Bezpieczeństwo i prywatność zarządzania zawartością w programie Configuration Manager
Dotyczy: System Center 2012 Configuration Manager, System Center 2012 Configuration Manager SP1, System Center 2012 Configuration Manager SP2, System Center 2012 R2 Configuration Manager, System Center 2012 R2 Configuration Manager SP1
Uwaga
Ten temat występuje w — przewodniki Wdrażanie oprogramowania i systemów operacyjnych w programie System Center 2012 Configuration Manager oraz Bezpieczeństwo i ochrona prywatności w programie System Center 2012 Configuration Manager.
Ten temat zawiera informacje o bezpieczeństwie i prywatności dotyczące zarządzania zawartością w programie System Center 2012 Configuration Manager. Należy go czytać w połączeniu z następującymi tematami:
Najlepsze rozwiązania w zakresie zabezpieczeń dotyczące zarządzania zawartością
Należy stosować następujące najlepsze rozwiązania w zakresie zabezpieczeń dotyczące zarządzania zawartością:
Najlepsze rozwiązanie w zakresie zabezpieczeń |
Więcej informacji |
|---|---|
W przypadku punktów dystrybucji w intranecie rozważ wady i zalety korzystania z protokołów HTTPS i HTTP |
Różnice między punktami dystrybucji HTTPS i HTTP:
W większości przypadków korzystanie z protokołu HTTP i autoryzacji za pomocą kont dostępu do pakietów gwarantuje lepsze bezpieczeństwo niż używanie protokołu HTTPS z szyfrowaniem i bez autoryzacji. Jeśli jednak zawartość zawiera dane poufne, które chcesz szyfrować podczas przesyłania, należy korzystać z protokołu HTTPS. |
Jeśli punkt dystrybucji jest używany z certyfikatem uwierzytelniania klienta PKI, a nie z certyfikatem z podpisem własnym, plik certyfikatu (*.pfx) należy chronić silnym hasłem. Jeśli plik jest przechowywany w sieci, należy zabezpieczyć kanał sieci na czas importu pliku do programu Configuration Manager. |
Stosowanie hasła do importowania certyfikatu uwierzytelniania klienta, który jest używany do komunikacji między punktem dystrybucji a punktami zarządzania, ułatwia ochronę certyfikatów przez osobami atakującymi. Aby zapobiec naruszeniu pliku certyfikatu przez atakującego, należy korzystać z podpisywania SMB lub ochrony IPsec między lokalizacją sieciową a serwerem lokacji. |
Usuń rolę punktu dystrybucji z serwera lokacji. |
Domyślnie punkt dystrybucji jest zainstalowany na tym samym serwerze, co serwer lokacji. Klienci nie muszą komunikować się bezpośrednio z serwerem lokacji, zatem w celu ograniczenia obszaru narażonego na ataki należy przypisać rolę punktu dystrybucji do innego systemu lokacji i usunąć go z serwera lokacji. |
Zabezpiecz zawartość na poziomie dostępu do pakietu. Uwaga Nie dotyczy to chmurowych punktów dystrybucji w programie Menedżer konfiguracji SP1, które nie obsługują kont dostępu do pakietu. |
W przypadku udziałów punktu dystrybucji wszyscy użytkownicy mają przydzielony dostęp do odczytu. Aby zmniejszyć liczbę użytkowników, którzy mają dostęp do zawartości, w czasie konfigurowania punktu dystrybucji z protokołem HTTP należy włączyć konta dostępu do pakietu. Więcej informacji o kontach dostępu do pakietu znajduje się w sekcji Zarządzanie kontami dostępu do zawartości pakietów w temacie Operacje i obsługa zarządzania zawartością w programie Configuration Manager. |
Jeśli program Configuration Manager instaluje usługi IIS podczas dodawania roli systemu lokacji typu punkt dystrybucji, po zakończeniu instalacji punktu dystrybucji usuń usługi Przekierowanie HTTP oraz Skrypty i narzędzia zarządzania IIS |
Punkt dystrybucji nie wymaga usług Przekierowanie HTTP oraz Skrypty i narzędzia zarządzania IIS. Aby zmniejszyć obszar ataków, należy usunąć te usługi roli dla roli Serwer sieci Web (IIS). Więcej informacji o usługach roli dla roli Serwer sieci Web (IIS) dla punktów dystrybucji znajduje się w sekcji w temacie .No text is shown for link 'c1e93ef9-761f-4f60-8372-df9bf5009be0'. The title of the linked topic might be empty.c1e93ef9-761f-4f60-8372-df9bf5009be0#BKMK_SupConfigSiteSystemReq |
Ustaw uprawnienie dostępu do pakietu podczas tworzenia pakietu |
Ponieważ wprowadzane do kont dostępu zmiany dotyczące plików pakietu zaczynają obowiązywać dopiero po ponownej dystrybucji pakietu, należy ostrożnie przydzielać uprawnienia dostępu do pakietu podczas pierwszego tworzenia pakietu. Jest to szczególnie ważne w następujących przypadkach:
|
Zaimplementuj kontrolę dostępu w celu ochrony nośników zawierających wstępnie przygotowaną zawartość |
Wstępnie przygotowana zawartość jest skompresowana, ale nie jest szyfrowana. Osoba atakująca może odczytać i zmodyfikować pliki, które zostaną następnie pobrane przez urządzenia. Klienci programu Menedżer konfiguracji odrzucają naruszoną zawartość, jednak ją pobierają. |
Wstępnie przygotowaną zawartość należy importować wyłącznie za pomocą narzędzia wiersza polecenia ExtractContent (ExtractContent.exe), które jest dostarczone z programem Menedżer konfiguracji, upewniając się, że jest ono podpisane przez firmę Microsoft. |
