Artigo: 823659 - �ltima revis�o: sexta-feira, 13 de Maio de 2011 - Revis�o: 20.0

Incompatibilidades com clientes, servi�os e programas que poder�o ocorrer quando modifica defini��es de seguran�a e atribui��es de direitos de utilizadores

Ver produtos para os quais este artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Este artigo descreve incompatibilidades que podem ocorrer em computadores cliente com Microsoft Windows 95, Microsoft Windows 98, Microsoft Windows NT 4.0, Microsoft Windows 2000, Microsoft Windows XP Professional ou Microsoft Windows Server 2003 quando s�o alteradas defini��es de seguran�a espec�ficas e atribui��es de direitos de utilizadores em dom�nios do Windows NT 4.0, do Windows 2000 e do Windows Server 2003.

Ao configurar estas defini��es e atribui��es em pol�ticas locais e de grupo, estar� a contribuir para refor�ar a seguran�a em controladores de dom�nio e em computadores membros. A desvantagem de uma seguran�a refor�ada consiste na introdu��o de incompatibilidades com clientes, servi�os e programas.

Para que esteja mais consciente de defini��es de seguran�a incorrectas, utilize a ferramenta Editor de objecto de pol�tica de grupo para modificar defini��es de seguran�a. Quando utiliza o Editor de objecto de pol�tica de grupo, as atribui��es de direitos de utilizador s�o refor�adas nos seguintes sistemas operativos:

Microsoft Windows XP Professional Service Pack 2 (SP2)
Microsoft Windows Server 2003 Service Pack 1 (SP1)

Entre os avan�os destaca-se uma caixa de di�logo que cont�m uma liga��o para este artigo e que surge sempre que converte uma defini��o de seguran�a ou uma atribui��o de direitos de utilizador numa defini��o que ofere�a menos compatibilidade e seja mais restritiva. Se modificar directamente a mesma defini��o de seguran�a ou atribui��o de direitos de utilizador atrav�s da utiliza��o do registo ou de modelos de seguran�a, o efeito � o mesmo que modificar a defini��o no Editor do objecto de pol�tica de grupo; contudo, a caixa de di�logo que cont�m a liga��o para este artigo n�o aparece.

Este artigo cont�m exemplos de clientes, programas e opera��es que s�o afectados por defini��es de seguran�a espec�ficas ou atribui��es de direitos de utilizador. Contudo, os exemplos n�o s�o representativos de todos os sistemas operativos Microsoft, todos os sistemas operativos de outros fornecedores ou todas as vers�es de programas que sejam afectados. Nem todas as defini��es de seguran�a e atribui��es de direitos de utilizador est�o inclu�das neste artigo.

A Microsoft recomenda que valide a compatibilidade de todas as altera��es de configura��o relacionadas com a seguran�a numa floresta de teste antes de as introduzir num ambiente de produ��o. A floresta de teste deve reflectir a floresta de produ��o no que se refere aos seguintes elementos:

Vers�es de sistema operativo de cliente e servidor, programas de cliente e servidor, vers�es de service pack, correc��es, altera��es do esquema, grupos de seguran�a, associa��es de grupo, permiss�es de objectos no sistema de ficheiros, pastas partilhadas, registo, servi�o de direct�rio Active Directory, defini��es de pol�tica local e de grupo, tipo e localiza��o do n�mero de objectos
Tarefas administrativas que s�o desempenhadas, ferramentas administrativas que s�o utilizadas e sistemas operativos que s�o utilizados para desempenhar tarefas administrativas
Opera��es que s�o desempenhadas, incluindo autentica��o de computador e de in�cio de sess�o do utilizador; reposi��es de palavra-passe pelos utilizadores, computadores e administradores; navega��o; estabelecimento de permiss�es para o sistema de ficheiros, para pastas partilhadas, para o registo e recursos do Active Directory atrav�s da utiliza��o do Editor de ACL em todos os sistemas operativos cliente de todos os dom�nios de conta ou recurso de todos os sistemas operativos cliente de todos os dom�nios de conta ou de recurso; e impress�o a partir de contas administrativas e n�o administrativas

Voltar ao topo

Windows Server 2003 SP1

Avisos no Gpedit.msc

Para ajudar a alertar os clientes de que est�o a editar um direito de utilizador ou op��o de seguran�a que poder� ter efeitos adversos na rede, foram adicionados dois mecanismos de aviso ao gpedit.msc. Quando os administradores editam um direito de utilizador que pode afectar negativamente toda a empresa, ver�o um novo �cone semelhante a um sinal de prioridade. Receber�o tamb�m uma mensagem de aviso com uma liga��o para o artigo 823659 da Base de Dados de Conhecimento da Microsoft. O texto desta mensagem � o seguinte:

A altera��o desta defini��o pode afectar a compatibilidade com clientes, servi�os e aplica��es. Para mais informa��es, consulte <direito de utilizador ou op��o de seguran�a alterada> (Q823659)

Se foi encaminhado para esta KB a partir de uma liga��o no GPEDIT.MSC, certifique-se de que l� e compreende a explica��o fornecida e o poss�vel efeito de modificar esta defini��o. Segue-se uma lista de Direitos de Utilizador que cont�m o novo texto de aviso:

Aceder a este computador a partir da rede
Iniciar sess�o localmente
Ignorar verifica��o transversal
Permitir que computadores e utilizadores sejam fidedignos para delega��o

Segue-se uma lista de Op��es de seguran�a que cont�m o aviso e uma janela de pop-up:

Membro de dom�nio: Encriptar ou assinar digitalmente dados de canal seguro (sempre)
Membro de dom�nio: Exigir chave de sess�o segura (Windows 2000 ou posterior)
Controlador de dom�nio: Requisitos de assinatura de servidor LDAP
Servidor de rede da Microsoft: Assinar digitalmente comunica��es (sempre)
Acesso � rede: Permitir convers�o de SID/Nome an�nimo
Acesso � rede: N�o permitir enumera��o an�nima de contas e partilhas SAM
Seguran�a de rede: N�vel de autentica��o LAN Manager
Auditoria: Encerrar o sistema imediatamente se n�o for poss�vel registar auditorias de seguran�a
Acesso � rede: Requisitos de assinatura de cliente LDAP

Voltar ao topo

Mais Informa��o

As sec��es que se seguem descrevem incompatibilidades que poder�o ocorrer quando modifica defini��es espec�ficas nos dom�nios do Windows NT 4.0, nos dom�nios do Windows 2000 e nos dom�nios do Windows Server 2003.

Voltar ao topo

Direitos de utilizador

Aceder a este computador a partir da rede
1. Informa��es adicionais
  
  A capacidade de interagir com computadores Windows remotos exige o direito de utilizador Aceder a este computador a partir da rede. Exemplos de opera��es de rede deste tipo incluem a replica��o do Active Directory entre controladores de dom�nio num dom�nio ou floresta comum, pedidos de autentica��o a controladores de dom�nio por parte de utilizadores e computadores, bem como acesso a pastas partilhadas, impressoras e outros servi�os do sistema que se encontram localizados em computadores remotos na rede.
  
  Os utilizadores, computadores e contas de servi�o ganham ou perdem o direito de utilizador Aceder a este computador a partir da rede atrav�s da introdu��o ou remo��o, expl�cita ou impl�cita, de um grupo de seguran�a ao qual tenha sido atribu�do este direito de utilizador. Por exemplo, uma conta de utilizador ou uma conta de computador pode ser explicitamente adicionada por um administrador a um grupo de seguran�a personalizado ou integrado, ou pode ser implicitamente adicionada pelo sistema operativo a um grupo de seguran�a calculado, como Utilizadores de dom�nio, Utilizadores autenticados ou Controladores de dom�nio empresarial.
  
  Por predefini��o, as contas de utilizador e de computador beneficiam do direito de utilizador Aceder a este computador a partir da rede quando tiverem sido definidos grupos calculados, como Todos ou, de prefer�ncia, Utilizadores autenticados, e, para controladores de dom�nio, o grupo de Controladores de dom�nio empresarial, no objecto de Pol�tica de Grupo (GPO) predefinido dos controladores de dom�nio.
2. Configura��es de risco
  
