Segurança e Privacidade para Atualizações de Software no Configuration Manager
Aplica-se a: System Center 2012 Configuration Manager, System Center 2012 Configuration Manager SP1, System Center 2012 Configuration Manager SP2, System Center 2012 R2 Configuration Manager, System Center 2012 R2 Configuration Manager SP1
Este tópico contém informações de segurança e privacidade para atualizações de software no System Center 2012 Configuration Manager.
Procedimentos recomendados de segurança para atualizações de software
Utilize os seguintes procedimentos recomendados de segurança para implementar atualizações de software em clientes:
Procedimento recomendado de segurança |
Mais informações |
||
|---|---|---|---|
Não altere as permissões predefinidas nos pacotes de atualização de software. |
Por predefinição, os pacotes de atualização de software são configurados para permitir Controlo Total aos administradores e acesso de Leitura aos utilizadores. Se alterar estas permissões, poderá permitir que um intruso adicione, remova ou elimine as atualizações de software. |
||
Controle o acesso à localização de transferência de atualizações de software. |
As contas de computador do Fornecedor de SMS, o servidor do site e o utilizador administrativo que efetivamente transferem atualizações de software para a localização de transferência necessitam de acesso de Escrita a essa mesma localização. Restrinja o acesso à localização de transferência para reduzir o risco de adulteração dos ficheiros de origem das atualizações de software por parte de intrusos. Além disso, se utilizar uma partilha UNC na localização de transferência, proteja o canal de rede utilizando o IPsec ou a assinatura SMB para evitar a adulteração dos ficheiros de origem de atualizações de software quando forem transferidos através da rede. |
||
Utilize a UTC para avaliar a tempos de implementação. |
Se utilizar a hora local em vez da UTC, os utilizadores poderão atrasar a instalação das atualizações de software alterando o fuso horário nos respetivos computadores |
||
Ative SSL no WSUS e siga os procedimentos recomendados para proteger o Windows Server Update Services (WSUS). |
Identifique e siga os procedimentos recomendados de segurança para a versão do WSUS que está a utilizar com o Gestor de configuração.
|
||
Ative a verificação CRL. |
Por predefinição, o Gestor de configuração não verifica a lista de revogação de certificados (CRL) para confirmar a assinatura nas atualizações de software antes da respetiva implementação nos computadores. A verificação da CRL sempre que é utilizado um certificado oferece mais segurança contra a utilização de um certificado revogado, mas provoca um atraso de ligação e implica um processamento adicional no computador que a está a efetuar. Para obter mais informações sobre como ativar a verificação CRL para as atualizações de software, consulte Como ativar a verificação CRL para atualizações de software. |
||
Configure o WSUS para utilizar um Web site personalizado. |
Quando instala o WSUS no ponto de atualização de software, pode optar por utilizar o Web site predefinido do IIS existente ou por criar um Web site do WSUS personalizado. Crie um Web site personalizado para o WSUS para que o IIS aloje os serviços WSUS num Web site virtual dedicado em vez de partilhar o mesmo Web site utilizado por outros sistemas de sites do Gestor de configuração ou por outras aplicações. Para obter mais informações, consulte a secção Configurar o WSUS para Utilizar um Web site Personalizado do tópico Planear atualizações de software no Configuration Manager. |
||
Proteção de Acesso à Rede (NAP): Não confie na NAP para proteger uma rede de utilizadores mal intencionados. |
A Proteção de Acesso à Rede foi concebida para ajudar os administradores a manter o estado de funcionamento dos computadores na rede, que por sua vez ajuda a manter a integridade global da rede. Por exemplo, se um computador tiver todas as atualizações de software exigidas pela política de NAP do Configuration Manager, é considerado compatível e ser-lhe-á concedido o acesso apropriado à rede. A Proteção de Acesso à Rede não impede um utilizador autorizado com um computador compatível de carregar um programa malicioso na rede ou desativar o agente NAP. |
||
Proteção de Acesso à Rede (NAP): Não utilize a imposição NAP DHCP num ambiente de produção. |
Utilize a NAP DHCP num ambiente de teste protegido ou apenas para efeitos de monitorização. Quando utiliza a NAP DHCP, os intrusos podem alterar os pacotes de declaração de estado de funcionamento entre o cliente e o servidor de políticas de estado de funcionamento NAP, e os utilizadores podem contornar o processo NAP. |
||
Proteção de Acesso à Rede (NAP): Utilize políticas de NAP consistentes em toda a hierarquia para minimizar a confusão. |
Políticas de NAP configuradas incorretamente podem permitir o acesso à rede por clientes com acesso restrito ou fazer com que clientes válidos fiquem com o acesso erradamente restringido. Quanto mais complicada for a estrutura da política de NAP, maior o risco de configuração incorreta. Configure o agente do cliente de NAP do Configuration Manager e os pontos do Validador de Estado de Funcionamento do Sistema do Configuration Manager para utilizar as mesmas definições em toda a hierarquia ou em hierarquias adicionais da organização se os clientes puderem mover-se entre elas.
