Configuração de segurança reforçada do Internet Explorer altera a experiência de navegação

Por padrão, a Configuração de segurança reforçada do Internet Explorer está habilitada no Windows Server 2003. Ao iniciar o Microsoft Internet Explorer, a seguinte mensagem de erro é exibida: A Configuração de segurança reforçada do Internet Explorer estabeleceu uma configuração para o servidor e para o Microsoft Internet Explorer que diminui a exposição do servidor a ataques em potencial que podem ocorrer em conteúdo da Web e scripts de aplicativos. Como resultado, alguns sites da Web talvez não sejam exibidos conforme esperado.

Este artigo descreve os efeitos da Configuração de segurança reforçada do Internet Explorer no Windows Server 2003.

A Configuração de segurança reforçada do Internet Explorer estabelece configurações de segurança que definem como os usuários navegam pela e por site de intranet na Web. Essas configurações também reduzem a exposição do servidor a sites da Web que podem apresentar risco de segurança.

Esse nível de segurança reforçada pode impedir que sites da Web sejam exibidos corretamente no Internet Explorer e pode restringir o acesso a recursos da rede, como arquivos em partas compartilhadas com UNC (convenção de nomenclatura universal). Se deseja exibir um site da Web que requer funcionalidade desabilitada do Internet Explorer, é possível adicionar o site da Web às listas de inclusão nas zonas Intranet local ou Sites confiáveis.

Zonas de segurança do Internet Explorer

No Internet Explorer, é possível configurar configurações de segurança para diversas zonas de seguranças embutidas: a zona Internet, a zonaIntranet local, a zona Sites confiáveis e a zona Sites restritos. A Configuração de segurança reforçada do Internet Explorer atribui níveis de segurança para essas zonas, conforme a seguir:

• Para a zona Internet, o nível de segurança é definido em Alto.
• Para a zona Internet, o nível de segurança é definido em Alto. Isso permite que vários sites na Internet sejam navegados.
• Para a zona Intranet local, o nível de segurança é definido em Médio-baixo. Isso permite que as credenciais do usuário (nome e senha) sejam passados automaticamente para sites e aplicativos quando necessário.
• Para a zona Sites restritos, o nível de segurança é definido em Alto.
• Por padrão, todos os sites da Internet e da intranet são atribuídos à zona Internet. Sites da intranet não fazem parte da zona Intranet local, salvo se você salvá-los explicitamente nessa zona.

Como navegar com a Configuração de segurança reforçada do Internet Explorer habilitada

A Configuração de segurança reforçada do Internet Explorer aumenta o nível de segurança no servidor. Entretanto, ela também poderá afetar a navegação na Internet de diversas maneiras:

• Como os controles e scripts ActiveX estão desabilitados, sites da Internet talvez não sejam exibidos no Internet Explorer conforme esperado e aplicativos que usam a Internet talvez não funcionem corretamente. Se você confiar em um site da Internet e precisar que ele seja totalmente funcional, é possível adicionar esse site à zona Sites confiáveis no Internet Explorer.
  
  Se você tentar exibir um site da Internet que usa scripts ou controles ActiveX, a seguinte mensagem será exibida:
  O conteúdo do site listado abaixo está sendo bloqueado pela Configuração de segurança reforçada do Internet Explorer.
  
  Se você confiar nesse site, é possível baixar as configurações de segurança para o site adicionando-o à zona Sites confiáveis. Se você souber que esse site está na intranet local, verifique as instruções de ajuda para adicionar esse site à zona Intranet local.
  A Microsoft recomenda que você somente adicione um site à zona Sites confiáveis se você tiver certeza absoluta que de o site é confiável e de que a URL está correta.
  
  Observação Adicionar um site à zona Sites confiáveis baixará as configurações de segurança de todo o conteúdo do site para todos os aplicativos, inclusive para o Internet Explorer.
  
  Para obter mais informações sobre como adicionar um site à zona Sites confiáveis, consulte a seção "Adicionar sites à zona Sites confiáveis" deste artigo.
• Acesso a sites da intranet, aplicativos com base em Web executados em uma intranet local, e outros arquivos em recursos de rede compartilhados talvez sejam restritos. Se confiar em um site da intranet ou em uma pasta compartilhada e precisa que eles sejam funcionais, é possível adicioná-los à zona Intranet local.
  
