Autenticação |
Não use logon automático do cliente quando usar o site da Administração Central. Permita que apenas computadores de servidor Web front-end efetuem a autenticação dos usuários. Não permita que contas ou grupos de usuários finais realizem autenticação no computador do servidor de banco de dados. |
Autorização |
Atribua permissões a grupos, e não a contas individuais. |
Níveis de permissão |
Atribua aos usuários as permissões mínimas necessárias para que realizem suas tarefas. |
Administração |
Use permissões de acesso para proteger o site da Administração Central e permita que os administradores conectem-se ao site remotamente (em vez de habilitar o site da Administração Central apenas para uso em computadores locais). Isso minimiza o requisito para que os administradores façam logon localmente no computador que está hospedando a Administração Central. Configurar o acesso ao computador por Serviços de Terminal gera um risco maior à segurança do que deixar o site da Administração Central disponível para acesso remoto. |
Integração de email |
Configure o Office SharePoint Server 2007 para aceitar apenas emails que tenham sido retransmitidos por meio de um servidor de email dedicado, como o Microsoft Exchange Server, que filtra vírus e emails comerciais não solicitados e autentica o remetente do email. Quando você define as configurações de fluxo de trabalho, o Office SharePoint Server 2007 permite que você habilite os participantes que não possuem permissões de acesso a determinado documento em um site a receberem o documento como um anexo de email. Em um ambiente seguro, não selecione a opção Permitir que usuários externos participem do fluxo de trabalho enviando a eles uma cópia do documento. No Office SharePoint Server 2007, essa opção não está selecionada por padrão. |
Armazenamento e segurança de Web Parts |
Certifique-se de implantar apenas códigos confiáveis em seu farm de servidores. Todos os códigos, XML ou ASP.NET, implantados devem ser de fonte confiável, mesmo que você pretenda aumentar a segurança depois da implantação com medidas de defesa detalhadas, como segurança de acesso a código. Verifique se a lista SafeControl no arquivo Web.config contém o conjunto de controles e as Web Parts que deseja permitir. Verifique se as Web Parts personalizadas que você deseja reforçar com medidas de defesa detalhadas estão instaladas no diretório bin do aplicativo Web (onde a confiança parcial está ativada), com permissões específicas para cada assembly. Considere remover a Web Part do Editor de Conteúdo da lista SafeControl. Isso impedirá que os usuários adicionem JavaScript à página como uma Web Part e usem JavaScript hospedado em servidores externos. Certifique-se de que as pessoas apropriadas em sua organização tenham acesso aos níveis de permissão Design e Contribuir em seu site. Um usuário com o nível de permissão Contribuir pode carregar páginas com Extensão Active Server Page (ASPX) em uma biblioteca e adicionar Web Parts. Usuários com o nível de permissão Design, que têm permissão para adicionar Web Parts, podem modificar páginas, incluindo a home page do seu site (Default.aspx). |
Pesquisar |
A conta padrão de acesso a conteúdo não deve fazer parte do grupo Administradores de Farm; do contrário, o serviço Office SharePoint Server Search indexará versões não publicadas de documentos. Verifique se os IFilters adicionais e os separadores de palavras implantados são de confiança da sua equipe de TI. Por padrão, o arquivo do índice de pesquisa está acessível somente para membros do grupo Administradores de Farm. Verifique se esse arquivo não está acessível a usuários que não pertencem a esse grupo. |
Perfis de usuários |
A conta de acesso de conteúdo Perfis de Usuário e Propriedades é usada para conexão e importação de dados de um serviço de diretório. Se você não fornecer credenciais para essa conta, a conta padrão de acesso de conteúdo será usada. Você pode especificar uma conta diferente para cada serviço de diretório. Para ter um ambiente mais seguro, use uma conta que tenha acesso de leitura ao serviço de diretório. Não conceda o acesso à conta padrão de acesso de conteúdo para o serviço de diretório. Para obter mais informações, consulte Planejar contas administrativas e de serviço (Office SharePoint Server). |
Meus Sites |
As pessoas com o nível de permissão Ler podem exibir todos os Meus Sites. Por padrão, todos os usuários autenticados recebem o nível de permissão Ler. Para ter um ambiente mais seguro, conceda o nível de permissão Ler somente aos grupos necessários. Você pode conceder o nível de permissão Ler a grupos individuais na seção Grupo de Sites Leitor Padrão na página Definições de Meu Site no site da Administração dos Serviços Compartilhados. Para especificar as ações que os membros de um grupo podem realizar, na home page da Administração dos Serviços Compartilhados, clique em Permissões de serviços de personalização, selecione o grupo cujas permissões você deseja alterar e clique em Modificar Permissões de Usuários Selecionados. Os SSPs (Provedores de Serviços Compartilhados) podem ser configurados para confiar em outros SSPs em um ambiente. Essa confiança permite que um SSP determine a qual SSP um usuário pertence. Como consequência, quando um usuário cria um Meu Site, os SSPs confiáveis podem determinar qual SSP deve hospedar o Meu Site, independentemente do local de navegação do usuário ao clicar no link para criar um Meu Site. Isso garante que os usuários tenham somente um Meu Site na organização. Além disso, quando os usuários adicionam links a seus sites pessoais, os SSPs confiáveis criam o link do contexto do SSP do usuário, e não do SSP que o usuário está navegando no momento. Os SSPs confiáveis também garantem que links não sejam adicionados a locais não confiáveis. Para ter um ambiente mais seguro, certifique-se de que as listas de Locais Confiáveis de Host de Meu Site sejam gerenciadas de maneira uniforme em todos os SSPs. O ideal seria que as listas tivessem a mesma configuração em todos os SSPs. |
Criação de site pessoal |
Você pode usar a página Gerenciamento de Site Pessoal para permitir que os usuários criem e gerenciem seus próprios sites de nível superior automaticamente. Quando você habilita a criação de site pessoal em um aplicativo Web, os usuários podem criar seus próprios sites de nível superior em um caminho específico (por padrão, o caminho /sites). Quando a criação de site pessoal é habilitada, um anúncio é adicionado ao site de nível superior no caminho raiz do aplicativo Web, e os usuários que tiverem permissões para exibir esse anúncio poderão se conectar ao novo site.