|
||
Proteção de Acesso à Rede (NAP): Não ative imediatamente a Proteção de Acesso à Rede como definição do cliente em novos sites do Gestor de configuração. |
Embora os servidores do site publiquem a referência de estado de funcionamento do Gestor de configuração num controlador de domínio quando as políticas de NAP do Gestor de configuração são alteradas, é possível que estes novos dados não fiquem imediatamente disponíveis para obtenção pelo ponto do Validador de Estado de Funcionamento do Sistema enquanto a replicação do Active Directory não tiver sido concluída. Se ativar a Proteção de Acesso à Rede em clientes do Gestor de configuração antes de ser concluída a replicação e se o servidor de políticas de estado de funcionamento NAP conceder acesso limitado à rede a clientes não compatíveis, é possível que sofra de um ataque de recusa de serviço. |
||
Proteção de Acesso à Rede (NAP): Se armazenar a referência de estado de funcionamento numa floresta designada, especifique duas contas diferentes para a publicar e obter. |
Ao designar uma floresta do Active Directory para armazenar a referência de estado de funcionamento, especifique duas contas diferentes, pois requerem conjuntos diferentes de permissões:
|
||
Proteção de Acesso à Rede (NAP): Não confie na Proteção de Acesso à Rede enquanto mecanismo de imposição instantânea ou em tempo real. |
Existem atrasos inerentes ao mecanismo de imposição da NAP. Embora a NAP ajude a manter a compatibilidade dos computadores ao longo do tempo, os atrasos de imposição típicos podem durar várias horas ou mais devido a vários fatores, incluindo as definições de diversos parâmetros de configuração. |
.jpeg "System_CAPS_important")
Importante
Informações de privacidade para atualizações de software
As atualizações de software analisam os computadores cliente para determinar que atualizações de software são necessárias e, em seguida, devolvem as informações à base de dados do site. Durante o processo de atualizações de software, o Gestor de configuração pode transmitir informações entre clientes e servidores que identificam o computador e as contas de início de sessão.
O Gestor de configuração mantém as informações de estado sobre o processo de implementação de software. As informações de estado não são encriptadas durante a transmissão ou o armazenamento. As informações de estado são armazenadas na base de dados do Gestor de configuração e eliminadas pelas tarefas de manutenção da base de dados. Não são enviadas informações de estado à Microsoft.
A utilização de atualizações de software do Gestor de configuração para instalar atualizações de software em computadores cliente pode estar sujeita aos termos de licenciamento do software dessas atualizações, que são separados dos Termos de Licenciamento para Software do Microsoft System Center 2012 Configuration Manager. Reveja e aceite sempre os Termos de Licenciamento para Software antes de instalar as atualizações de software utilizando o Gestor de configuração.
O Gestor de configuração não implementa atualizações de software por predefinição e requer vários passos de configuração antes da recolha das informações.
Antes de configurar as atualizações de software, considere os requisitos de privacidade.