  Para obter mais informações sobre como fazer isso, consulte a seção "Adicionar sites à zona Intranet local" deste artigo.

Efeitos da Configuração de segurança reforçada do Internet Explorer

A Configuração de segurança reforçada do Internet Explorer ajusta os níveis de segurança das zonas de segurança existentes. A tabela a seguir descreve como cada zona é afetada: A Configuração de segurança reforçada do Internet Explorer também ajusta a as configurações de extensão e segurança do Internet Explorer para reduzir a exposição a futuras ameaças à segurança. Essas configurações estão na guia Avançado das Opções da Internet no Painel de controle. A tabela a seguir descreve as configurações: Essas alterações para reduzir a funcionalidade de páginas da Web, aplicativos com base em Web, recursos de rede local e aplicativos que usam um navegador para exibir ajuda online, suporte e assistência de usuário geral.

Para obter mais informações sobre como usar as listas de inclusão das zonas Intranet local ou Sites confiáveis, consulte a seção "Gerenciando a Configuração de segurança reforçada do Internet Explorer" deste artigo.

Quando a Configuração de segurança reforçada do Internet Explorer está habilitada, as seguintes configurações adicionais são configuradas:

• O site do Windows Update é adicionado à zona Sites confiáveis. Isso permite que você continue a receber atualizações importantes para o sistema operacional.
• O site de relatórios de erros do Windows é adicionado à zona Sites confiáveis. Isso permite que você comunique problemas encontrados no sistema operacional e pesquisar correções.
• Vários sites do computador local (http://localhost, https://localhost e hcp://system, por exemplo) são adicionados à zona Intranet local. Isso permite que aplicativos e códigos funcionem localmente de modo que é possível concluir tarefas administrativas comuns.
• O nível Plataforma para preferências de privacidade (P3P) está definido como Médio da zona Sites confiáveis. Se você desejar alterar o nível P3P para qualquer zona diferente da zona Internet, clique na guia Privacidade das Opções da Internet no Painel de controle e clique em Importar para aplicar uma política de privacidade padrão. Para mais políticas de privacidade de amostra, visite o seguinte site da Biblioteca da Microsoft MSDN (em inglês):
  http://msdn2.microsoft.com/en-us/library/ms537344.aspx (http://msdn2.microsoft.com/en-us/library/ms537344.aspx)

Configuração de segurança reforçada do Internet Explorer e Terminal Services

A configuração de segurança reforçada se aplica para diferentes contas de usuário de acordo com o tipo de instalação. A tabela a seguir descreve como os usuários são afetados: **Durante a instalação manual do Terminal Services, você será solicitado para desabilitar a Configuração de segurança reforçada do Internet Explorer dos usuários. Isso permite que usuários executem uma sessão do Terminal Services sem restrições.

Para uma melhor experiência quando o Terminal Services estiver habilitado, é recomendável remover a configuração de segurança reforçada dos membros do grupo Usuários. Esses usuários terão poucas permissões no servidor, de modo que eles apresentam um nível de risco mais baixo se forem vítimas de um ataque. Para obter mais informações sobre a aplicação da configuração de segurança reforçada, consulte a seção "Aplicar a Configuração de segurança reforçada do Internet Explorer para usuários específicos" deste artigo.

Efeitos da Configuração de segurança reforçada do Internet Explorer na experiência do usuário no Internet Explorer

A tabela a seguir descreve como a Configuração de segurança reforçada do Internet Explorer afeta a experiência do usuário no Internet Explorer: É possível concluir todas as outras tarefas do Internet Explorer por todos os grupos de usuários, salvo se o administrador do servidor restringir o acesso de determinados usuários.

Gerenciando a Configuração de segurança reforçada do Internet Explorer

A Configuração de segurança reforçada do Internet Explorer foi projetada para reduzir a exposição do servidor a ameaças à sua segurança. Para certificar-se de que você aproveitará a configuração de segurança reforçada ao máximo, considere as seguintes recomendações de gerenciamento de navegador:

• Por padrão, todos os sites da Internet e da intranet são atribuídos à zona Internet. Se você confiar em um site da Internet ou da intranet e precisar que ele seja funcional, adicione o site da Internet à zona Sites confiáveis, e se for um site da intranet, adicione-o à zona Intranet local. Para obter mais informações sobre os níveis de segurança de cada zona, consulte a seção "Efeitos da Configuração de segurança reforçada do Internet Explorer" deste artigo.
• Se você deseja executar um aplicativo cliente com base em navegador na Internet, a melhor coisa a fazer é adicionar a página da Web que hospeda o aplicativo à zona Sites confiáveis. Para obter mais informações sobre como fazer isso, consulte a seção "Adicionar sites à zona Sites confiáveis" deste artigo.
• Se você deseja executar um aplicativo cliente com base em navegador em uma intranet local protegida e segura, a melhor coisa a fazer é adicionar a página da Web que hospeda o aplicativo à zona Intranet local. Para obter mais informações sobre como fazer isso, consulte a seção "Adicionar sites à zona Intranet local" deste artigo.
• Adicione sites internos e servidores locais à zona Intranet local para assegura que você terá acesso a aplicativos e poderá executar esses aplicativos de seus servidores.
• Use o arquivo Unattend.to para adicionar sites da intranet e servidores UNC à lista de inclusão da zona Intranet local como parte do processo de instalação. Para obter mais informações sobre como fazer isso, consulte o arquivo Leia-me em Deploy.cab no CD do produto Windows.
• Use computadores cliente para baixar arquivos como drivers e service packs e evite navegar em servidores.
• Se você usar imagens de disco para instalar sistemas operacionais em servidores, adicione os sites da intranet e servidores UNC em que você confia à zona Intranet local e adicione os sites da Internet em que você confia à zona Sites confiáveis na imagem base. É possível alterar a lista de imagens relativas para tipos de servidor e requisitos diferentes.

Adicionar sites à zona Sites confiáveis

Quando a Configuração de segurança reforçada do Internet Explorer é habilitada no servidor, as configurações de segurança de todos os sites da Internet são definidas em Alto. Se você confiar em uma página da Web e precisar que ela seja funcional, é possível adicionar essa página à zona Sites confiáveis no Internet Explorer.

Para isso, execute as seguintes etapas:

1. Visite o site que você deseja adicionar.
   • Se você já estiver visualizando o site que deseja adicionar, vá para a etapa 2.
   • Se você conhecer a URL do site que deseja adicionar, inicie o Internet Explorer, digite a URL do site na barra Endereço e aguarde até que o site seja carregado.
2. No menu Arquivo, clique em Adicionar este site a e clique em Zona Sites confiáveis.
3. Na caixa de diálogo Sites confiáveis, clique em Adicionar para mover o site para a lista e clique em Fechar.
4. Atualize a página para exibir o site de sua nova zona.
5. Verifique a barra de status do navegador para certificar-se de que o site está na zona Sites confiáveis.

Observações

• Se um site da Internet tentar usar scripts ou controles ActiveX, uma caixa de diálogo será exibida para notificar o usuário. É possível adicionar o site da Internet à zona Sites confiáveis diretamente dessa caixa de diálogo. Se você desabilitar a caixa de diálogo, é possível habilitá-la novamente no Internet Explorer: No menu Ferramentas, clique em Opções da Internet. Na guia Avançado, selecione Exibir caixa de diálogo da configuração de segurança reforçada.
• Uma página da Web pode fazer parte de somente uma zona por vez. Não é possível adicionar uma página para ambas as zonas Sites confiáveis e Intranet local.
• Ao adicionar uma página da Web à zona Sites confiáveis, você está adicionando o domínio dessa página. Portanto, todas as páginas naquele domínio também serão adicionadas. Por exemplo, se você adicionar http://www.microsoft.com/windowsxp/expertzone/ à zona Sites confiáveis, estará adicionando http://www.microsoft.com. Se você desejar exibir o site do Atendimento Windows, será necessário adicionar http://support.microsoft.com separadamente, porque o site do Atendimento Windows é um domínio em separado.
• O Internet Explorer mantém duas listas diferentes de sites para a zona Sites confiáveis. Uma lista entra em vigor quando a configuração de segurança reforçada é habilitada, e outra lista em separado entra em vigor quando a configuração de segurança reforçada é desabilitada. Ao adicionar uma página da Web à zona Sites confiáveis, você está adicionando-a somente à lista em vigor no momento.
• É possível usar caracteres curingas para adicionar todos os subdomínios de um determinado domínio. Por exemplo, é possível adicionar *.microsoft.com à lista. Isso adicionará tanto www.microsoft.com quanto support.microsoft.com.
• Vários sites da Internet usam mais de um domínio para hospedar seu conteúdo. Talvez seja necessário adicionar diversos domínios à zona Sites confiáveis para obter funcionalidade total de um site.
• Durante a instalação, é possível adicionar vários sites simultaneamente à zona Sites confiáveis usando determinadas configurações no arquivo Unattend.txt. Para obter mais informações sobre como fazer isso, consulte o arquivo Leia-me em Deploy.cab no CD do produto Windows. Também é possível usar Diretivas de grupo para adicionar e gerenciar vários sites. Para obter mais informações sobre como fazer isso, consulte Kit de implantação do Microsoft Windows Server 2003.