A necessidade de habilitar a criação de site pessoal dependerá do ambiente:
Ambiente de Intranet Habilite a criação de site pessoal de acordo com a necessidade dos negócios. Ambiente de colaboração seguro Habilite a criação de site pessoal somente para pessoas ou grupos que precisem deste recurso para negócios. Ambiente externo anônimo Não habilite a criação de site pessoal na Internet. |
Diretório de sites |
Alguns modelos de site incluem um diretório de sites. Um diretório de sites é uma página da Web de links aprovados. Qualquer pessoa pode enviar um site para avaliação no diretório de sites. Somente os administradores de diretório de sites podem aprovar e adicionar sites ao diretório de sites.
Em uma intranet segura, não aprove links para sites fora do firewall corporativo. Por padrão, qualquer pessoa que possua o nível de permissão Colaborador pode enviar sites para aprovação. Isso não é recomendado para sites de intranet grandes nem sites públicos. Nesses sites, limite o número de pessoas que podem enviar sites reduzindo o número de pessoas para quem você concede o nível de permissão Colaborador ou permitindo que somente os administradores de diretório de sites enviem sites. |
Web Part RSS |
Por padrão, a Web Part RSS pode acessar somente feeds anônimos. Para permitir feeds autenticados (como os feeds para conteúdo do site do SharePoint autenticado), você deve conceder aos servidores Web o acesso ao servidor apropriado usando a delegação restrita no serviço de diretório do Active Directory. |
Cache de conteúdo de páginas com conteúdo personalizado |
Você pode usar o cache de saída para otimizar o desempenho em sites que exibam conteúdo personalizado. Nesse cenário, a substituição pós-cache é usada para garantir que o conteúdo personalizado seja atualizado para o usuário. Como consequência, se toda a página ou grande parte dela incluir conteúdo personalizado, o desempenho não vai melhorar muito se você usar o cache de saída.
Se você planeja habilitar o cache de saída em páginas com conteúdo personalizado, verifique se os sites que exibem conteúdo personalizado oferecem suporte para substituição pós-cache se as seguintes condições forem aplicáveis:
Nesse cenário, todos os usuários anônimos veem conteúdo idêntico. O conteúdo que os usuários autenticados veem depende se há conteúdo personalizado exibido e se há suporte para substituição pós-cache para este conteúdo:
Se houver suporte para substituição pós-cache no conteúdo personalizado, os usuários autenticados com as mesmas permissões poderão exibir somente seu próprio conteúdo personalizado. Se não houver suporte para substituição pós-cache no conteúdo personalizado, os usuários com as mesmas permissões também verão conteúdo idêntico. Por exemplo, se o conteúdo personalizado for armazenado em cache primeiro para o usuário A, todos os usuários subsequentes com as mesmas permissões verão o conteúdo personalizado do usuário A em vez do seu próprio. |
Implantação de conteúdo |
Se você não estiver usando o recurso de implantação de conteúdo, não permita que o farm de servidores aceite trabalhos de implantação de conteúdo de entrada de outro farm. A configuração padrão é rejeitar trabalhos de implantação de conteúdo de entrada. |
InfoPath Forms Server |
Se habilitado, o proxy do serviço Web do InfoPath Forms Services deve ser executado em uma única conta de pool de aplicativos. Desabilite o proxy, caso não seja usado. Analise todos os modelos de formulário que contenham código antes de carregar no computador servidor. Para obter mais informações, consulte Implantar modelos de formulário aprovados pelo administrador (Office SharePoint Server). Em cenários somente de navegador, use as listas de controle de acesso (ACLs) no Office SharePoint Server 2007 para impedir que o XSN seja baixado por usuários. Considere cuidadosamente se deve ou não permitir que os modelos de formulário do usuário sejam habilitados para navegador. Considere cuidadosamente se deve ou não permitir o processamento dos modelos de formulário de usuário feito pelo navegador. Use os limites configuráveis para reduzir os ataques de negação de serviço. As sessões de usuário são encerradas com base em limites, incluindo:
Número máximo de postbacks permitidos por estado de sessão de formulário. Número máximo de ações permitidas por postback. Tamanho máximo do estado da sessão do formulário. Tempo máximo que uma sessão de formulário pode permanecer ativa. Use com cuidado os recursos em formulários habilitados para navegador. Os seguintes recursos podem fazer com que o tamanho do XML de formulário aumente significativamente, elevando o risco de ataques de negação de serviço:
