Segurança e Privacidade para Atualizações de Software no Configuration Manager

Não altere as permissões predefinidas nos pacotes de atualização de software.

Por predefinição, os pacotes de atualização de software são configurados para permitir Controlo Total aos administradores e acesso de Leitura aos utilizadores. Se alterar estas permissões, poderá permitir que um intruso adicione, remova ou elimine as atualizações de software.

Utilize a UTC para avaliar a tempos de implementação.

Se utilizar a hora local em vez da UTC, os utilizadores poderão atrasar a instalação das atualizações de software alterando o fuso horário nos respetivos computadores

Ative a verificação CRL.

Por predefinição, o Gestor de configuração não verifica a lista de revogação de certificados (CRL) para confirmar a assinatura nas atualizações de software antes da respetiva implementação nos computadores. A verificação da CRL sempre que é utilizado um certificado oferece mais segurança contra a utilização de um certificado revogado, mas provoca um atraso de ligação e implica um processamento adicional no computador que a está a efetuar.

Para obter mais informações sobre como ativar a verificação CRL para as atualizações de software, consulte Como ativar a verificação CRL para atualizações de software.

Proteção de Acesso à Rede (NAP): Não confie na NAP para proteger uma rede de utilizadores mal intencionados.

A Proteção de Acesso à Rede foi concebida para ajudar os administradores a manter o estado de funcionamento dos computadores na rede, que por sua vez ajuda a manter a integridade global da rede. Por exemplo, se um computador tiver todas as atualizações de software exigidas pela política de NAP do Configuration Manager, é considerado compatível e ser-lhe-á concedido o acesso apropriado à rede. A Proteção de Acesso à Rede não impede um utilizador autorizado com um computador compatível de carregar um programa malicioso na rede ou desativar o agente NAP.

Proteção de Acesso à Rede (NAP): Utilize políticas de NAP consistentes em toda a hierarquia para minimizar a confusão.

Políticas de NAP configuradas incorretamente podem permitir o acesso à rede por clientes com acesso restrito ou fazer com que clientes válidos fiquem com o acesso erradamente restringido. Quanto mais complicada for a estrutura da política de NAP, maior o risco de configuração incorreta. Configure o agente do cliente de NAP do Configuration Manager e os pontos do Validador de Estado de Funcionamento do Sistema do Configuration Manager para utilizar as mesmas definições em toda a hierarquia ou em hierarquias adicionais da organização se os clientes puderem mover-se entre elas.

Importante

Se um cliente do Gestor de configuração com o agente do cliente de Proteção de Acesso à Rede ativado se mover para outra hierarquia do Gestor de configuração e a sua declaração de estado de funcionamento do cliente for validada por um ponto do Validador de Estado de Funcionamento do Sistema a partir do exterior da hierarquia, o processo de validação não conseguirá efetuar a verificação do site. Isto resultará num estado de funcionamento do cliente desconhecido, que, por predefinição, está configurado no servidor de políticas de estado de funcionamento NAP como não compatível. Se o servidor de políticas de estado de funcionamento NAP tiver políticas de rede configuradas para acesso limitado à rede, estes clientes não poderão ser retificados, correndo o risco de não conseguirem aceder a toda a rede. Uma política de isenção no servidor de políticas de estado de funcionamento NAP poderia conceder acesso à rede sem restrições aos clientes do Gestor de configuração que se movem para fora da hierarquia do Gestor de configuração.

Proteção de Acesso à Rede (NAP): Se armazenar a referência de estado de funcionamento numa floresta designada, especifique duas contas diferentes para a publicar e obter.

Ao designar uma floresta do Active Directory para armazenar a referência de estado de funcionamento, especifique duas contas diferentes, pois requerem conjuntos diferentes de permissões:

• A Conta de Publicação de Referência de Estado de Funcionamento requer permissões de Leitura, Escrita e Criar para a floresta do Active Directory que armazena a referência de estado de funcionamento.

• A Conta de Consulta de Referência de Estado de Funcionamento requer apenas a permissão de Leitura para a floresta do Active Directory que armazena a referência de estado de funcionamento. Não conceda direitos de início de sessão interativo a esta conta.