Segurança e privacidade para gerenciamento de conteúdo no Configuration Manager
Aplica-se a: System Center 2012 Configuration Manager, System Center 2012 Configuration Manager SP1, System Center 2012 Configuration Manager SP2, System Center 2012 R2 Configuration Manager, System Center 2012 R2 Configuration Manager SP1
.jpeg "System_CAPS_note"){kind=icon} Observação |
|---|
Este tópico é exibido na nos guias Implantando software e sistemas operacionais no System Center 2012 Configuration Manager e Segurança e privacidade no System Center 2012 Configuration Manager. |
Este tópico contém as informações sobre segurança e privacidade para gerenciamento de conteúdo no System Center 2012 Configuration Manager. Leia-o em conjunto com os seguintes tópicos:
Práticas recomendadas de segurança para gerenciamento de conteúdo
Use as seguintes práticas recomendadas de segurança para gerenciamento de conteúdo:
Prática recomendada de segurança |
Mais informações |
||
|---|---|---|---|
Para pontos de distribuição na intranet, considere as vantagens e desvantagens do uso do HTTPS e HTTP |
Diferenças entre o HTTPS e HTTP para pontos de distribuição:
Na maioria dos cenários, usar o HTTP e as contas de acesso de pacote para autorização oferece mais segurança do que o HTTPS com criptografia mas sem autorização. No entanto, se você possui dados confidenciais em seu conteúdo e deseja que sejam criptografados durante a transferência, use o HTTPS. |
||
Se você utiliza o certificado de autenticação de cliente PKI em vez do certificado autoassinado para o ponto de distribuição, proteja o arquivo do certificado (.pfx) com uma senha forte. Se você armazena o arquivo na rede, projeta o canal de rede ao importar o arquivo para o Configuration Manager. |
Quando você requer uma senha para importar o certificado de autenticação de cliente que você usa para que o ponto de distribuição se comunique com os pontos de gerenciamento, isso ajuda a proteger o certificado de um invasor. Use a assinatura SMB ou o IPsec entre o local de rede e o servidor de site para impedir que um invasor viole o arquivo de certificado. |
||
Remova a função de ponto de distribuição do servidor do site. |
Por padrão, um ponto de distribuição é instalado no mesmo servidor que o servidor do site. Os clientes não precisam se comunicar diretamente com o servidor do site, então para reduzir a superfície sujeita a ataques, atribua a função do ponto de distribuição a outros sistemas de site e remova-a do servidor do site. |
||
Proteger o conteúdo no nível de acesso do pacote.
|
O compartilhamento de ponto de distribuição permite o acesso de leitura para todos os usuários. Para restringir quais usuários podem acessar o conteúdo, use as contas de acesso de pacote quando o ponto de distribuição está configurado para HTTP. Para obter mais informações sobre a Conta de Acesso de Pacote, veja a seção Gerenciar contas para acessar o conteúdo do pacote no tópico Operações e manutenção para o gerenciamento de conteúdo no Configuration Manager. |
||
Se o Configuration Manager instalar o IIS quando você adicionar uma função do sistema de site do ponto de distribuição, remova o Redirecionamento HTTP e Ferramentas e Scripts de Gerenciamento do IIS quando a instalação do ponto de distribuição estiver concluída. |
O ponto de distribuição não exige Redirecionamento HTTP e Ferramentas e Scripts de Gerenciamento do IIS. Para reduzir a superfície de ataque, remova esses serviços de função para a função de servidor Web (IIS). Para obter mais informações sobre os serviços de função para a função de servidor Web (IIS) para pontos de distribuição, veja a seção no tópico .No text is shown for link 'c1e93ef9-761f-4f60-8372-df9bf5009be0'. The title of the linked topic might be empty.c1e93ef9-761f-4f60-8372-df9bf5009be0#BKMK_SupConfigSiteSystemReq |
||
Defina as permissões de acesso ao pacote ao criar o pacote |
Como as alterações às contas de acesso nos arquivos de pacote terão efeito somente quando você redistribui o pacote, defina as permissões de acesso ao pacote com cuidado ao criar pela primeira vez o pacote. Isso é importante principalmente para os seguintes cenários:
|
||
Implemente controles de acesso para proteger a mídia que contém o conteúdo de pré-teste |
O conteúdo de pré-teste está compactado, mas não criptografado. Um invasor pode ler e modificar os arquivos que são baixados nos dispositivos. Os clientes do Gerenciador de Configurações rejeitarão o conteúdo que foi adulterado, mas eles ainda o baixarão. |
||