  Seguem-se defini��es de configura��o prejudiciais:
  - Remover o grupo de seguran�a Controladores de dom�nio empresarial deste direito de utilizador
  - Remover o grupo de Utilizadores autenticados ou um grupo expl�cito que concede a utilizadores, computadores e contas de servi�o o direito de utilizador para estabelecer liga��o com computadores da rede
  - Remover todos os utilizadores e computadores deste direito de utilizador
3. Raz�es para atribuir este direito de utilizador
  - A atribui��o do direito de utilizador Aceder a este computador a partir da rede ao grupo de Controladores de dom�nio empresarial satisfaz os requisitos de autentica��o que a replica��o do Active Directory deve possuir para que a replica��o ocorra entre controladores de dom�nio da mesma floresta.
  - Este direito de utilizador permite que utilizadores e computadores acedam a ficheiros, impressoras e servi�os de sistema partilhados, incluindo o Active Directory.
  - Este direito de utilizador � necess�rio para que os utilizadores acedam ao correio atrav�s da utiliza��o de vers�es anteriores do Microsoft Outlook Web Access (OWA).
4. Raz�es para remover este direito de utilizador
  - Os utilizadores com capacidade de ligar os seus computadores � rede podem aceder a recursos em computadores remotos para os quais det�m permiss�es. Por exemplo, este direito de utilizador � necess�rio para que um utilizador estabele�a liga��o com impressoras e pastas partilhadas. Se este direito de utilizador for atribu�do ao grupo Todos, e se algumas pastas partilhadas possu�rem tanto permiss�es de partilha como do sistema de ficheiros NTFS configuradas para que o mesmo grupo tenha acesso de leitura, qualquer pessoa pode ver os ficheiros naquelas pastas partilhadas. Contudo, esta � uma situa��o improv�vel para instala��es recentes do Windows Server 2003, porque a partilha predefinida e as permiss�es de NTFS no Windows Server 2003 n�o incluem o grupo Todos. Para sistemas actualizados a partir do Microsoft Windows NT 4.0 ou Windows 2000, esta vulnerabilidade pode comportar um n�vel superior de risco, porque a partilha predefinida e as permiss�es do sistema de ficheiros destes sistemas operativos n�o s�o t�o restritivas como as permiss�es predefinidas do Windows Server 2003.
  - N�o existe qualquer raz�o v�lida para remover o grupo de Controladores de dom�nio empresarial deste direito de utilizador.
  - Geralmente, o grupo Todos � removido a favor do grupo de Utilizadores autenticados. Se o grupo Todos for removido, este direito de utilizador deve ser atribu�do ao grupo de Utilizadores autenticados.
  - Os dom�nios do Windows NT 4.0 que s�o actualizados para o Windows 2000 n�o atribuem explicitamente o direito de utilizador Aceder a este computador a partir da rede ao grupo Todos, Utilizadores autenticados ou Controladores de dom�nio empresarial. Consequentemente, se remover o grupo Todos da pol�tica de dom�nio do Windows NT 4.0, a replica��o do Active Directory falhar� e surgir� uma mensagem de erro de "Acesso negado" depois de conclu�da a actualiza��o para o Windows 2000. O Winnt32.exe no Windows Server 2003 evita esta configura��o incorrecta atrav�s da atribui��o deste direito de utilizador ao grupo de Controladores de dom�nio empresarial quando actualiza os controladores de dom�nio principais (PDC) do Windows NT 4.0. Atribua este direito de utilizador ao grupo de Controladores de dom�nio empresarial se n�o estiver presente no Editor de objecto de pol�tica de grupo.
5. Exemplos de problemas de compatibilidade
  - Windows 2000 e Windows Server 2003: A replica��o do Esquema do Active Directory, de Configura��o, de Dom�nio, de cat�logo global ou de Parti��es da aplica��o falhar� e surgir�o erros de "Acesso negado", tal como relatado por ferramentas de monitoriza��o como REPLMON e REPADMIN ou eventos de replica��o no registo de eventos.
  - Todos os sistemas operativos de rede Microsoft: A autentica��o da Conta de utilizador a partir de computadores cliente de rede remotos falhar�, a menos que este direito de utilizador tenha sido atribu�do ao utilizador ou a um grupo de seguran�a a que o utilizador perten�a.
  - Todos os sistemas operativos de rede Microsoft: A autentica��o da conta a partir de clientes de rede remotos falhar�, a menos que este direito de utilizador tenha sido atribu�do � conta ou a um grupo de seguran�a a que a conta perten�a. Este cen�rio aplica-se a contas de utilizador, contas de computador e contas de servi�o.
  - Todos os sistemas operativos de rede Microsoft: A remo��o de todas as contas deste direito de utilizador impedir� que qualquer conta inicie sess�o no dom�nio ou aceda a recursos de rede. Se forem removidos grupos calculados, como Controladores de dom�nio empresarial, Todos ou Utilizadores autenticados, deve atribuir explicitamente este direito de utilizador a contas ou a grupos de seguran�a a que a conta perten�a para que possam aceder a computadores remotos da rede. Este cen�rio aplica-se a todas as contas de utilizador, a todas as contas de computador e a todas as contas de servi�o.
  - Todos os sistemas operativos de rede Microsoft: A conta de administrador local utiliza uma palavra-passe "em branco". A conectividade de rede com palavras-passe em branco n�o � permitida para contas de administrador num ambiente de dom�nio. Com esta configura��o, � previs�vel que receba uma mensagem de erro de "Acesso negado".
Permitir in�cio de sess�o local
1. Informa��es adicionais
  
  Os utilizadores que tentam iniciar sess�o na consola de um computador baseado em Microsoft Windows (utilizando a sequ�ncia de teclas de in�cio de sess�o CTRL+ALT+DELETE) e as contas que tentam iniciar um servi�o devem deter privil�gios de in�cio de sess�o local no computador anfitri�o. Exemplos de opera��es de in�cio de sess�o local incluem administradores que iniciam sess�o nas consolas de computadores membros ou controladores de dom�nio em toda a empresa e utilizadores de dom�nio que iniciam sess�o em computadores membros para aceder aos seus ambientes de trabalho atrav�s da utiliza��o de contas sem privil�gios. Os utilizadores que usam uma liga��o ao Ambiente de trabalho remoto ou Servi�os de terminal devem deter o direito de utilizador Permitir in�cio de sess�o local nos computadores de destino com Windows 2000 ou Windows XP, porque estes modos de in�cio de sess�o s�o considerados locais para o computador anfitri�o. Os utilizadores que iniciam sess�o num servidor com o Terminal Server activado e que n�o det�m este direito de utilizador podem ainda iniciar uma sess�o interactiva remota nos dom�nios do Windows Server 2003 caso possuam o direito de utilizador Permitir in�cio de sess�o atrav�s de Servi�os de terminal.
2. Configura��es de risco
  
  Seguem-se defini��es de configura��o prejudiciais:
  - Remover grupos de seguran�a administrativa, incluindo Operadores de contas, Operadores de c�pia de seguran�a, Operadores de impress�o ou Operadores de servidor, e o grupo de Administradores integrado da pol�tica de controladores de dom�nio predefinidos.
  - Remover contas de servi�o utilizadas por componentes e por programas em computadores membros e em controladores de dom�nio da pol�tica de controladores de dom�nio predefinidos.
  - Remover utilizadores ou grupos de seguran�a que iniciam sess�o na consola de computadores membros no dom�nio.
  - Remover contas de servi�o que est�o definidas na base de dados local do Gestor de Contas de Seguran�a (SAM) de computadores membros ou de computadores de grupo de trabalho.
  - Remover contas administrativas n�o integradas que s�o autenticadas atrav�s dos Servi�os de Terminal executados num controlador de dom�nio.
  - Adicionar todas as contas de utilizador no dom�nio, expl�cita ou implicitamente, atrav�s do grupo Todos ao direito de in�cio de sess�o Recusar in�cio de sess�o local. Esta configura��o impedir� que os utilizadores iniciem sess�o em qualquer computador membro ou controlador de dom�nio no dom�nio.
3. Raz�es para atribuir este direito de utilizador
  - Os utilizadores devem possuir o direito de utilizador Permitir in�cio de sess�o local para aceder � consola ou ambiente de trabalho de um computador de grupo de trabalho, um computador membro ou um controlador de dom�nio.
  - Os utilizadores devem possuir este direito de utilizador para iniciar sess�o atrav�s de uma sess�o de Servi�os de terminal executada num controlador de dom�nio ou num computador membro baseado em Windows 2000.
4. Raz�es para remover este direito de utilizador
  - A n�o restri��o do acesso � consola a contas de utilizador leg�timas poder� resultar na transfer�ncia e execu��o, por parte de utilizadores n�o autorizados, de c�digo malicioso com o objectivo de alterar os seus direitos de utilizador.
  - A remo��o do direito de utilizador Permitir in�cio de sess�o local impede in�cios de sess�o n�o autorizados nas consolas de computadores, como controladores de dom�nio ou servidores de aplica��es.
  - A remo��o deste direito de in�cio de sess�o impede que contas n�o integradas no dom�nio iniciem sess�o na consola de computadores membros no dom�nio.
5. Exemplos de problemas de compatibilidade
  - Servidores de terminais Windows 2000: O direito de utilizador Permitir in�cio de sess�o local � necess�rio para que os utilizadores iniciem sess�o nos servidores de terminais do Windows 2000.
  - Windows NT 4.0, Windows 2000, Windows XP ou Windows Server 2003: As contas de utilizador devem possuir este direito de utilizador para iniciar sess�o na consola de computadores com Windows NT 4.0, Windows 2000, Windows XP ou Windows Server 2003.
  - Windows NT 4.0 e vers�es posteriores: Em computadores com o Windows NT 4.0 e vers�es posteriores, se adicionar o direito de utilizador Permitir in�cio de sess�o local, mas atribuir tamb�m, impl�cita ou explicitamente, o direito de in�cio de sess�o Recusar in�cio de sess�o local, as contas n�o poder�o iniciar sess�o na consola dos controladores de dom�nio.
Ignorar verifica��o transversal
1. Informa��es adicionais
  
  O direito de utilizador Ignorar verifica��o transversal permite que o utilizador navegue atrav�s de pastas no sistema de ficheiros NTFS ou no registo sem ter de definir a permiss�o de acesso especial Percorrer pasta. O direito de utilizador Ignorar verifica��o transversal n�o permite que o utilizador apresente uma lista dos conte�dos de uma pasta; permite apenas que o utilizador percorra as suas pastas.
2. Configura��es de risco
  
  Seguem-se defini��es de configura��o prejudiciais:
  - Remover contas n�o administrativas que iniciam sess�o em computadores baseados no Windows 2000 ou no Windows Server 2003 com servi�os de terminal sem permiss�es para aceder a ficheiros e pastas no sistema de ficheiros.
  - Remover o grupo Todos da lista de principais de seguran�a que, por predefini��o, possuem este direito de utilizador. Os sistemas operativos Windows, e tamb�m muitos outros programas, foram concebidos na expectativa de que qualquer pessoa que possa aceder legitimamente ao computador possua o direito de utilizador Ignorar verifica��o transversal. Consequentemente, a remo��o do grupo Todos da lista de principais de seguran�a que, por predefini��o, possuem este direito de utilizador poder� provocar instabilidade no sistema operativo ou falha do programa. � prefer�vel manter esta predefini��o.
3. Raz�es para atribuir este direito de utilizador
  
  Por predefini��o, o direito de utilizador Ignorar verifica��o transversal permite que qualquer pessoa ignore a verifica��o transversal. Para administradores de sistemas Windows experientes, este � o comportamento esperado, pelo que configuram listas de controlo de acesso a ficheiros de sistema (SACL, System Access Control Lists) em conformidade. O �nico cen�rio em que a configura��o predefinida pode conduzir a um percal�o � no caso de o administrador que configura permiss�es n�o compreender o comportamento e esperar que os utilizadores que n�o conseguem aceder a uma pasta principal n�o consigam aceder aos conte�dos de quaisquer pastas secund�rias.
4. Raz�es para remover este direito de utilizador
  
