Segurança e privacidade para gestão de aplicações no Gestor de Configuração

Aplica-se a: Gestor de Configuração (ramo atual)

Diretrizes de segurança

Especificar centralmente afinidade do dispositivo de utilizador

Especificar manualmente a afinidade do dispositivo do utilizador em vez de permitir que os utilizadores identifiquem o seu dispositivo primário. Não ative a configuração baseada no uso.

Não considere a informação recolhida dos utilizadores ou do dispositivo como autoritária. Se implementar software utilizando afinidade do dispositivo de utilizador que um administrador de confiança não especifica, o software pode ser instalado em computadores e em utilizadores que não estejam autorizados a receber esse software.

Não faça implementações a partir de pontos de distribuição

Configure sempre as implementações para transferirem conteúdo a partir de pontos de distribuição em vez de executarem a partir destes. Quando configura as implementações para descarregar conteúdo a partir de um ponto de distribuição e ser executado localmente, o cliente Do Gestor de Configuração verifica o hash do pacote depois de descarregar o conteúdo. O cliente descarta o pacote se o hash não corresponder ao hash da política.

Se configurar a implementação de forma a funcionar diretamente a partir de um ponto de distribuição, o cliente do Configuration Manager não verifica o hash do pacote. Este comportamento significa que o cliente do Gestor de Configuração pode instalar software que foi adulterado.

Se tiver de executar as implementações diretamente a partir de pontos de distribuição, utilize as permissões NTFS menos nas embalagens dos pontos de distribuição. Utilize também a segurança do protocolo de Internet (IPsec) para proteger o canal entre o cliente e os pontos de distribuição, e entre os pontos de distribuição e o servidor do site.

Não deixe que os utilizadores interajam com processos elevados

Se ativar as opções para executar com direitos administrativos ou instalar para o sistema, não deixe que os utilizadores interajam com essas aplicações. Ao configurar uma aplicação, pode definir a opção para permitir que os utilizadores possam visualizar e interagir com a instalação do programa. Esta definição permite que os utilizadores respondam às indicações necessárias na interface do utilizador. Se também configurar a aplicação para Executar com direitos administrativos ou instalar para sistema , um intruso no computador que executa o programa pode usar a interface do utilizador para aumentar os privilégios no computador cliente.

Utilize programas que utilizem Windows Instalador para configuração e por utilizador de privilégios elevados para implementações de software que requerem credenciais administrativas. A configuração deve ser executada no contexto de um utilizador que não tenha credenciais administrativas. Windows Os privilégios elevados instaladores por utilizador fornecem a forma mais segura de implementar aplicações que tenham este requisito.

Restringir se os utilizadores podem instalar software interativamente

Configure a definição de cliente de permissões de instalação no grupo de Agente informático. Esta definição restringe os tipos de utilizadores que podem instalar software no Software Center.

Por exemplo, crie uma definição personalizada de cliente com Permissões de instalação definida como Apenas administradores. Aplique esta definição de cliente a uma coleção de servidores. Esta configuração impede os utilizadores sem permissões administrativas de instalarem software nesses servidores.

Para mais informações, consulte sobre as definições do cliente.

Para dispositivos móveis, apenas implementar aplicações assinadas

Implementar aplicações de dispositivos móveis apenas se forem assinadas por código por uma autoridade de certificação (CA) em que o dispositivo móvel confia.

Por exemplo:

• Uma aplicação de um fornecedor, que é assinada por um conhecido CA como a VeriSign.

• Uma aplicação interna que assina independentemente do Gestor de Configuração utilizando o seu CA interno.

• Uma aplicação interna que assina utilizando o Gestor de Configuração quando cria o tipo de aplicação e utiliza um certificado de assinatura.

Garantir a localização do certificado de assinatura de aplicação de dispositivo móvel

Se assinar aplicações de dispositivos móveis utilizando o Assistente de Aplicação Create no Gestor de Configuração, proteja a localização do ficheiro de certificado de assinatura e proteja o canal de comunicação. Para ajudar a proteger contra a elevação de privilégios e ataques man-in-the-middle, guarde o ficheiro de certificado de assinatura numa pasta segura.