|
Conexões de dados do InfoPath |
Ative Aprovação de Conteúdo nas bibliotecas de conexões de dados e certifique-se de que somente usuários confiáveis tenham direitos de aprovação de conteúdo. Proteja informações de autenticação exclusivas do servidor usando o atributo AltDataSource no arquivo UDC (universal data connection) e dando aos usuários somente a permissão Exibir no arquivo UDC do servidor, ou definindo webAccessible como false na biblioteca de conexões gerenciada por administrador (Gerenciar Arquivos de Conexão de Dados). Analise e monitore o uso de conexões de dados entre domínios para garantir que somente dados apropriados sejam movidos para dentro e para fora do domínio. Por padrão, modelos de formulário do usuário processados em um navegador não podem usar autenticação exclusiva do servidor. Em um ambiente seguro, limite o uso da autenticação exclusiva do servidor, como logon único (SSO) ou autenticação de senha e nome de usuário explícito. Não use senhas e nomes de usuário explícitos em arquivos UDC, exceto para criação de protótipo em um computador servidor de teste. Use SSO. Não use credenciais incorporadas do SQL Server em uma cadeia de conexão de banco de dados. Use SSO. Use o proxy do Serviço Web somente com um serviço Web criado para usar o UserNameToken fornecido para autorizar o acesso aos dados ou para limitar o conjunto de dados retornado. Exija uma conexão SSL para se conectar a fontes de dados que requeiram autenticação básica ou digest, porque as credenciais são transmitidas de forma insegura através da rede. Não autentique os usuários com base nos dados inseridos em um formulário pelo usuário. Em vez disso, use um método mais seguro de autenticação. |
Acesso a dados do Serviços de Cálculo do Excel |
Há dois modelos de acesso a dados que podem ser usados por qualquer uma das topologias de farm de servidores do Serviços do Excel no Microsoft Office SharePoint Server 2007: subsistema confiável e delegação restrita de Kerberos.
Subsistema confiável A configuração padrão de um farm de servidores do Windows, pois ele não possui os requisitos de configuração extras do modelo de delegação. No modelo de subsistema confiável, os servidores Web front-end e os servidores de aplicativos que executam o Serviços de Cálculo do Excel confiam nas contas dos aplicativos associados do Office SharePoint Server 2007 usando o SSP. Em um ambiente de subsistema confiável, ao abrir arquivos do Office SharePoint Server 2007, as verificações de permissão nos arquivos podem ser realizadas em identidades de usuário final, mesmo que a autenticação Kerberos não esteja configurada. Se os servidores de aplicativos do Serviços de Cálculo do Excel estiverem abrindo pastas de trabalho de pastas compartilhadas UNC ou de sites HTTP, a conta de usuário não poderá ser representada, e a conta de processo deverá ser usada. Delegação restrita de Kerberos É a configuração preferencial para implantação do Serviços do Excel. A delegação restrita de Kerberos é a configuração mais segura para comunicação entre servidores Web front-end e servidores de aplicativos do Serviços de Cálculo do Excel, além de ser a configuração mais segura para acessar fontes de dados de back-end de servidores de aplicativos. Em conexões de dados externas, a autenticação integrada do Windows só funcionará se o modelo de delegação estiver implementado. |
Comunicação segura no Serviços de Cálculo do Excel |
Você pode usar o protocolo IPsec ou SSL para criptografar a transmissão de dados entre fontes de dados, computadores cliente, servidores Web front-end e servidores de aplicativos do Serviços do Excel. Para requerer a transmissão de dados criptografados entre computadores cliente e servidores Web front-end, no site da Administração de Serviços Compartilhados, na página Configurações dos Serviços do Excel, altere a configuração Criptografia de Conexões de Opcional para Obrigatória. Opcional é a configuração padrão. Se você alterar a configuração Criptografia de Conexões para Obrigatória, o servidor de aplicativos do Serviços de Cálculo do Excel permitirá somente a transmissão de dados entre computadores cliente e servidores Web front-end em conexões SSL.
Se você quiser exigir a transmissão de dados criptografados, deverá configurar manualmente o IPsec ou SSL. Você pode requerer conexões criptografadas entre computadores cliente e servidores Web front-end e permitir conexões não criptografadas entre servidores Web front-end e servidores de aplicativos do Serviços de Cálculo do Excel. |