  As organiza��es com preocupa��es de seguran�a elevadas podem ser tentadas a remover o grupo Todos ou mesmo, talvez, a remover o grupo Utilizadores, da lista de grupos com o direito de utilizador Ignorar verifica��o transversal a fim de impedir o acesso aos ficheiros ou pastas do sistema de ficheiros.
5. Exemplos de problemas de compatibilidade
  - Windows 2000, Windows Server 2003: Se o direito de utilizador Ignorar verifica��o transversal for removido ou estiver mal configurado em computadores com o Windows 2000 ou Windows Server 2003, as defini��es de Pol�tica de Grupo na pasta SYSVOL n�o ser�o replicadas entre controladores no dom�nio.
  - Windows 2000, Windows XP Professional, Windows Server 2003: Os computadores com Windows 2000, Windows XP Professional ou Windows Server 2003 registar�o os eventos 1000 e 1202 e n�o conseguir�o aplicar a pol�tica de computador e a pol�tica de utilizador quando as necess�rias permiss�es do sistema de ficheiros forem removidas da �rvore SYSVOL se o direito de utilizador Ignorar verifica��o transversal for removido ou estiver mal configurado.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    290647� (http://support.microsoft.com/kb/290647/ ) O ID de evento 1000, 1001 � registado de 5 em 5 minutos no registo de eventos de aplica��es
  - Windows 2000, Windows Server 2003: Em computadores com o Windows 2000 ou Windows Server 2003, o separador Quota do Explorador do Windows desaparecer� quando visualizar as propriedades de um volume.
  - Windows 2000: Os n�o administradores que iniciem sess�o num terminal Windows 2000 poder�o receber a seguinte mensagem de erro:
    Erro de aplica��o Userinit.exe. A aplica��o falhou a inicializa��o correcta 0xc0000142. Clique em OK para terminar a aplica��o.
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    272142� (http://support.microsoft.com/kb/272142/ ) Os utilizadores terminam automaticamente sess�o quanto tentam iniciar sess�o nos servi�os de terminal.
  - Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003: Os utilizadores cujos computadores possuem o Windows NT 4.0, Windows 2000, Windows XP ou Windows Server 2003 poder�o n�o conseguir aceder a pastas partilhadas ou a ficheiros em pastas partilhadas e poder�o receber mensagens de erro de "Acesso negado" se n�o detiverem o direito de utilizador Ignorar verifica��o transversal.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    277644� (http://support.microsoft.com/kb/277644/ ) Mensagem de erro de "Acesso Negado" quando os utilizadores tentam aceder a pastas partilhadas
  - Windows NT 4.0: Em computadores baseados em Windows NT 4.0, a remo��o do direito de utilizador Ignorar verifica��o transversal provocar� uma interrup��o das sequ�ncias de ficheiros durante uma c�pia de ficheiros. Se remover este direito de utilizador, quando um ficheiro for copiado de um cliente Windows ou de um cliente Macintosh para um controlador de dom�nio do Windows NT 4.0 com Servi�os para Macintosh, a sequ�ncia de ficheiros de destino perde-se e o ficheiro � apresentado como um ficheiro de texto.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    172930� (http://support.microsoft.com/kb/172930/ ) A remo��o de "Ignorar verifica��o transversal" provoca a interrup��o de sequ�ncias durante a c�pia de ficheiros
  - Microsoft Windows 95, Microsoft Windows 98: Num computador cliente com o Windows 95 ou Windows 98, o comando net use * /home falhar� com uma mensagem de erro de "Acesso Negado" se o grupo de Utilizadores autenticados n�o detiver o direito de utilizador Ignorar verifica��o transversal.
  - Outlook Web Access: Os n�o administradores n�o conseguir�o iniciar sess�o no Microsoft Outlook Web Access e receber�o uma mensagem de erro de "Acesso Negado" se n�o detiverem o direito de utilizador Ignorar verifica��o transversal.

Defini��es de seguran�a

Auditoria: Encerrar o sistema imediatamente se n�o for poss�vel registar auditorias de seguran�a
1. Informa��es adicionais
  - A defini��o Auditoria: Encerrar o sistema imediatamente se n�o for poss�vel registar auditorias de seguran�a determina se o sistema deve encerrar no caso de o utilizador n�o conseguir registar eventos de seguran�a. Esta defini��o � necess�ria para a avalia��o C2 do programa de Crit�rios de Avalia��o da Seguran�a de Sistemas Inform�ticos (TCSEC) e para os Crit�rios Comuns de Avalia��o da Seguran�a das Tecnologias da Informa��o, para impedir a auditoria de eventos no caso de o sistema de auditoria n�o conseguir registar aqueles eventos. Se o sistema de auditoria falhar, o sistema � encerrado e � apresentada uma mensagem de erro de paragem.
  - Se o computador n�o conseguir registar eventos no registo de seguran�a, provas cr�ticas ou informa��es importantes de resolu��o de problemas poder�o n�o estar dispon�veis para an�lise ap�s um incidente de seguran�a.
2. Configura��o de risco
  
  A seguinte defini��o de configura��o � prejudicial: A defini��o Auditoria: Encerrar o sistema imediatamente se n�o for poss�vel registar auditorias de seguran�a est� activada e o tamanho do registo de eventos de seguran�a est� limitado pela op��o N�o substituir eventos (limpar registo manualmente), pela op��o Substituir eventos conforme necess�rio ou pela op��o Substituir eventos mais antigos que n�mero de dias no Visualizador de Eventos. Consulte a sec��o "Exemplos de problemas de compatibilidade" para obter mais informa��es sobre riscos espec�ficos para computadores com a vers�o original do Windows 2000, Windows 2000 Service Pack 1 (SP1), Windows 2000 SP2 ou Windows 2000 SP3.
3. Raz�es para activar esta defini��o
  
  Se o computador n�o conseguir registar eventos no registo de seguran�a, provas cr�ticas ou informa��es importantes de resolu��o de problemas poder�o n�o estar dispon�veis para an�lise ap�s um incidente de seguran�a.
4. Raz�es para desactivar esta defini��o
  - A activa��o da defini��o Auditoria: Encerrar o sistema imediatamente se n�o for poss�vel registar auditorias de seguran�a p�ra o sistema se, por qualquer motivo, n�o for poss�vel registar uma auditoria de seguran�a. Normalmente, n�o � poss�vel registar um evento quando o registo de auditoria de seguran�a est� cheio e quando o m�todo de reten��o especificado � a op��o N�o substituir eventos (limpar registo manualmente) ou a op��o Substituir eventos mais antigos que n�mero de dias.
  - A carga administrativa de activar a defini��o Auditoria: Encerrar o sistema imediatamente se n�o for poss�vel registar auditorias de seguran�a pode ser extremamente elevada, especialmente se activar tamb�m a op��o N�o substituir eventos (limpar registo manualmente) do registo de seguran�a. Esta defini��o acautela a responsabiliza��o individual das ac��es do operador. Por exemplo, um administrador pode repor as permiss�es para todos os utilizadores, computadores e grupos de uma unidade organizacional (UO) onde a auditoria tenha sido activada atrav�s da utiliza��o da conta de administrador integrada ou de outra conta partilhada e depois negar-lhes a reposi��o de tais permiss�es. Contudo, a activa��o da defini��o n�o diminui a robustez do sistema, porque um servidor pode ser for�ado a encerrar devido ao excesso de eventos de in�cio de sess�o e de outros eventos de seguran�a escritos no registo de seguran�a. Por outro lado, o facto de o encerramento ser inesperado pode originar danos irrepar�veis para o sistema operativo, programas ou dados. Embora o NTFS garanta a manuten��o da integridade do sistema de ficheiros durante um encerramento inesperado do sistema, n�o pode garantir que todos os ficheiros de dados de todos os programas ainda estejam aptos a ser utilizados quando o sistema � reiniciado.
5. Nome simb�lico:
  
  CrashOnAuditFail
6. Caminho do registo:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\CrashOnAuditFail (Reg_DWORD)
7. Exemplos de problemas de compatibilidade
  - Windows 2000: Devido a um erro, os computadores com a vers�o original do Windows 2000, Windows 2000 SP1, Windows 2000 SP2 ou Windows Server SP3 poder�o deixar de registar eventos antes de atingir o tamanho especificado na op��o Tamanho m�ximo do registo relativa ao registo de eventos de seguran�a. Este erro foi corrigido no Windows 2000 Service Pack 4 (SP4). Certifique-se de que os seus controladores de dom�nio do Windows 2000 t�m o Windows 2000 Service Pack 4 instalado antes de pensar em activar esta defini��o.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    312571� (http://support.microsoft.com/kb/312571/ ) O registo de eventos deixa de registar eventos antes de alcan�ar o tamanho m�ximo do registo
  - Windows 2000, Windows Server 2003: Os computadores com o Windows 2000 ou Windows Server 2003 podem deixar de responder e reiniciar espontaneamente se a op��o Auditoria: Encerrar o sistema imediatamente se n�o for poss�vel registar auditorias de seguran�a estiver activada, se o registo de seguran�a estiver cheio e se uma entrada existente no registo de eventos n�o puder ser substitu�da. Quando o computador � reiniciado, surge a seguinte mensagem de erro de paragem:
    STOP: C0000244 {Falha na auditoria}
    Falha na tentativa de gerar uma auditoria de seguran�a.
    Para recuperar, um administrador deve iniciar sess�o, arquivar o registo de seguran�a (opcional), limpar o registo de seguran�a e repor esta op��o (opcional e conforme necess�rio).
  - Microsoft Network Client para MS-DOS, Windows 95, Windows 98, Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003: Os n�o administradores que tentem iniciar sess�o num dom�nio receber�o a seguinte mensagem de erro:
    A sua conta est� configurada de modo a impedi-lo de utilizar este computador. Tente outro computador.
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    160783� (http://support.microsoft.com/kb/160783/ ) Mensagem de erro: Os utilizadores n�o conseguem iniciar sess�o numa esta��o de trabalho
  - Windows 2000: Nos computadores baseados no Windows 2000, os n�o administradores n�o conseguir�o iniciar sess�o em servidores de acesso remoto e receber�o uma mensagem de erro semelhante � seguinte:
    Utilizador desconhecido ou palavra-passe incorrecta
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    285665� (http://support.microsoft.com/kb/285665/ ) Mensagem de erro: A sua conta est� configurada de modo a impedi-lo de utilizar este computador
  - Windows 2000: Nos controladores de dom�nio do Windows 2000, o servi�o Intersite Messaging (Ismserv.exe) parar� e n�o ser� poss�vel reinici�-lo. O DCDIAG comunicar� o erro como "servi�os de teste falhados ISMserv" e o evento ID 1083 ser� registado no registo de eventos.
  - Windows 2000: Nos controladores de dom�nio do Windows 2000, a replica��o do Active Directory falhar� e, se o registo de eventos estiver cheio, ser� apresentada uma mensagem de "Acesso negado".
  - Microsoft Exchange 2000: Os servidores com o Exchange 2000 n�o conseguir�o montar a base de dados do arquivo de informa��es e o evento 2102 ser� registado no registo de eventos.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    314294� (http://support.microsoft.com/kb/314294/ ) As mensagens de erro do Exchange 2000 s�o geradas devido a problemas do SeSecurityPrivilege Right e do Policytest (em ingl�s)
  - Outlook, Outlook Web Access: Os n�o administradores n�o conseguir�o aceder ao correio atrav�s do Microsoft Outlook ou do Microsoft Outlook Web Access e receber�o um erro 503.
Controlador de dom�nio: Requisitos de assinatura do servidor LDAP
1. Informa��es adicionais
  
