Segurança do SharePoint: Os conceitos básicos da segurança de implantações do SharePoint

Brien Posey

Até mesmo um administrador inexperiente pode implantar o Microsoft Office SharePoint Server 2007 em questão de horas. Provavelmente, porém, que enquanto a implantação básica será realmente funcional, ele provavelmente não seja configurado para obter a segurança máxima. SharePoint Server 2007 é um desses aplicativos de fácil instalação, mas difícil de fazer então corretamente.

O que torna a segurança tão desafiador é que o SharePoint 2007 é um produto monolítico que tentam ser tudo para todas as pessoas. SharePoint 2007 é um aplicativo da Web, mas você também pode considerar dele como uma ferramenta de colaboração, um servidor de documentos ou até mesmo uma estrutura de desenvolvimento. A natureza altamente personalizável e abstrata do SharePoint é o que torna difícil de proteger.

Como você você provavelmente já percebeu, não há uma solução mágica à proteção do SharePoint. Cada implantação do SharePoint é exclusiva, então uma única solução não é prática apenas. No entanto, há uma abordagem básica que funcione em todas as implantações.

Se você nunca criou um site do SharePoint, você saberá que SharePoint foi projetado para ser modular, com blocos de construção, que você pode usar para criar sites SharePoint, conjuntos de sites, listas, bibliotecas e assim por diante. E quando se trata de segurança, você pode usar essa natureza modular a seu favor.

A idéia é se concentrar em proteger os componentes individuais da implantação do SharePoint. A natureza modular do SharePoint significa que sua implantação normalmente requer muitos servidores individuais do SharePoint. Assim, se você desejar que a implantação segura, você deve configurar esses servidores individuais para ser seguro.

SQL Server

Todos os dados contidos nas listas do SharePoint e bibliotecas é armazenado em um banco de dados do SQL Server subjacente, que também armazena a maioria das configurações de configuração do SharePoint. Claramente, adequadamente a proteção do SQL Server é essencial.

Organizações menores geralmente instalar SQL Server e SharePoint no mesmo servidor reduzir os custos de hardware do servidor. Mas a implantação do SQL Server e SharePoint em um computador comum é uma boa idéia de um tanto uma segurança e um ponto de vista do desempenho.

Um dos conceitos mais fundamentais de segurança de TI é minimizar a superfície de ataque do servidor. Se SQL e SharePoint residem no mesmo servidor, esse servidor irá tiver uma superfície de ataque grandes. Portanto, é minha primeira recomendação executar o SQL Server em uma máquina dedicada. Se um SQL Server dedicado estiver além do orçamento da sua organização, considere o uso de virtualização de servidores para isolar SQL e SharePoint.

Também é uma boa idéia desativar os serviços não utilizados e componentes. Uma implementação básica do SharePoint usa o mecanismo de banco de dados do SQL Server, o SQL Server Agent e os componentes de navegador do SQL Server. Instalações mais avançadas podem requerer serviços de indexação de texto completo, análise ou relatório.

Como decidir o que desativar? A Microsoft fornece uma ferramenta chamada do SQL Server ferramenta Configuração da área de superfície (mostrada em Figura 1) que pode ajudar com o processo. Essa ferramenta é projetada para analisar sua implementação do SQL Server e desabilitar nada que não está sendo usado. Depois de obter SharePoint em execução, você deve executar este utilitário.

Para acessar a ferramenta, escolha a opção de configuração da área de superfície do SQL Server a partir Iniciar do servidor | todos os programas | Microsoft SQL Server 2005 | menu Ferramentas de configuração.

Figura 1 Ferramenta de configuração de área de superfície do SQL Server podem ajudá-lo a descobrir quais componentes e serviços que você pode desativar.

Você deve também cuidadosamente o método de autenticação selecionado para segurança do SQL Server. Embora você pode escolher o modo misto ou modo de autenticação do Windows, você deve configurar o SQL Server para usar a autenticação do Windows sempre que possível. Modo do Windows é mais seguro que o modo misto porque ele usa o protocolo de segurança Kerberos durante o processo de autenticação. Além disso, a autenticação do Windows usa contas de usuário de domínio, portanto, as diretivas de senha que estabeleceram dentro do Active Directory permanecerão em vigor.

Contas de serviço

Um dos maiores erros de segurança administradores fazer ao implantar o SharePoint 2007 é que eles Don configurar corretamente as contas de serviço. Se já tiver instalado o SharePoint 2007, você saberá há vários pontos durante os processos de implantação e configuração onde você é solicitado a fornecer uma conta de serviço.

Os administradores com muita freqüência, crie uma conta de serviço simples e usá-lo durante todo o processo de instalação do SharePoint. Embora o servidor do SharePoint resultante seja funcional, essa abordagem é arriscada do ponto de vista da segurança.

O problema é que, sempre que você fornecer SharePoint com uma conta de serviço, a conta designada recebe direitos para executar a tarefa a ser realizada. SharePoint fornece a conta com permissões suficientes para fazer seu trabalho, nada mais. Mas se você usar a mesma conta de serviço várias vezes durante o processo de implantação, acabar com uma conta com permissões excessivas porque ele recebe direitos adicionais sempre que você usa a ele. Em seguida, alguém poderia executar o código em um servidor do SharePoint que explora esses direitos excessivos e obtenha controle sobre o servidor.