Utilizar o IPsec entre os seguintes computadores:

• O computador que executa a consola Do Gestor de Configuração
• O computador que armazena o ficheiro de assinatura de certificado
• O computador que armazena os ficheiros de origem da aplicação

Em vez disso, assine a aplicação independentemente do Gestor de Configuração e antes de executar o Assistente de Aplicação Create.

Implementar controlos de acesso

Para proteger computadores de referência, implemente controlos de acesso. Quando configurar o método de deteção num tipo de implementação navegando para um computador de referência, certifique-se de que o computador não está comprometido.

Restringir e monitorizar os utilizadores administrativos

Restringir e monitorizar os utilizadores administrativos que concede as seguintes funções de segurança baseadas na gestão da aplicação:

• Administrador de Aplicações
• Autor da Aplicação
• Gestor de Implementação de Aplicações

Mesmo quando configurar a administração baseada em funções,os utilizadores administrativos que criam e implementam aplicações podem ter mais permissões do que imagina. Por exemplo, os utilizadores administrativos que criam ou alteram uma aplicação podem selecionar aplicações dependentes que não estão no seu âmbito de segurança.

Configure aplicações App-V em ambientes virtuais com o mesmo nível de confiança

Ao configurar ambientes virtuais da Aplicação Microsoft (App-V), selecione aplicações com o mesmo nível de confiança no ambiente virtual. Como as aplicações num ambiente virtual App-V podem partilhar recursos, como a área de transferência, configurar o ambiente virtual para que as aplicações selecionadas tenham o mesmo nível de confiança.

Para obter mais informações, consulte criar ambientes virtuais Da App-V.

Certifique-se de que as aplicações do macOS são de uma fonte confiável

Se implementar aplicações para dispositivos macOS, certifique-se de que os ficheiros de origem são provenientes de uma fonte fidedigna. A ferramenta CMAppUtil não valida a assinatura do pacote fonte. Certifique-se de que o pacote vem de uma fonte em que confia. A ferramenta CMAppUtil não consegue detetar se os ficheiros foram adulterados.

Proteja o ficheiro cmmac para aplicações macOS

Se implementar aplicações para computadores macOS, proteja a localização do .cmmac ficheiro. A ferramenta CMAppUtil gera este ficheiro e, em seguida, importa-o para o Gestor de Configuração. Este ficheiro não está assinado ou validado.

Fixe o canal de comunicação quando importar este ficheiro para o Gestor de Configurações. Para evitar a adulteração deste ficheiro, guarde-o numa pasta segura. Utilizar o IPsec entre os seguintes computadores:

• O computador que executa a consola Do Gestor de Configuração
• O computador que armazena o .cmmac ficheiro

Utilizar HTTPS para aplicações web

Se configurar um tipo de implementação de aplicações web, utilize HTTPS para proteger a ligação. Se implementar uma aplicação web utilizando um link HTTP em vez de uma ligação HTTPS, o dispositivo poderá ser redirecionado para um servidor fraudulento. Os dados que são transferidos entre o dispositivo e o servidor podem ser adulterados.

Problemas de segurança

• Os utilizadores de baixos direitos podem alterar ficheiros que registam o histórico de implementação de software no computador cliente.

  Como as informações do histórico da aplicação não estão protegidas, um utilizador pode alterar ficheiros que reportem se uma aplicação está instalada.

• Os pacotes de aplicativo-V não estão assinados.

  Os pacotes de App-V no Gestor de Configuração não suportam a assinatura. As assinaturas digitais verificam que o conteúdo é de uma fonte fidedigna e não foi alterado em trânsito. Não há mitigação para esta questão de segurança. Siga as melhores práticas de segurança para descarregar o conteúdo de uma fonte fidedigna e de um local seguro.

• As aplicações de App-V publicadas podem ser instaladas por todos os utilizadores do computador.

  Quando uma aplicação App-V é publicada num computador, todos os utilizadores que iniciarem sôm no computador podem instalar a aplicação. Não é possível restringir os utilizadores que podem instalar a aplicação depois de publicada.

Privacy information (Informações de privacidade)

A gestão de aplicações permite executar qualquer aplicação, programa ou script em qualquer cliente da hierarquia. O Gestor de Configuração não tem controlo sobre os tipos de aplicações, programas ou scripts que executou ou o tipo de informação que transmitem. Durante o processo de implementação da aplicação, o Gestor de Configuração poderá transmitir informações que identifiquem o dispositivo e as contas de entrada entre clientes e servidores.