Aby uniknąć naruszenia danych i podniesienia uprawnień, należy używać wyłącznie autoryzowanego narzędzia wiersza polecenia dostarczonego z programem Menedżer konfiguracji. |
Zabezpiecz kanał komunikacyjny między serwerem lokacji a lokalizacją źródłową pakietu |
Podczas tworzenia aplikacji i pakietów komunikację między serwerem lokacji a lokalizacją źródłową pakietu należy zabezpieczyć protokołem IPsec lub podpisywaniem SMB. Utrudni to osobie atakującej naruszenie plików źródłowych. |
Jeśli zmienisz opcję konfiguracji lokacji tak, aby po zainstalowaniu roli punktu dystrybucji używać niestandardowej witryny sieci web, a nie domyślnej, usuń domyślne katalogi wirtualne |
W przypadku zmiany z domyślnej witryny sieci web na niestandardową program Menedżer konfiguracji nie usuwa starych katalogów wirtualnych. Należy usunąć katalogi wirtualne, które program Menedżer konfiguracji utworzył jako domyślne witryny sieci web:
|
W przypadku chmurowych punktów dystrybucji, które są dostępne począwszy od programu Menedżer konfiguracji SP1: chroń szczegóły subskrypcji i certyfikaty |
W przypadku używania chmurowych punktów dystrybucji chroń następujące elementy o wysokiej wartości:
Certyfikaty przechowuj w bezpieczny sposób. W przypadku przeglądania ich przez sieć podczas konfigurowania chmurowego punktu dystrybucji używaj protokołu IPsec lub podpisywania SMB między serwerem systemu lokacji a lokalizacją źródłową. |
W przypadku chmurowych punktów dystrybucji, które są dostępne począwszy od programu Menedżer konfiguracji SP1: aby utrzymać ciągłość usługi, monitoruj daty wygaśnięcia certyfikatów |
Program Menedżer konfiguracji nie ostrzega użytkownika, gdy zbliża się data wygaśnięcia importowanych certyfikatów do zarządzania usługą chmurowego punktu dystrybucji. Daty wygaśnięcia należy monitorować poza programem Menedżer konfiguracji. Certyfikaty powinny być odnawiane i ponownie importowane przed datą wygaśnięcia. Jest to szczególnie ważne, jeśli certyfikat usługi chmurowego punktu dystrybucji programu Menedżer konfiguracji został zakupiony w zewnętrznym urzędzie certyfikacji (CA), ponieważ wtedy uzyskanie odnowionego certyfikatu może trwać dłużej. Uwaga Jeśli jakikolwiek certyfikat wygaśnie, Menedżer usług w chmurze generuje identyfikator komunikatu o stanie 9425 oraz plik CloudMgr.log zawierający wpis z informacją, że certyfikat is in expired state, oraz datę wygaśnięcia w formacie UTC. |
Problemy z bezpieczeństwem dotyczące zarządzania zawartością
Z zarządzaniem zawartością wiążą się następujące problemy bezpieczeństwa:
Klienci weryfikują zawartość dopiero po jej pobraniu
Klienci programu Menedżer konfiguracji weryfikują wartość skrótu zawartości dopiero po pobraniu jej do swojej pamięci podręcznej. Jeśli osoba atakująca naruszy listę pobieranych plików albo samą zawartość, klient może w procesie pobierania potrzebować większej przepustowości sieci, gdyż po napotkaniu nieprawidłowej wartości skrótu będzie musiał odrzucić zawartość.
Dostępu do zawartości hostowanej przez chmurowe punkty dystrybucji nie można ograniczyć do użytkowników ani grup
Począwszy od wersji Menedżer konfiguracji SP1, jeśli są używane chmurowe punkty dystrybucji, dostęp do zawartości jest automatycznie ograniczany do przedsiębiorstwa i nie można go ograniczyć dalej według wybranych użytkowników i grup.
Zablokowany klient może kontynuować pobieranie zawartości z chmurowego punktu dystrybucji przez maksymalnie 8 godzin
Począwszy od wersji Menedżer konfiguracji SP1, jeśli są używane chmurowe punkty dystrybucji, klienci są uwierzytelniani przez punkt zarządzania, a następnie używają tokenu programu Menedżer konfiguracji w celu uzyskania dostępu do chmurowego punktu dystrybucji. Token jest ważny przez 8 godzin, co oznacza, że jeśli klient zostanie zablokowany z powodu braku zaufania, może kontynuować pobieranie zawartości z chmurowego punktu dystrybucji aż do upływu okresu ważności tokenu. W takiej sytuacji punkt zarządzania nie wydaje klientowi kolejnego tokenu, ponieważ klient jest zablokowany.
Aby uniknąć pobierania zawartości przez zablokowanego klienta w tym 8-godzinnym przedziale czasu, można zatrzymać usługę chmury w węźle Chmura, węźle Hierarchia konfiguracji w obszarze roboczym Administracja w konsoli programu Menedżer konfiguracji. Więcej informacji znajduje się w temacie Zarządzanie usługami chmurowymi w programie Configuration Manager.
Informacje o ochronie prywatności dotyczące zarządzania zawartością
Program Menedżer konfiguracji nie dołącza żadnych danych użytkownika do plików zawartości, jednak użytkownik administracyjny może określić inaczej.
Przed skonfigurowaniem zarządzania zawartością należy wziąć pod uwagę wymogi związane z ochroną prywatności.