Adicionar sites à zona Intranet local

Quando a Configuração de segurança reforçada do Internet Explorer é habilitada, as configurações de segurança de todos os sites da intranet são definidas em Alto. Portanto, você será solicitado pelas suas credenciais (nome de usuário e senha) sempre que visitar sites da intranet que não foram adicionados à zona Intranet local. Se usar sites da intranet com freqüência e saber que esses sites são confiáveis, é possível adicioná-los à zona Intranet local no Internet Explorer. Para isso, execute as seguintes etapas:

1. Visite o site que você deseja adicionar.
   • Se você já estiver visualizando o site que deseja adicionar, vá para a etapa 2.
   • Se você conhecer a URL do site que deseja adicionar, inicie o Internet Explorer, digite a URL do site na barra Endereço e aguarde até que o site seja carregado.
2. No menu Arquivo, clique em Adicionar este site a e clique em Zona Intranet local.
3. Na caixa de diálogo Intranet local, clique em Adicionar para mover o site para a lista e clique em Fechar.
4. Atualize a página para exibir o site de sua nova zona.
5. Verifique a barra de status do navegador para certificar-se de que o site está na zona Intranet local.

Observações

• Não adicione sites da Internet à zona Intranet local, já que, desse modo, quando as suas credenciais forem solicitadas, elas serão passadas automaticamente para o site solicitante.
• Uma página da Web pode fazer parte de somente uma zona por vez. Não é possível adicionar uma página para ambas as zonas Sites confiáveis e Intranet local.
• A configuração de segurança reforçada também restringe acesso a scripts, arquivos executáveis e outros arquivos inseguros em potencial em um caminho UNC, salvo se o caminho UNC for adicionado explicitamente à zona Intranet local. Por exemplo, se você desejar acessar \\servidor\share\setup.exe, será necessário adicionar \\servidor à zona Intranet local.
• Ao adicionar uma página da Web à zona Intranet local, você está adicionando o domínio dessa página. Portanto, todas as páginas naquele domínio também serão adicionadas. Por exemplo, se você adicionar http://SeuServidordaIntranet/SubWeb à zona Intranet local, você adicionará http://SeuServidordaIntranet.
• O Internet Explorer mantém duas listas diferentes de sites para a zona Intranet local. Uma lista entra em vigor quando a configuração de segurança reforçada é habilitada, e outra lista em separado entra em vigor quando a configuração de segurança reforçada é desabilitada. Ao adicionar uma página da Web à zona Intranet local, você está adicionando-a somente à lista em vigor no momento.
• Durante a instalação, é possível adicionar vários sites simultaneamente à zona Intranet local usando determinadas configurações no arquivo Unattend.txt. Para obter mais informações sobre como fazer isso, consulte o arquivo Leia-me em Deploy.cab no CD do produto Windows. Também é possível usar Diretivas de grupo para adicionar e gerenciar vários sites. Para obter mais informações, consulte Kit de implantação do Microsoft Windows Server 2003.

Aplicar Configuração de segurança reforçada do Internet Explorer a usuários específicos

A Configuração de segurança reforçada do Internet Explorer permite que você controle o nível de acesso do Internet Explorer permitido para determinados grupos de usuários no servidor.

Para isso, execute as seguintes etapas:

1. Abra Painel de controle, clique em Adicionar ou remover programas e clique em Adicionar/remover componentes do Windows.
2. Selecione Configuração de segurança reforçada do Internet Explorer e clique em Detalhes.
3. Marque a caixa de seleção de usuários ou grupos aos quais deseja aplicar a configuração de segurança reforçada: Para grupos de administradores, Para todos os outros grupos ou ambos e clique OK.
4. Clique em Avançar e clique em Concluir.
5. Reinicie o Internet Explorer para aplicar as configurações de segurança reforçada.