O Gestor de Configuração mantém informações sobre o processo de implementação do software. A menos que o cliente comunique utilizando HTTPS, as informações sobre o estado de implementação do software não são encriptadas durante a transmissão. A informação do estado não é armazenada em forma encriptada na base de dados.

A utilização da instalação de aplicações do Gestor de Configuração para instalar remotamente, interativa ou silenciosamente software nos clientes pode estar sujeita a termos de licença de software para esse software. Esta utilização é separada dos Termos de Licença de Software para Gestor de Configuração. Reveja e concorde sempre com os Termos de Licenciamento de Software antes de implementar o software utilizando o Gestor de Configuração.

O Gestor de Configuração recolhe diagnósticos e dados de utilização sobre aplicações, que são usadas pela Microsoft para melhorar as futuras versões. Para obter mais informações, consulte diagnósticos e dados de utilização.

A implementação da aplicação não acontece por predefinição e requer vários passos de configuração.

As seguintes funcionalidades ajudam a uma implementação eficiente do software:

• A afinidade do dispositivo do utilizador mapeia um utilizador para os dispositivos. Um administrador do Gestor de Configuração implementa software para um utilizador. O cliente instala automaticamente o software num ou mais computadores que o utilizador utiliza mais frequentemente.

• O Software Center é instalado automaticamente num dispositivo quando instala o cliente Gestor de Configuração. Os utilizadores alteram as definições, navegam para software e instalam software a partir do Software Center.

Informações de privacidade de afinidade do dispositivo de utilizador

• O Gestor de Configuração poderá transmitir informações entre clientes e sistemas de site de pontos de gestão. A informação pode identificar o computador, a conta de inscrição e o uso sumário para contas de inscrição.

• A menos que configuure o ponto de gestão para exigir comunicação HTTPS, a informação transmitida entre o cliente e o servidor não está encriptada.

• As informações de utilização do computador e da conta de inscrição são utilizadas para mapear um utilizador para um dispositivo. O Gestor de Configuração armazena esta informação em computadores clientes, envia-a para pontos de gestão e, em seguida, armazena-a na base de dados do site. Por predefinição, o site elimina informações antigas da base de dados após 90 dias. O comportamento de eliminação é configurável através da definição da tarefa de manutenção do site Eliminar Dados de Afinidade Dispositivo/Utilizador Desatualizados .

• O Gestor de Configuração mantém informações sobre a afinidade do dispositivo de utilizador. A menos que configuure os clientes para comunicarem com os pontos de gestão utilizando HTTPS, eles não encriptam informações de estado durante a transmissão. O site não armazena informações de estado em formato encriptado na base de dados.

• As informações de utilização do computador e do sinal que são usadas para estabelecer a afinidade do utilizador e do dispositivo estão sempre ativadas. Os utilizadores e utilizadores administrativos podem fornecer informações sobre afinidade do dispositivo do utilizador.

Informações de privacidade do Software Center

• O Software Center permite que o administrador do Gestor de Configuração publique qualquer aplicação, programa ou script para os utilizadores executarem. O Gestor de Configuração não tem controlo sobre os tipos de programas ou scripts que são publicados no Software Center ou sobre o tipo de informação que transmitem.

• O Gestor de Configuração poderá transmitir informação entre os clientes e o ponto de gestão. A informação pode identificar o computador e as contas de inscrição. A menos que configuure o ponto de gestão para exigir que os clientes se conectem utilizando HTTPS, a informação transmitida entre o cliente e os servidores não está encriptada.

• As informações sobre o pedido de aprovação da aplicação estão armazenadas na base de dados do Gestor de Configuração. Para pedidos cancelados ou negados, as entradas de histórico de pedidos correspondentes são eliminadas após 30 dias por padrão. Pode configurar este comportamento de eliminação com a tarefa de manutenção do site de pedidos de pedido de aplicação de eliminação. O site nunca elimina pedidos de aprovação de candidaturas que estejam em estados aprovados e pendentes.

• Quando instala o cliente Gestor de Configuração num dispositivo, instala automaticamente o Centro de Software.