  A defini��o de seguran�a Controlador de dom�nio: requisitos de assinatura do servidor LDAP determina se o servidor LDAP (Lightweight Directory Access Protocol) exige que os clientes LDAP negoceiem a assinatura de dados. Os valores poss�veis para esta defini��o de pol�tica s�o:
  - Nenhum: A assinatura de dados n�o � necess�ria para a liga��o ao servidor. Se o cliente pedir assinatura de dados, o servidor suport�-lo-�.
  - Exigir assinatura: A op��o de assinatura de dados LDAP deve ser negociada, a menos que estejam a ser utilizados os protocolos TLS/SSL (Transport Layer Security/Secure Socket Layer).
  - n�o definido: Esta defini��o n�o est� activada ou est� desactivada.
2. Configura��es de risco
  
  Seguem-se defini��es de configura��o prejudiciais:
  - Activar Exigir assinatura em ambientes onde os clientes n�o suportam a assinatura LDAP ou onde a assinatura LDAP do lado do cliente n�o est� activada no cliente
  - Aplicar o modelo de seguran�a Hisecdc.inf do Windows 2000 ou do Windows Server 2003 em ambientes onde os clientes n�o suportam a assinatura LDAP ou onde a assinatura LDAP do lado do cliente n�o est� activada
  - Aplicar o modelo de seguran�a Hisecws.inf do Windows 2000 ou do Windows Server 2003 em ambientes onde os clientes n�o suportam a assinatura LDAP ou onde a assinatura LDAP do lado do cliente n�o est� activada
3. Raz�es para activar esta defini��o
  
  O tr�fego de rede n�o assinado � suscept�vel a ataques de intermedi�rio (man-in-the-middle), mediante os quais um intruso captura pacotes entre o cliente e o servidor, modifica os pacotes e depois encaminha-os para o servidor. Quando este comportamento se verifica num servidor LDAP, um atacante poder� fazer com que um servidor tome decis�es baseadas em consultas falsas do cliente LDAP. Pode reduzir este risco numa rede empresarial atrav�s da implementa��o de fortes medidas de seguran�a f�sica para ajudar a proteger a infra-estrutura de rede. O modo de cabe�alho de autentica��o de seguran�a do Protocolo Internet (IPSec) pode dificultar bastante os ataques de intermedi�rio. O modo de cabe�alho de autentica��o realiza autentica��o m�tua e integridade do pacote para o tr�fego IP.
4. Raz�es para desactivar esta defini��o
  - Os clientes que n�o suportam a assinatura LDAP n�o conseguir�o realizar consultas LDAP em controladores de dom�nio e em cat�logos globais se a autentica��o NTLM for negociada e se n�o estiverem instalados os service packs correctos nos controladores de dom�nio do Windows 2000.
  - Os rastreios de tr�fego LDAP na rede entre clientes e servidores estar�o encriptados, o que torna dif�cil examinar conversas LDAP.
  - Os servidores baseados em Windows 2000 devem ter instalado o Windows 2000 Service Pack 3 (SP3) ou vers�o posterior quando s�o administrados com programas que suportam a assinatura LDAP executados a partir de computadores cliente com Windows 2000 SP4, Windows XP ou Windows Server 2003. Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    325465� (http://support.microsoft.com/kb/325465/ ) Os controladores de dom�nio do Windows 2000 necessitam do Service Pack 3 ou vers�o posterior quando utilizam as ferramentas de administra��o do Windows Server 2003
5. Nome simb�lico:
  
  LDAPServerIntegrity
6. Caminho do registo:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LDAPServerIntegrity (Reg_DWORD)
7. Exemplos de problemas de compatibilidade
  - Os enlaces simples falhar�o e receber� a seguinte mensagem de erro:
    Ldap_simple_bind_s() falhou: Autentica��o forte necess�ria.
  - Windows 2000 Service Pack 4, Windows XP, Windows Server 2003: Nos clientes com Windows 2000 SP4, Windows XP ou Windows Server 2003, algumas ferramentas de administra��o do Active Directory n�o funcionar�o correctamente em controladores de dom�nio com vers�es do Windows 2000 anteriores ao SP3 quando a autentica��o NTLM � negociada.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    325465� (http://support.microsoft.com/kb/325465/ ) Os controladores de dom�nio do Windows 2000 necessitam do Service Pack 3 ou vers�o posterior quando utilizam as ferramentas de administra��o do Windows Server 2003
  - Windows 2000 Service Pack 4, Windows XP, Windows Server 2003: Nos clientes com o Windows 2000 SP4, Windows XP ou o Windows Server 2003, algumas ferramentas administrativas do Active Directory para controladores de dom�nio com vers�es do Windows 2000 anteriores ao SP3 n�o funcionar�o correctamente se estes estiverem a utilizar endere�os IP (por exemplo, "dsa.msc /server=x.x.x.x" em que x.x.x.x corresponde a um endere�o IP).
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    325465� (http://support.microsoft.com/kb/325465/ ) Os controladores de dom�nio do Windows 2000 necessitam do Service Pack 3 ou vers�o posterior quando utilizam as ferramentas de administra��o do Windows Server 2003
  - Windows 2000 Service Pack 4, Windows XP, Windows Server 2003: Nos clientes com o Windows 2000 SP4, Windows XP ou Windows Server 2003, algumas ferramentas de administra��o do Active Directory para controladores de dom�nio com vers�es do Windows 2000 anteriores ao SP3 n�o funcionar�o correctamente.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    325465� (http://support.microsoft.com/kb/325465/ ) Os controladores de dom�nio do Windows 2000 necessitam do Service Pack 3 ou vers�o posterior quando utilizam as ferramentas de administra��o do Windows Server 2003
Membro de dom�nio: Exigir chave de sess�o segura (Windows 2000 ou posterior)
1. Informa��es adicionais
  - A defini��o Membro de dom�nio: Exigir chave de sess�o segura (Windows 2000 ou vers�o posterior) determina se � poss�vel estabelecer um canal seguro com um controlador de dom�nio que n�o consegue encriptar tr�fego por canal seguro com uma chave de sess�o segura de 128 bits. A activa��o desta defini��o impede o estabelecimento de um canal seguro com qualquer controlador de dom�nio que n�o consiga encriptar dados de canal seguro com uma chave segura. A desactiva��o desta defini��o permite chaves de sess�o de 64 bits.
  - Antes de poder activar esta defini��o numa esta��o de trabalho membro ou num servidor, todos os controladores do dom�nio a que o membro pertence devem estar aptos a encriptar dados de canal seguro com uma chave segura de 128 bits. Isto significa que todos esses controladores de dom�nio devem ter o Windows 2000 ou vers�o posterior.
2. Configura��o de risco
  
  A activa��o da defini��o Membro de dom�nio: A defini��o Exigir chave de sess�o segura (Windows 2000 ou posterior) � prejudicial.
3. Raz�es para activar esta defini��o
  - As chaves de sess�o utilizadas para estabelecer comunica��es de canal seguras entre computadores membros e controladores de dom�nio s�o muito mais seguras no Windows 2000 do que nas vers�es anteriores de sistemas operativos Microsoft.
  - Sempre que poss�vel, � conveniente recorrer a estas chaves de sess�o mais seguras para ajudar a proteger as comunica��es por canal seguro contra visualiza��o de dados confidenciais (eavesdropping) e ataques de controlo n�o autorizado de sess�es. A Visualiza��o de dados confidenciais (Eavesdropping) � uma forma de ataque malicioso atrav�s da qual os dados da rede s�o lidos ou alterados em tr�nsito. Os dados podem ser modificados para ocultar ou alterar o remetente ou para o redireccionar.
  Importante: um computador que esteja a executar o Windows Server 2008 R2 ou o Windows 7 s� suporta chaves seguras se estiverem a ser utilizados canais seguros. Esta restri��o evita a cria��o de uma rela��o de fidedignidade entre dom�nios baseados em Windows NT 4.0 e dom�nios baseados em Windows Server 2008 R2. Al�m disso, esta restri��o bloqueia a associa��o de dom�nios baseados em Windows NT 4.0 a computadores que estejam a executar o Windows 7 ou o Windows Server 2008 R2, e vice-versa.
4. Raz�es para desactivar esta defini��o
  
  O dom�nio cont�m computadores membros com sistemas operativos que n�o o Windows 2000, Windows XP ou Windows Server 2003.
5. Nome simb�lico:
  
  StrongKey
6. Caminho do registo:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireStrongKey (Reg_DWORD)
7. Exemplos de problemas de compatibilidade
  
  Windows NT 4.0: Em computadores baseados em Windows NT 4.0, a reposi��o de canais seguros de rela��es de fidedignidade entre dom�nios do Windows NT 4.0 e do Windows 2000 com o NLTEST falha com a mensagem de erro de "Acesso negado":
  A rela��o de fidedignidade entre o dom�nio prim�rio e o dom�nio fidedigno falhou.
Membro de dom�nio: Encriptar ou assinar digitalmente dados de canais protegidos (sempre)
1. Informa��es adicionais
  - A activa��o de Membro de dom�nio: Encriptar ou assinar digitalmente dados de canais protegidos (sempre) impede o estabelecimento de um canal seguro com qualquer controlador de dom�nio inapto a assinar ou encriptar todos os dados de canais protegidos. Para ajudar a proteger o tr�fego de autentica��o contra ataques de intermedi�rio (man-in-the-middle), ataques de repeti��o e outras formas de ataque � rede, os computadores baseados em Windows criam um canal de comunica��o conhecido como um canal seguro ao longo do servi�o In�cio de sess�o de rede para autenticar as contas de computador. Os canais seguros s�o tamb�m utilizados quando um utilizador de um dom�nio estabelece liga��o com um recurso de rede num dom�nio remoto. Esta autentica��o multidom�nio, ou autentica��o "pass-through", permite que um computador baseado em Windows que se tenha associado a um dom�nio aceda � base de dados de contas de utilizador no seu dom�nio e em quaisquer dom�nios fidedignos.
  - Para activar a defini��o Membro de dom�nio: Encriptar ou assinar digitalmente dados de canais protegidos (sempre) num computador membro, todos os controladores de dom�nio existentes no dom�nio a que o membro pertence devem estar aptos a assinar ou encriptar todos os dados de canais protegidos. Isto significa que todos esses controladores de dom�nio devem ter o Windows NT 4.0 com Service Pack 6a (SP6a) ou posterior.
  - A activa��o da defini��o Membro de dom�nio: Encriptar ou assinar digitalmente dados de canais protegidos (sempre) activa automaticamente a defini��o Membro de dom�nio: Encriptar ou assinar digitalmente dados de canais protegidos (quando poss�vel).
2. Configura��o de risco
  
  A activa��o da defini��o Membro de dom�nio: Encriptar ou assinar digitalmente dados de canais protegidos (sempre) em dom�nios onde nem todos os controladores de dom�nio est�o aptos a assinar ou encriptar dados de canais protegidos constitui uma defini��o de configura��o prejudicial.
3. Raz�es para activar esta defini��o
  