Importe o conteúdo de pré-teste usando somente a ferramenta de linha de comando ExtractContent (ExtractContent.exe) fornecida com o Gerenciador de Configurações e certifique-se de esteja assinada pela Microsoft. |
Para evitar violação ou elevação de privilégios, use somente a ferramenta de linha de comando autorizada e fornecida com o Gerenciador de Configurações. |
||
Proteja o canal de comunicação entre o servidor de site e o local de origem do pacote |
Use IPsec ou assinatura SMB entre o servidor de site e o local de origem do pacote para quando criar aplicativos e pacotes. Isso ajuda a impedir que um invasor viole os arquivos de origem. |
||
Se você alterar a opção de configuração de site para usar um site da Web personalizado em vez de um site da Web padrão após a instalação das funções de ponto de distribuição, você deverá remover os diretórios virtuais padrão. |
Quando você alterna do site da Web padrão para um site da Web personalizado, o Gerenciador de Configurações não remove diretórios virtuais antigos. Remova os diretórios virtuais que o Gerenciador de Configurações criou originalmente no site da Web padrão:
|
||
Para pontos de distribuição baseados em nuvem que estão disponíveis a partir do Gerenciador de Configurações SP1: Proteja os detalhes da assinatura e certificados |
Ao usar pontos de distribuição baseados em nuvem, proteja os seguintes itens importantes:
Armazene os certificados com segurança e se você os procura pela rede quando você configura o ponto de distribuição baseado em nuvem, use o IPsec ou a assinatura SMB entre o servidor de site e o local de origem. |
||
Para pontos de distribuição baseados em nuvem que estão disponíveis a partir do Gerenciador de Configurações SP1: Para a continuidade dos serviços, monitore a data de expiração dos certificados |
O Gerenciador de Configurações não avisa quando os certificados importados para gerenciamento do serviço de ponto de distribuição baseado em nuvem estão prestes a expirar. Você deve monitorar as datas de expiração independentemente do Gerenciador de Configurações e se certificar de renovar e depois importar o novo certificado antes da data de expiração. Isso é importante se você compra um certificado de serviço do ponto de distribuição baseado em nuvem para o Gerenciador de Configurações proveniente de uma autoridade de certificação (CA) externa, pois você pode precisar de mais tempo para obter um certificado renovado.
|
Problemas de segurança para gerenciamento de conteúdo
O gerenciamento de conteúdo tem os seguintes problemas de segurança:
Clientes não validam o conteúdo até depois que ele é baixado
Os clientes do Gerenciador de Configurações validam o hash no conteúdo somente após ele é baixado em seu cache do cliente. Se um invasor viola a lista de arquivos a baixar ou seu próprio conteúdo, o processo de download pode comprometer de modo considerável a largura de banda de rede para o cliente depois descartar o conteúdo ao encontrar um hash inválido.
Não é possível restringir o acesso ao conteúdo hospedado por pontos de distribuição baseados em nuvem para usuários ou grupos
A partir do Gerenciador de Configurações SP1, quando você usa pontos de distribuição baseados em nuvem, o acesso ao conteúdo é automaticamente restringido a sua empresa e você não pode restringi-lo posteriormente a usuários ou grupos selecionados.
Um cliente bloqueado pode continuar a baixar o conteúdo de um ponto de distribuição baseado em nuvem por até 8 horas
A partir do Gerenciador de Configurações SP1, quando você usa pontos de distribuição baseados em nuvem, os clientes são autenticados pelo ponto de gerenciamento e usam um token do Gerenciador de Configurações para acessar pontos de distribuição baseados em nuvem. O token é válido por 8 horas então se você bloquear um cliente porque ele não é mais confiável, ele poderá continuar a baixar o conteúdo de um ponto de distribuição baseado em nuvem até que o período de validade desse token estiver expirado. Nesse ponto, o ponto de gerenciamento não emitirá outro token para o cliente, pois ele está bloqueado.
Para evitar que um cliente bloqueado baixe conteúdo durante essa janela de 8 horas, é possível interromper o serviço de nuvem no nó Nuvem, Configuração da Hierarquia, no espaço de trabalho Administração no console do Gerenciador de Configurações. Para obter mais informações, consulte Gerenciar serviços em nuvem para o Configuration Manager.
Informações de privacidade sobre gerenciamento de conteúdo
O Gerenciador de Configurações não inclui dados do usuário nos arquivos de conteúdo, embora o usuário administrativo possa optar por fazê-lo.
Para poder configurar o gerenciamento de conteúdo, considere seus requisitos de privacidade.