessione dell'utente, qualora abbia eseguito l'accesso, e viene impedito che l'utente possa riaccedere, a meno che non venga riabilitato.

  Avviso:

  Con l'esecuzione del cmdlet Disable-CsUser vengono eliminati i dati utente. Se si desidera mantenerli, non utilizzare questo cmdlet, bensì eseguire Set-CSUser -Enabled $false -Identity <userIdentity> per disabilitare tutte le funzionalità di Lync e non solo l'autenticazione basata sui certificati, mantenendo però i dati utente. È inoltre possibile utilizzare il cmdlet Revoke-CsClientCertificate per impedire l'accesso al client.

• Se esiste il rischio che la password di un utente sia stata violata e si reimposta la password in Active Directory, utilizzare Lync Server Management Shell per eseguire il cmdlet Revoke-CSClientCertificate. In questo modo viene revocato il certificato client e si evita che la password precedente possa essere utilizzata per l'accesso all'account in futuro.

Per informazioni dettagliate sull'utilizzo di questi cmdlet, vedere il cmdlet specifico nella sezione Lync Server Management Shell della documentazione relativa alle operazioni.