  O tr�fego de rede n�o assinado � suscept�vel a ataques de intermedi�rio (man-in-the-middle), mediante os quais um intruso captura pacotes entre o servidor e o cliente e modifica os pacotes antes de os encaminhar para o cliente. Quando este comportamento ocorre num servidor LDAP (Lightweight Directory Access Protocol), o intruso poder� fazer com que um cliente tome decis�es baseadas em registos falsos do direct�rio LDAP. Pode reduzir o risco de ocorr�ncia de um ataque deste tipo numa rede empresarial atrav�s da implementa��o de fortes medidas de seguran�a f�sica para ajudar a proteger a infra-estrutura de rede. Por outro lado, a implementa��o do modo de cabe�alho de autentica��o de seguran�a do Protocolo Internet (IPSec) pode dificultar bastante todas as formas de ataque de intermedi�rio. Este modo realiza autentica��o m�tua e integridade do pacote para o tr�fego IP.
4. Raz�es para desactivar esta defini��o
  - Os computadores em dom�nios locais ou externos suportam canais de encripta��o seguros.
  - Nem todos os controladores no dom�nio possuem os n�veis de revis�o do service pack adequados para suportarem canais de encripta��o seguros.
5. Nome simb�lico:
  
  StrongKey
6. Caminho do registo:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireSignOrSeal (REG_DWORD)
7. Exemplos de problemas de compatibilidade
  - Windows NT 4.0: Os computadores membros baseados em Windows 2000 n�o conseguir�o associar-se a dom�nios do Windows NT 4.0 e receber�o a seguinte mensagem de erro:
    A conta n�o est� autorizada a iniciar sess�o a partir desta esta��o.
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    281648� (http://support.microsoft.com/kb/281648/ ) Mensagem de erro: A conta n�o est� autorizada a iniciar sess�o a partir desta esta��o
  - Windows NT 4.0: Os dom�nios do Windows NT 4.0 n�o conseguir�o estabelecer um n�vel inferior de fidedignidade num dom�nio do Windows 2000 e receber�o a seguinte mensagem de erro:
    A conta n�o est� autorizada a iniciar sess�o a partir desta esta��o.
    Os n�veis inferiores de fidedignidade existentes poder�o tamb�m n�o autenticar utilizadores a partir do dom�nio fidedigno. Alguns utilizadores poder�o deparar-se com dificuldades em iniciar sess�o no dom�nio e poder�o receber uma mensagem de erro que indica que o cliente n�o consegue encontrar o dom�nio.
  - Windows XP: Os clientes do Windows XP associados a dom�nios do Windows NT 4.0 n�o estar�o aptos a autenticar tentativas de in�cio de sess�o e poder�o receber a seguinte mensagem de erro ou os seguintes eventos poder�o ser registados no registo de eventos:
    O Windows n�o consegue estabelecer liga��o ao dom�nio porque o controlador de dom�nio est� de algum modo indispon�vel ou porque a conta do computador n�o foi encontrada
    Evento 5723: A configura��o de sess�o do computador Nome_Computador falhou a autentica��o. O nome da conta referido na base de dados de seguran�a � Nome_Computador. Ocorreu o seguinte erro: O acesso � negado.
    Evento 3227: A configura��o de sess�o do controlador de dom�nio Nome do Servidor do Windows NT ou do Windows 2000 do dom�nio Nome do Dom�nio falhou porque Nome do Servidor n�o suporta a assinatura ou selagem da sess�o de Netlogon. Actualize o controlador de dom�nio ou defina a entrada de registo RequireSignOrSeal neste computador para 0.
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    318266� (http://support.microsoft.com/kb/318266/ ) Um cliente Windows XP n�o consegue iniciar sess�o num dom�nio do Windows NT 4.0
  - Rede Microsoft: Os clientes da Rede Microsoft receber�o uma das seguintes mensagens de erro:
    Erro de in�cio de sess�o: nome de utilizador desconhecido ou palavra-passe incorrecta
    N�o existe nenhuma chave de sess�o do utilizador para a sess�o de in�cio de sess�o especificada.
Cliente de rede da Microsoft: Assinar digitalmente comunica��es (sempre)
1. Informa��es adicionais
  
  O bloco de mensagens de servidor (SMB) � o protocolo de partilha de recursos suportado por muitos sistemas operativos Microsoft; constitui a base do sistema b�sico de entrada/sa�da de rede (NetBIOS) e de muitos outros protocolos. A assinatura SMB autentica quer o utilizador, quer o servidor que aloja os dados. Se qualquer um dos lados falhar o processo de autentica��o, os dados n�o ser�o transmitidos.
  
  Ao activar a assinatura SMB esta � iniciada durante a negocia��o do protocolo SMB. As pol�ticas de assinatura SMB determinam se o computador assina sempre digitalmente comunica��es de clientes.
  
  O protocolo de autentica��o SMB do Windows 2000 suporta autentica��o m�tua. A autentica��o m�tua termina uma sess�o de ataque "man-in-the-middle". O protocolo de autentica��o SMB do Windows 2000 tamb�m suporta autentica��o de mensagens. A autentica��o de mensagens ajuda a impedir ataques de mensagens activas. Para obter esta autentica��o, a assinatura SMB coloca uma assinatura digital em cada SMB. O cliente e o servidor verificam a assinatura digital.
  
  Para utilizar a assinatura SMB, tem de activar a assinatura SMB ou requerer a assinatura SMB no cliente SMB e no servidor SMB. Se a assinatura SMB estiver activada num servidor, os clientes que tamb�m t�m a assinatura SMB activada utilizar�o o protocolo de assinatura de pacotes durante todas as sess�es subsequentes. Se a assinatura SMB for necess�ria num servidor, um cliente n�o conseguir� estabelecer uma sess�o a menos que tenha a assinatura SMB activada ou que a mesma seja solicitada.
  
  A activa��o da assinatura digital em redes de alta seguran�a contribui para impedir a representa��o de clientes e de servidores. Este tipo de representa��o � conhecido como controlo n�o autorizado de sess�es. Um atacante que tenha acesso � mesma rede do cliente ou do servidor utiliza ferramentas de controlo n�o autorizado de sess�es para interromper, terminar ou roubar uma sess�o em progresso. Um atacante pode interceptar e modificar pacotes SMB n�o assinados, modificar o tr�fego e encaminh�-los de forma a que o servidor execute ac��es indesejadas. Em alternativa, o atacante pode fazer-se passar pelo servidor ou pelo cliente ap�s uma autentica��o leg�tima e obter acesso n�o autorizado aos dados.
  
  O protocolo SMB utilizado para a partilha de ficheiros e de impressoras em computadores com o Windows 2000 Server, Windows 2000 Professional, Windows XP Professional ou Windows Server 2003 suporta autentica��o m�tua. A autentica��o m�tua termina os ataques de controlo n�o autorizado de sess�es e suporta autentica��o de mensagens. Consequentemente, impede ataques de intermedi�rios (man-in-the-middle). A assinatura SMB proporciona esta autentica��o atrav�s da atribui��o de uma assinatura digital a cada SMB. A assinatura � depois verificada tanto pelo cliente como pelo servidor.
  
  Notas
  - Uma contramedida alternativa que pode ajudar a proteger todo o tr�fego de rede reside na activa��o de assinaturas digitais com o IPSec. Existem aceleradores baseados em hardware para encripta��o e assinatura IPSec que podem ser utilizados para minimizar o impacto da CPU do servidor no desempenho. N�o existem aceleradores deste tipo dispon�veis para a assinatura SMB.
    
    Para mais informa��es, consulte o cap�tulo "Assinar digitalmente comunica��es do servidor" no seguinte Web site da MSDN (Microsoft Developer Network):
    http://msdn.microsoft.com/pt-pt/library/ms814149.aspx (http://msdn.microsoft.com/pt-pt/library/ms814149.aspx)
    Configure a assinatura SMB atrav�s do Editor de objecto de pol�tica de grupo, porque uma altera��o num valor de registo local n�o produz qualquer efeito se houver uma pol�tica de dom�nio prevalecente.
  - No Windows 95, Windows 98 e Windows 98 Second Edition, o cliente de servi�os de direct�rio utiliza a assinatura SMB quando autentica com servidores Windows Server 2003 utilizando a autentica��o NTLM. No entanto, estes clientes n�o utilizam a assinatura SMB quando autenticam com estes servidores utilizando a autentica��o NTLMv2. Por outro lado, os servidores com o Windows 2000 n�o respondem a pedidos de assinatura SMB destes clientes. Consulte o item 10: "Seguran�a de rede: N�vel de autentica��o LAN Manager".
2. Configura��o de risco
  
  A seguinte defini��o de configura��o � prejudicial: Manter ambas as defini��es Cliente de rede da Microsoft: Assinar digitalmente comunica��es (sempre) e Cliente de rede da Microsoft: Assinar digitalmente comunica��es (se o servidor concordar) configuradas para "N�o definido" ou desactivadas. Estas defini��es permitem que o redireccionador envie palavras-passe em texto simples para servidores SMB que n�o sejam da Microsoft e que n�o suportam a encripta��o de palavras-passe durante a autentica��o.
3. Raz�es para activar esta defini��o
  
  A activa��o de Cliente de rede da Microsoft: Assinar digitalmente comunica��es (sempre) exige que os clientes assinem o tr�fego SMB quando contactam servidores que n�o exigem assinatura SMB, reduzindo a vulnerabilidade dos clientes a ataques de controlo n�o autorizado de sess�es.
4. Raz�es para desactivar esta defini��o
  - A activa��o de Cliente de rede da Microsoft: Assinar digitalmente comunica��es (sempre) impede os clientes de comunicarem com servidores de destino que n�o suportam a assinatura SMB
  - Configurar os computadores de forma a ignorarem todas as comunica��es SMB n�o assinadas impede a liga��o de programas e sistemas operativos de vers�es anteriores.
5. Nome simb�lico:
  
  RequireSMBSignRdr
6. Caminho do registo:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature
7. Exemplos de problemas de compatibilidade
  - Windows NT 4.0: N�o ser� poss�vel repor o canal seguro de uma fidedignidade entre um dom�nio Windows Server 2003 e um dom�nio Windows NT 4.0 atrav�s da utiliza��o do NLTEST ou do NETDOM e receber� uma mensagem de erro de "Acesso negado".
  - Windows XP: Copiar ficheiros de clientes Windows XP para servidores baseados em Windows 2000 e Windows Server 2003 poder� demorar mais tempo.
  - N�o ser� poss�vel mapear uma unidade de rede de um cliente com esta defini��o activada e receber� a seguinte mensagem de erro:
    A conta n�o est� autorizada a iniciar sess�o a partir desta esta��o.
8. Necessidades de rein�cio
  
  Reinicie o computador ou reinicie o servi�o Esta��o de trabalho. Para o fazer, escreva os seguintes comandos numa linha de comandos. Prima ENTER depois de escrever cada comando.
  net stop workstation
  net start workstation
Servidor de rede da Microsoft: Assinar digitalmente comunica��es (sempre)
1. Informa��es adicionais
  - O bloco de mensagens de servidor (SMB, Server Messenger Block) � o protocolo de partilha de recursos suportado por muitos sistemas operativos Microsoft; constitui a base do sistema b�sico de entrada/sa�da de rede (NetBIOS) e de muitos outros protocolos. A assinatura SMB autentica quer o utilizador, quer o servidor que aloja os dados. Se qualquer um dos lados falhar o processo de autentica��o, os dados n�o ser�o transmitidos.
    