Observações

• Ao aplicar a Configuração de segurança reforçada do Internet Explorer ao grupo Administradores, as configurações são aplicadas a administradores e usuários avançados. Ao aplicar a Configuração de segurança reforçada do Internet Explorer ao grupo Usuários, as configurações são aplicadas a usuários padrão e usuários restritos.
• Para obter informações atualizadas sobre as zonas de segurança do Internet Explorer, visite o seguinte site da Biblioteca do Microsoft MSDN (em inglês):
  http://msdn.microsoft.com/workshop/security/szone/overview/templates.asp (http://msdn.microsoft.com/workshop/security/szone/overview/templates.asp)

Aplicar configurações de segurança padrão do Internet Explorer no Windows 2000

Se a Configuração de segurança reforçada do Internet Explorer for habilitada no servidor, você pode optar por usar as configurações de segurança padrão do Internet Explorer usadas pelo Windows 2000.

Para isso, execute as seguintes etapas:

1. Abra Painel de controle, clique em Adicionar ou remover programas e clique em Adicionar/remover componentes do Windows.
2. Selecione Configuração de segurança reforçada do Internet Explorer, desmarque a seleção e clique em OK.
3. Clique em Avançar e clique em Concluir.
4. Reinicie o Internet Explorer para aplicar as alterações.

Importante

• Ao usar as configurações de segurança do Windows 2000 para o Internet Explorer, você restaura as listas dos sites das zonas Sites confiáveis e Intranet local que estavam em vigor quando a Configuração de segurança reforçada do Internet Explorer estava sendo aplicada.
• Aplicar as configurações de segurança padrão do Internet Explorer no Windows 2000 aumenta a exposição do servidor a ataques em potencial de conteúdo mal-intencionado com base na Web.

Aumentar as configurações de segurança do Internet Explorer manualmente no servidor

Se você não usar a Configuração de segurança reforçada do Internet Explorer no seu ambiente, é possível aumentar facilmente a segurança do Internet Explorer usando Opções da Internet no Painel de controle para aumentar manualmente as configurações de segurança no servidor.

Para isso, execute as seguintes etapas:

1. Inicie o Internet Explorer e no menu Ferramentas, clique em Opções da Internet.
2. Na guia Segurança, selecione a zona de conteúdo da Web que você deseja ajustar. Internet, Intranet local, Sites confiáveis ou Sites restritos.
3. Em Nível de segurança desta zona, clique em Nível padrão para usar o nível de segurança padrão da zona ou clique em Nível personalizado e selecione as configurações desejadas.

Observações

• Para a zona Sites restritos, clique em Nível personalizado e clique em um nível da lista Redefinir como.
• Para obter informações atualizadas sobre as zonas de segurança do Internet Explorer, visite o seguinte site da Biblioteca do Microsoft MSDN (em inglês):
  http://msdn.microsoft.com/workshop/security/szone/overview/templates.asp (http://msdn.microsoft.com/workshop/security/szone/overview/templates.asp)

Boas práticas de segurança do navegador

Usar servidores para navegar na Internet não é uma boa prática de segurança porque a navegação na Internet aumenta a exposição do servidor a ameaças em potencial. Independentemente do navegador usado, é recomendável restringir a navegação no servidor. Para reduzir o risco de exposição do servidor a ataques em potencial de conteúdo mal-intencionado com base na Web:

• Não use servidor para navegar em conteúdo da Web em geral.
• Use computadores cliente para baixar arquivos como drivers e service packs.
• Não visualize sites que não podem ser confirmados como seguros.
• Use uma conta de usuário restrito em vez de uma conta de administrador para navegar na Web em geral.
• Use Diretivas de grupo para evitar que usuários não autorizados façam alterações inapropriadas em configurações de segurança do navegador.

Para obter mais informações sobre o gerenciamento da Configuração de segurança reforçada do Internet Explorer, de modo que usuário e administradores possam acessar recursos e sites confiáveis em uma intranet corporativa e na Internet, visite o seguinte site da Microsoft para baixar a documentação "Gerenciando a Configuração de segurança reforçada do Internet Explorer" (em inglês):

Para obter mais informações, visite o seguinte site do Microsoft MSDN (em inglês):