Há muitas informações contraditórias sobre como estruturar as contas que o SharePoint usa. Ele se tornou difícil até mesmo confirmar as práticas recomendadas. Ainda assim, se você estiver executando uma implantação básica do SharePoint, usando um mínimo de cinco contas separadas é aconselhável.

Também é aconselhável para criar uma conta de usuário especial somente para o propósito de instalação do SharePoint e SQL Server. É prática comum para administradores efetuem usando em sua própria conta pessoal ou a conta de administrador do domínio ao implantar o SharePoint. Usando uma conta existente pode ser um erro de uma segurança em potencial, porque essa conta será concedida direitos adicionais para concluir o processo de instalação.

Se você decidir usar uma conta dedicada para instalação, você deve fazer a conta um membro do grupo do administrador local em cada um dos seus servidores SharePoint. Você também deverá tornar a conta um membro do grupo de logins do SQL Server, que permitirá que o registro de conta na instância do SQL Server.

Finalmente, será necessário atribuir a conta as funções do criador de banco de dados do SQL Server e SQL Server Security Administrator no SQL Server. Essas funções conceder a permissão de contas para criar e modificar os bancos de dados e gerenciar a segurança do SQL Server. Essas permissões especiais são a base da recomendação para usar uma conta de usuário dedicada.

Além de criar uma conta especificamente para o processo de instalação do SharePoint, você terá que criar algumas contas de serviço:

Conta de acesso a banco de dados. Esta é a conta do que SharePoint usará para se comunicar com o banco de dados do SQL Server.

Conta do serviço de pesquisa do SharePoint. O serviço de pesquisa do SharePoint usará essa conta para gravar arquivos de índice de conteúdo para o servidor de índices e replicar as informações de índice para quaisquer servidores de consulta que existem no farm de.

Conta de acesso a conteúdo. Essa conta é usada para rastrear o conteúdo dentro de um provedor de serviços compartilhados específico. Em alguns casos, talvez seja necessário criar várias contas de acesso a conteúdo para que várias fontes de conteúdo pode ser rastreado individualmente.

Conta de serviço do pool de aplicativo. Os processos do operador no IIS usam essa conta. Os aplicativos da Web dentro do pool devem ter um modo de acessar bancos de dados de conteúdo SharePoint e a conta de identidade do pool de aplicativos facilita esse processo.

Conta de serviço do SQL Server. O SQL Server também requer uma conta de serviço e você deve usar uma conta dedicada para essa finalidade.

Mais avançados do SharePoint implantações podem requerer o uso de contas de serviço adicionais. A seção conteúdo relacionados no final deste artigo inclui um link para um artigo do TechNet fornece informações detalhadas sobre algumas das outras contas de serviço que pode ser necessário.

Convenções de nomenclatura

Agora você pode ver que você vai tem que criar muitas contas antes de começar, mesmo a implantação do SharePoint. Um truque para garantir uma implantação tranqüila é decidir sobre uma convenção de nomenclatura para suas contas de serviço antes de criá-los.

Existem diferentes abordagens que você pode usar em estabelecer uma convenção de nomeação de conta de serviço, mas há algumas regras básicas, que você deve seguir. É aconselhável fazer os nomes descritivos como como você pode e reserve um tempo para documentar os nomes escolhidos e suas finalidades. Por exemplo, você pode chamar a conta de pesquisa do SharePoint algo como SPT_Search.

O motivo para não ortografia para fora do SharePoint tem a ver com algumas limitações de legado. O Windows permite que os nomes de usuário de 100 caracteres, mas ao mesmo tempo os nomes de usuário eram limitados a dezesseis caracteres. Problemas inesperados ocasionalmente cortar com os nomes de usuário mais devido a hardware herdado ou software. Embora seja raro, aconteceu então é melhor usar nomes mais curtos.

Tenha em mente que enquanto eu tenha recomendado usando nomes de conta de serviço descritivo e ela certamente facilita para os administradores, fazendo assim, não sempre fornece segurança ideal. As contas de serviço fazem bons alvos para hackers porque têm permissões maiores do que as contas de usuário normal. Eles geralmente também têm senhas estáticas e inalteradas. Que seja o caso, convém considerar camouflaging suas contas de serviço. Se você fizer isso, certifique-se de documentar os nomes de conta de serviço e funções.

Criptografia de tráfego

Quando se trata de planejar uma implantação do SharePoint, os administradores gastam muito tempo projetar a arquitetura do servidor. Um elemento que às vezes é negligenciado é pública PKI (infra estrutura de chave). você precisa ter PKI em vigor antes da implantação do SharePoint, de forma corretamente, você pode criptografar o tráfego do SharePoint. Tráfego HTTP entre servidores SharePoint e usuários finais precisa ser a criptografia de SSL (usando HTTPS).

Da mesma forma, o tráfego entre servidores do SharePoint deve ser criptografado usando o IPSec. Os dois tipos de criptografia são dependentes em certificados e em uma infra-estrutura subjacente de PKI.

Essas práticas recomendadas de segurança são abrangentes por de forma alguma. Eles são, no entanto, um bom ponto de partida, que você pode usar para garantir que a instalação do SharePoint seja tão segura quanto possível.

Brien Posey MVP, é autor de um técnico freelance com milhares de artigos e dezenas de livros para seu crédito. Você pode visitar seu site no * brienposey.com*.

Conteúdo relacionado

·       Plano de contas administrativas e de serviços (Office SharePoint Server)

·       Noções básicas sobre a configuração da área de superfície

·       O Active Directory certificado Services guia passo a passo