    Ao activar a assinatura SMB esta � iniciada durante a negocia��o do protocolo SMB. As pol�ticas de assinatura SMB determinam se o computador assina sempre digitalmente comunica��es de clientes.
    
    O protocolo de autentica��o SMB do Windows 2000 suporta autentica��o m�tua. A autentica��o m�tua termina uma sess�o de ataque "man-in-the-middle". O protocolo de autentica��o SMB do Windows 2000 tamb�m suporta autentica��o de mensagens. A autentica��o de mensagens ajuda a impedir ataques de mensagens activas. Para obter esta autentica��o, a assinatura SMB coloca uma assinatura digital em cada SMB. O cliente e o servidor verificam a assinatura digital.
    
    Para utilizar a assinatura SMB, tem de activar a assinatura SMB ou requerer a assinatura SMB no cliente SMB e no servidor SMB. Se a assinatura SMB estiver activada num servidor, os clientes que tamb�m t�m a assinatura SMB activada utilizar�o o protocolo de assinatura de pacotes durante todas as sess�es subsequentes. Se a assinatura SMB for necess�ria num servidor, um cliente n�o conseguir� estabelecer uma sess�o a menos que tenha a assinatura SMB activada ou que a mesma seja solicitada.
    
    A activa��o da assinatura digital em redes de alta seguran�a contribui para impedir a representa��o de clientes e de servidores. Este tipo de representa��o � conhecido como controlo n�o autorizado de sess�es. Um atacante que tenha acesso � mesma rede do cliente ou do servidor utiliza ferramentas de controlo n�o autorizado de sess�es para interromper, terminar ou roubar uma sess�o em progresso. Um atacante pode interceptar e modificar pacotes de SBM (Subnet Bandwidth Manager) n�o assinados, modificar o tr�fego e encaminh�-los de forma a que o servidor execute ac��es indesejadas. Em alternativa, o atacante pode fazer-se passar pelo servidor ou pelo cliente ap�s uma autentica��o leg�tima e obter acesso n�o autorizado aos dados.
    
    O protocolo SMB utilizado para a partilha de ficheiros e de impressoras em computadores com o Windows 2000 Server, Windows 2000 Professional, Windows XP Professional ou Windows Server 2003 suporta autentica��o m�tua. A autentica��o m�tua termina os ataques de controlo n�o autorizado de sess�es e suporta autentica��o de mensagens. Consequentemente, impede ataques de intermedi�rios (man-in-the-middle). A assinatura SMB proporciona esta autentica��o atrav�s da atribui��o de uma assinatura digital a cada SMB. A assinatura � depois verificada tanto pelo cliente como pelo servidor.
  - Uma contramedida alternativa que pode ajudar a proteger todo o tr�fego de rede reside na activa��o de assinaturas digitais com o IPSec. Existem aceleradores baseados em hardware para encripta��o e assinatura IPSec que podem ser utilizados para minimizar o impacto da CPU do servidor no desempenho. N�o existem aceleradores deste tipo dispon�veis para a assinatura SMB.
  - No Windows 95, Windows 98 e Windows 98 Second Edition, o cliente de servi�os de direct�rio utiliza a assinatura SMB quando autentica com servidores Windows Server 2003 utilizando a autentica��o NTLM. No entanto, estes clientes n�o utilizam a assinatura SMB quando autenticam com estes servidores utilizando a autentica��o NTLMv2. Por outro lado, os servidores com o Windows 2000 n�o respondem a pedidos de assinatura SMB destes clientes. Consulte o item 10: "Seguran�a de rede: N�vel de autentica��o LAN Manager".
2. Configura��o de risco
  
  A seguinte defini��o de configura��o � prejudicial: Activar a defini��o Servidor de rede da Microsoft: Assinar digitalmente comunica��es (sempre) em servidores e controladores de dom�nio que s�o acedidos por computadores cliente incompat�veis baseados em Windows e baseados em sistemas operativos de outros fornecedores em dom�nios locais ou externos.
3. Raz�es para activar esta defini��o
  - Todos os computadores cliente que activam esta defini��o directamente atrav�s do registo ou atrav�s da defini��o de Pol�tica de grupo suportam assinatura SMB. Por outras palavras, todos os computadores cliente com esta defini��o activada funcionam em Windows 95 com o cliente DS instalado, Windows 98, Windows NT 4.0, Windows 2000, Windows XP Professional ou Windows Server 2003.
  - Se a defini��o Servidor de rede da Microsoft: Assinar digitalmente comunica��es (sempre) estiver desactivada, a assinatura SMB fica completamente desactivada. A desactiva��o completa de todas as assinaturas SMB aumenta a vulnerabilidade dos computadores a ataques de controlo n�o autorizado de sess�es.
4. Raz�es para desactivar esta defini��o
  - A activa��o desta fun��o pode tornar mais lento o desempenho da rede e a c�pia de ficheiros em computadores cliente.
  - A activa��o desta fun��o impedir� que clientes sem possibilidade de negociar a assinatura SMB comuniquem com servidores e controladores de dom�nio. O resultado � a falha de opera��es como ades�es a dom�nios, autentica��o do utilizador e do computador ou o acesso de programas � rede.
5. Nome simb�lico:
  
  RequireSMBSignServer
6. Caminho do registo:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature (REG_DWORD)
7. Exemplos de problemas de compatibilidade
  - Windows 95: A autentica��o do in�cio de sess�o dos clientes Windows 95 que n�o t�m instalado o cliente de servi�os de direct�rio (DS) falhar� e ser� apresentada a seguinte mensagem de erro:
    A palavra-passe de dom�nio que forneceu n�o est� correcta ou o acesso ao servidor de in�cio de sess�o foi negado.
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    811497� (http://support.microsoft.com/kb/811497/ ) Mensagem de erro quando um cliente Windows 95 ou Windows NT 4.0 inicia sess�o num dom�nio Windows Server 2003
  - Windows NT 4.0: A autentica��o do in�cio de sess�o em computadores cliente com vers�es do Windows NT 4.0 anteriores ao Service Pack 3 (SP3) falhar� e ser� apresentada a seguinte mensagem de erro:
    O sistema n�o conseguiu iniciar a sua sess�o. Certifique-se de que o seu nome de utilizador e dom�nio est�o correctos e escreva novamente a sua palavra-passe.
    Alguns servidores SMB n�o Microsoft suportam apenas trocas de palavra-passe n�o encriptadas durante a autentica��o. (Estas trocas s�o tamb�m conhecidas como trocas de "texto simples".) A come�ar pelo Windows NT 4.0 SP3, o redireccionador SMB n�o envia uma palavra-passe n�o encriptada durante a autentica��o para um servidor SMB a menos que o utilizador adicione uma entrada de registo espec�fica.
    Para permitir o envio de palavras-passe n�o encriptadas ao cliente SMB em sistemas Windows NT 4.0 SP 3 e mais recentes, modifique o registo da seguinte forma: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters
    Nome do Valor: EnablePlainTextPassword
    Tipo de dados: REG_DWORD
    Dados: 1
    
    Para obter mais informa��es sobre t�picos relacionados, clique nos n�meros de artigo que se seguem para visualizar os artigos na Base de Dados de Conhecimento da Microsoft:
    224287� (http://support.microsoft.com/kb/224287/ ) Mensagem de erro: Ocorreu o erro de sistema 1240. A conta n�o est� autorizada a iniciar sess�o a partir desta esta��o.
    166730� (http://support.microsoft.com/kb/166730/ ) Palavras-passe n�o encriptadas podem provocar a falha da liga��o do Service Pack 3 a servidores SMB
  - Windows Server 2003: Por predefini��o, s�o configuradas as defini��es de seguran�a nos controladores de dom�nio a executar o Windows Server 2003 para evitar que as comunica��es entre controladores de dom�nio possam ser interceptadas ou manipuladas por utilizadores mal intencionados. Para que os utilizadores comuniquem com sucesso com um controlador de dom�nio a executar o Windows Server 2003, os computadores cliente devem utilizar a assinatura e encripta��o SMB ou a assinatura de tr�fego por canal seguro. Por predefini��o, os clientes que executam o Windows NT 4.0 com Service Pack 2 (SP2) ou vers�o anterior instalada e os clientes que executam o Windows 95 n�o t�m a assinatura de pacotes SMB activada. Por conseguinte, estes clientes poder�o n�o conseguir efectuar a autentica��o num controlador de dom�nio baseado em Windows Server 2003.
  - Defini��es de pol�tica Windows 2000 e Windows Server 2003: Dependendo das suas necessidades espec�ficas de instala��o e configura��o, recomendamos que configure as seguintes defini��es de pol�tica para a entidade mais baixa de alcance necess�rio na hierarquia snap-in do Editor de pol�tica de grupo da Consola de Gest�o da Microsoft:
    - Configura��o do computador\Defini��es de seguran�a do Windows\Op��es de seguran�a
    - Enviar palavra-passe n�o encriptada para ligar a servidores SMB de terceiros (Esta defini��o � para o Windows 2000.)
    - Cliente de rede da Microsoft: Enviar palavra-passe n�o encriptada para servidores SMB de terceiros (Esta defini��o � para o Windows 2003.)
    Nota: em alguns servidores CIFS de terceiros, como vers�es mais antigas do Samba, n�o � poss�vel utilizar palavras-passe encriptadas.
  - Os seguintes clientes s�o incompat�veis com a defini��o Servidor de rede da Microsoft: Assinar digitalmente comunica��es (sempre):
    - Clientes Apple Computer, Inc., Mac OS X
    - Clientes de rede Microsoft MS-DOS (por exemplo, Microsoft LAN Manager)
    - Clientes Microsoft Windows for Workgroups
    - Clientes Microsoft Windows 95 sem Cliente DS instalado
    - Computadores baseados em Microsoft Windows NT 4.0 sem SP3 ou posterior instalado
    - Clientes Novell Netware 6 CIFS
    - Clientes SAMBA SMB sem suporte para assinatura SMB
8. Necessidades de rein�cio
  
  Reinicie o computador ou reinicie o servi�o de Servidor. Para o fazer, escreva os seguintes comandos numa linha de comandos. Prima ENTER depois de escrever cada comando.
  net stop server
  net start server
Acesso � rede: Permitir convers�o de SID/Nome an�nimo
1. Informa��es adicionais
  
  A defini��o de seguran�a Acesso � rede: Permitir convers�o de SID/Nome an�nimo determina se um utilizador an�nimo pode solicitar atributos de n�mero de identifica��o de seguran�a (SID) para outro utilizador.
2. Configura��o de risco
  
  A activa��o da defini��o Acesso � rede: Permitir convers�o de SID/Nome an�nimo � uma defini��o de configura��o prejudicial.
3. Raz�es para activar esta defini��o
  
  Se a defini��o Acesso � rede: Permitir convers�o de SID/Nome an�nimo estiver desactivada, sistemas operativos ou aplica��es anteriores poder�o n�o conseguir comunicar com dom�nios do Windows Server 2003. Por exemplo, os seguintes sistemas operativos, servi�os ou aplica��es poder�o n�o funcionar:
  - Servidores de Servi�o de Acesso Remoto baseados em Windows NT 4.0
  - Microsoft SQL Server executado em computadores baseados em Windows NT 3.x ou em Windows NT 4.0
  - Servi�o de Acesso Remoto executado em computadores baseados em Windows 2000 localizados em dom�nios do Windows NT 3.x ou do Windows NT 4.0
  - SQL Server executado em computadores baseados em Windows 2000 localizados em dom�nios do Windows NT 3.x ou do Windows NT 4.0
  - Utilizadores no dom�nio de recursos do Windows NT 4.0 que pretendem atribuir permiss�es de acesso a ficheiros, pastas partilhadas e objectos do registo a contas de utilizador a partir de dom�nios de conta que cont�m controladores de dom�nio do Windows Server 2003
4. Raz�es para desactivar esta defini��o
  
  Se esta defini��o estiver activada, um utilizador mal intencionado poder� utilizar o conhecido SID dos Administradores para obter o nome real da conta de Administrador integrada, mesmo que o nome da conta tenha sido mudado. Esta pessoa poder� ent�o utilizar o nome de conta para iniciar um ataque de detec��o de palavras-passe.
5. Nome simb�lico: N/D
6. Caminho especificado no registo: Nenhum. O caminho est� especificado no c�digo da IU.
7. Exemplos de problemas de compatibilidade
  
  Windows NT 4.0: Os computadores em dom�nios de recursos do Windows NT 4.0 apresentar�o a mensagem de erro "Conta desconhecida" no Editor de ACL se os recursos, incluindo pastas e ficheiros partilhados e objectos do registo, estiverem protegidos por principais de seguran�a que residem em dom�nios de conta contendo controladores de dom�nio do Windows Server 2003.
Acesso � rede: N�o permitir enumera��o an�nima de contas SAM
1. Informa��es adicionais
  - A defini��o Acesso � rede: N�o permitir enumera��o an�nima de contas SAM determina que permiss�es adicionais ser�o atribu�das para liga��es an�nimas ao computador. O Windows permite que utilizadores an�nimos realizem determinadas actividades, como enumerar os nomes de contas de esta��es de trabalho e de servidores do gestor de contas de seguran�a (SAM) e de partilhas de rede. Por exemplo, um administrador pode utilizar esta defini��o para conceder acesso a utilizadores num dom�nio fidedigno que n�o mant�m uma rela��o de fidedignidade rec�proca. Assim que for estabelecida uma sess�o, um utilizador an�nimo pode ter o mesmo acesso que � concedido ao grupo Todos, com base na defini��o Acesso � rede: Permitir que as permiss�es de Todos sejam aplicadas a utilizadores an�nimos ou na lista de controlo de acesso discricion�rio (DACL) do objecto.
    
    Geralmente, as liga��es an�nimas s�o solicitadas por clientes de vers�es anteriores (clientes de n�vel inferior) durante a configura��o da sess�o de SMB. Neste tipo de casos, um rastreio de rede mostra que a ID de processo (PID) do SMB � o redireccionador de clientes, como o 0xFEFF no Windows 2000 ou o 0xCAFE no Windows NT. As RPC poder�o tamb�m tentar efectuar liga��es an�nimas.
  - Importante: esta defini��o n�o tem qualquer impacto nos controladores de dom�nio. Nos controladores de dom�nio, este comportamento � controlado pela presen�a de "NT AUTHORITY\ANONYMOUS LOGON" em "Acesso compat�vel com vers�es anteriores ao Windows 2000".
  - No Windows 2000, uma defini��o semelhante, Restri��es adicionais para liga��es an�nimas, gere o valor de registo
    RestrictAnonymous
    . A localiza��o deste valor �:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
    Para obter mais informa��es sobre o valor do registo RestrictAnonymous, clique nos n�meros de artigo que se seguem para visualizar os artigos na Base de Dados de Conhecimento da Microsoft:
    246261� (http://support.microsoft.com/kb/246261/ ) Como utilizar o valor do registo RestrictAnonymous no Windows 2000
    143474� (http://support.microsoft.com/kb/143474/ ) Restringir informa��es dispon�veis a utilizadores com in�cio de sess�o an�nimo
2. Configura��es de risco:
  
  A activa��o da defini��o Acesso � rede: N�o permitir enumera��o an�nima de contas SAM constitui uma defini��o de configura��o prejudicial na perspectiva da compatibilidade; a sua desactiva��o constitui uma defini��o de configura��o prejudicial na perspectiva da seguran�a.
3. Raz�es para activar esta defini��o
  
  Um utilizador n�o autorizado poder� produzir anonimamente uma lista de nomes de conta e depois utilizar a informa��o para tentar detectar palavras-passe ou executar ataques de engenharia social. Engenharia social significa, na g�ria, enganar as pessoas levando-as a revelar as suas palavras-passe ou algum tipo de informa��o de seguran�a.
4. Raz�es para desactivar esta defini��o
  
  Se esta defini��o estiver activada, ser� imposs�vel estabelecer rela��es fidedignas com dom�nios do Windows NT 4.0. Esta defini��o causar� tamb�m problemas no que se refere a clientes de n�vel inferior, como clientes do Windows NT 3.51 e do Windows 95 que tentam utilizar recursos no servidor.
5. Nome simb�lico: RestrictAnonymousSAM
6. Caminho do registo:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM (Reg_DWORD)
7. Exemplos de problemas de compatibilidade
- A Detec��o de Rede de SMS n�o conseguir� obter informa��es do sistema operativo e escrever� "Desconhecido" na propriedade OperatingSystemNameandVersion.
- Windows 95, Windows 98: Os clientes do Windows 95 e Windows 98 n�o conseguir�o alterar as suas palavras-passe.
- Windows NT 4.0: Os computadores membros baseados em Windows NT 4.0 n�o poder�o ser autenticados.
- Windows 95, Windows 98: Os computadores baseados em Windows 95 e Windows 98 n�o poder�o ser autenticados por controladores de dom�nio da Microsoft.
- Windows 95, Windows 98: Os utilizadores de computadores baseados em Windows 95 e Windows 98 n�o conseguir�o alterar as palavras-passe das suas contas de utilizador.
Acesso � rede: N�o permitir enumera��o an�nima de contas e partilhas SAM
1. Informa��es adicionais
  - A defini��o Acesso � rede: N�o permitir enumera��o an�nima de contas e partilhas SAM (tamb�m conhecida como RestrictAnonymous) determina se a enumera��o an�nima de contas e partilhas do Gestor de Contas de Seguran�a (SAM, Security Accounts Manager) � permitida. O Windows permite que utilizadores an�nimos realizem determinadas actividades, como enumerar os nomes de contas de dom�nio (utilizadores, computadores e grupos) e de partilhas de rede. Trata-se de uma op��o conveniente quando um administrador pretende, por exemplo, atribuir acesso a utilizadores num dom�nio fidedigno que n�o mant�m uma rela��o de fidedignidade rec�proca. Se n�o pretende permitir a enumera��o an�nima de contas e partilhas SAM, active esta defini��o.
  - No Windows 2000, uma defini��o semelhante, Restri��es adicionais para liga��es an�nimas, gere o valor de registo
    RestrictAnonymous
    . A localiza��o deste valor �:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
2. Configura��o de risco
  
  A activa��o da defini��o Acesso � rede: N�o permitir enumera��o an�nima de contas e partilhas SAM constitui uma defini��o de configura��o prejudicial.
3. Raz�es para activar esta defini��o
  - A activa��o da defini��o Acesso � rede: N�o permitir enumera��o an�nima de contas e partilhas SAM impede a enumera��o de contas e partilhas SAM por parte de utilizadores e computadores que utilizam contas an�nimas.
4. Raz�es para desactivar esta defini��o
  - Se esta defini��o estiver activada, um utilizador n�o autorizado poder� produzir anonimamente uma lista de nomes de conta e depois utilizar a informa��o para tentar detectar palavras-passe ou executar ataques de engenharia social. Engenharia social significa, na g�ria, enganar as pessoas levando-as a revelar as suas palavras-passe ou algum tipo de informa��o de seguran�a.
  - Se esta defini��o estiver activada, ser� imposs�vel estabelecer rela��es fidedignas com dom�nios do Windows NT 4.0. Esta defini��o causar� tamb�m problemas no que se refere a clientes de n�vel inferior, como clientes do Windows NT 3.51 e do Windows 95 que tentam utilizar recursos no servidor.
  - Ser� imposs�vel atribuir acesso a utilizadores de dom�nios de recursos, porque os administradores no dom�nio fidedigno n�o conseguir�o enumerar listas de contas no outro dom�nio. Os utilizadores que acedem anonimamente a servidores de ficheiros e impressoras n�o conseguir�o produzir uma lista dos recursos de rede partilhados naqueles servidores; os utilizadores t�m de efectuar a autentica��o antes de poderem ver as listas de pastas e impressoras partilhadas.
5. Nome simb�lico:
  
  RestrictAnonymous
6. Caminho do registo:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous
7. Exemplos de problemas de compatibilidade
  - Windows NT 4.0: Os utilizadores n�o conseguir�o alterar as suas palavras-passe a partir de esta��es de trabalho do Windows NT 4.0 quando a defini��o RestrictAnonymous estiver activada em controladores de dom�nio no dom�nio dos utilizadores. Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    198941� (http://support.microsoft.com/kb/198941/ ) Os utilizadores n�o conseguem alterar a palavra-passe quando iniciam sess�o
  - Windows NT 4.0: A opera��o de adicionar utilizadores ou grupos globais de dom�nios fidedignos do Windows 2000 a grupos locais do Windows NT 4.0 no Gestor de utilizadores falhar� com a seguinte mensagem de erro:
    N�o existem actualmente servidores de in�cio de sess�o dispon�veis para assistirem o pedido de in�cio de sess�o.
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    296405� (http://support.microsoft.com/kb/296405/ ) O valor de registo 'RestrictAnonymous' pode anular as rela��es fidedignas com um dom�nio Windows 2000
  - Windows NT 4.0: Os computadores baseados em Windows NT 4.0 n�o conseguir�o associar-se a dom�nios durante a configura��o ou atrav�s da utiliza��o da interface de utilizador de ades�o ao dom�nio.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    184538� (http://support.microsoft.com/kb/184538/ ) Mensagem de erro: n�o foi poss�vel encontrar um controlador para este dom�nio
  - Windows NT 4.0: Windows NT 4.0: O estabelecimento de uma rela��o de fidedignidade de n�vel inferior com dom�nios de recursos do Windows NT 4.0 falha com a seguinte mensagem de erro quando a defini��o RestrictAnonymous est� activada no dom�nio fidedigno:
    N�o foi poss�vel encontrar um controlador de dom�nio para este dom�nio.
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    178640� (http://support.microsoft.com/kb/178640/ ) N�o foi poss�vel encontrar um controlador de dom�nio aquando do estabelecimento de uma rela��o de fidedignidade
  - Windows NT 4.0: Os utilizadores que iniciam sess�o em computadores baseados em Windows NT 4.0 Terminal Server efectuar�o o mapeamento para o direct�rio raiz predefinido em vez de o fazer para o direct�rio raiz que est� definido no Gestor de utilizador para dom�nios.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    236185� (http://support.microsoft.com/kb/236185/ ) Os caminhos de pasta raiz e perfis de utilizador do Terminal Server s�o ignorados ap�s a aplica��o do SP4 ou vers�o posterior
  - Windows NT 4.0: Os controladores de dom�nio de reserva (BDC, Backup Domain Controllers) do Windows NT 4.0 n�o conseguir�o iniciar o servi�o In�cio de sess�o de rede, para obter uma lista de browsers secund�rios ou sincronizar a base de dados SAM a partir de controladores de dom�nio Windows 2000 ou Windows Server 2003 no mesmo dom�nio.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    293127� (http://support.microsoft.com/kb/293127/ ) O servi�o In�cio de sess�o de rede de um BDC do Windows NT 4.0 n�o funciona num dom�nio do Windows 2000
  - Windows 2000: Os computadores membros baseados em Windows 2000 em dom�nios do Windows NT 4.0 n�o conseguir�o ver impressoras em dom�nios externos se a defini��o Impedir o acesso sem permiss�es an�nimas expl�citas estiver activada na pol�tica de seguran�a local do computador cliente.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    280329� (http://support.microsoft.com/kb/280329/ ) O utilizador n�o consegue gerir ou ver propriedades da impressora
  - Windows 2000: Os utilizadores de dom�nio do Windows 2000 n�o conseguir�o adicionar impressoras de rede a partir do Active Directory; contudo, conseguir�o adicionar impressoras depois de as terem seleccionado na vista de �rvore.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    318866� (http://support.microsoft.com/kb/318866/ ) Os clientes do Outlook n�o conseguem ver a lista de endere�os global ap�s a instala��o do Security Rollup Package 1 (SRP1) no servidor de cat�logo global
  - Windows 2000: Em computadores baseados em Windows 2000, o Editor ACL n�o conseguir� adicionar utilizadores ou grupos globais a partir de dom�nios fidedignos do Windows NT 4.0.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    296403� (http://support.microsoft.com/kb/296403/ ) O valor RestrictAnonymous anula as rela��es de fidedignidade num ambiente de dom�nio misto
  - ADMT vers�o 2: A migra��o de palavras-passe para contas de utilizador migradas entre florestas com a vers�o 2 da ferramenta de migra��o do Active Directory (ADMT, Active Directory Migration Tool) falhar�.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    322981� (http://support.microsoft.com/kb/322981/ ) Como resolver problemas de migra��o de palavras-passe entre florestas com a ADMTv2
  - Clientes do Outlook: A lista de endere�os global aparecer� vazia aos clientes do Microsoft Exchange Outlook.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    318866� (http://support.microsoft.com/kb/318866/ ) Os clientes do Outlook n�o conseguem ver a lista de endere�os global ap�s a instala��o do Security Rollup Package 1 (SR) no servidor de cat�logo global
    321169� (http://support.microsoft.com/kb/321169/ ) Desempenho lento do SMB quando copia ficheiros do Windows XP para um controlador de dom�nio do Windows 2000
  - SMS: A detec��o de rede do Microsoft Systems Management Server (SMS) n�o conseguir� obter informa��es do sistema operativo. Consequentemente, escrever� "Desconhecido" na propriedade OperatingSystemNameandVersion da propriedade SMS DDR do registo de dados descobertos (DDR, Discovery Data Record).
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    229769� (http://support.microsoft.com/kb/229769/ ) Como o Gestor de Dados Descobertos determina quando gerar um pedido de configura��o de cliente
  - SMS: Quando utiliza o Assistente de Utilizador do Administrador do SMS para procurar utilizadores e grupos, a lista n�o apresenta nenhum utilizador ou grupo. Por outro lado, os clientes avan�ados n�o conseguem comunicar com o Ponto de gest�o. � necess�rio acesso an�nimo ao Ponto de gest�o.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    302413� (http://support.microsoft.com/kb/302413/ ) A lista do Assistente de Utilizador do Administrador n�o apresenta nenhum utilizador ou grupo
  - SMS: Quando utiliza a funcionalidade de Detec��o de rede no SMS 2.0 e na Instala��o remota de clientes com a op��o de detec��o de rede Topologia, cliente e sistemas operativos do cliente activada, os computadores podem ser detectados, mas n�o instalados.
    
    Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
    311257� (http://support.microsoft.com/kb/311257/ ) Os recursos n�o s�o detectados se as liga��es an�nimas estiverem desactivadas

Seguran�a de rede: N�vel de autentica��o LAN Manager

Informa��es adicionais

A autentica��o LAN Manager (LM) � o protocolo utilizado para autenticar clientes do Windows para opera��es de rede, incluindo ades�es de dom�nios, acesso a recursos de rede e autentica��o do utilizador ou do computador. O n�vel de autentica��o LM determina que protocolo de autentica��o de desafio/resposta � negociado entre os computadores cliente e servidor. Mais especificamente, o n�vel de autentica��o LM determina quais os protocolos de autentica��o que o cliente tentar� negociar ou que o servidor aceitar�. O valor definido para LmCompatibilityLevel determina que protocolo de autentica��o de desafio/resposta � utilizado para in�cios de sess�o na rede. Este valor afecta o n�vel de protocolo de autentica��o que os clientes utilizam, o n�vel de seguran�a de sess�o negociado e o n�vel de autentica��o aceite pelos servidores, de acordo com a seguinte tabela.

As defini��es poss�veis incluem as seguintes:

Reduzir esta tabelaExpandir esta tabela

Valor	Defini��o	Descri��o
0	Enviar respostas de LM e NTLM	Os clientes utilizam autentica��o LM e NTLM e nunca utilizam seguran�a de sess�o NTLMv2; os controladores de dom�nio aceitam autentica��o LM, NTLM e NTLMv2.
1	Enviar LM e NTLM - usar seguran�a de sess�o NTLMv2 se negociada	Os clientes utilizam autentica��o LM e NTLM e utilizam seguran�a de sess�o NTLMv2 caso seja suportada pelo servidor; os controladores de dom�nio aceitam autentica��o LM, NTLM e NTLMv2.
2	Enviar apenas resposta NTLM	Os clientes utilizam apenas autentica��o NTLM e utilizam seguran�a de sess�o NTLMv2 caso seja suportada pelo servidor; os controladores de dom�nio aceitam autentica��o LM, NTLM e NTLMv2.
3	Enviar apenas resposta NTLMv2	Os clientes utilizam apenas autentica��o NTLMv2 e utilizam seguran�a de sess�o NTLMv2 caso seja suportada pelo servidor; os controladores de dom�nio aceitam autentica��o LM, NTLM e NTLMv2.
4	Enviar apenas resposta NTLMv2/recusar LM	Os clientes utilizam apenas autentica��o NTLMv2 e utilizam seguran�a de sess�o NTLMv2 caso seja suportada pelo servidor. Os controladores de dom�nio recusam LM e aceitam apenas autentica��o NTLM e NTLMv2.
5	Enviar apenas resposta NTLMv2/recusar LM e NTLM	Os clientes utilizam apenas autentica��o NTLMv2 e utilizam seguran�a de sess�o NTLMv2 caso seja suportada pelo servidor; os controladores de dom�nio recusam LM e NTLM (aceitam apenas autentica��o NTLMv2).

Nota: no Windows 95, Windows 98 e Windows 98 Second Edition, o cliente de servi�os de direct�rio utiliza a assinatura SMB quando autentica com servidores Windows Server 2003 utilizando a autentica��o NTLM. No entanto, estes clientes n�o utilizam a assinatura SMB quando autenticam com estes servidores utilizando a autentica��o NTLMv2. Por outro lado, os servidores com o Windows 2000 n�o respondem a pedidos de assinatura SMB efectuados por estes clientes.

Verifique o n�vel de autentica��o LM Deve alterar a pol�tica no servidor para permitir NTLM ou configurar o computador cliente para que passe a suportar NTLMv2.

Se a pol�tica estiver definida como (5) Enviar apenas resposta NTLMv2\Recusar LM e NTLM no computador de destino ao qual pretende ligar, tem de diminuir a defini��o nesse computador ou configurar a seguran�a com a mesma defini��o do computador de origem a partir do qual est� a estabelecer a liga��o.

Descubra a localiza��o correcta onde poder� alterar o n�vel de autentica��o LAN Manager para definir o cliente e o servidor para o mesmo n�vel. Quando souber qual a pol�tica que est� a definir o n�vel de autentica��o LAN Manager, se pretender estabelecer liga��o entre computadores com vers�es anteriores do Windows, diminua o valor para, no m�nimo, (1) Enviar LM e NTLM - usar seguran�a de sess�o NTLM vers�o 2 se negociada. Um efeito de defini��es incompat�veis � que se o servidor necessitar de NTLMv2 (valor 5), mas o cliente estiver configurado para utilizar apenas LM e NTLMv1 (valor 0), o utilizador que tentar a autentica��o receber� um erro de in�cio de sess�o de palavra-passe incorrecta e que incrementa a contagem de palavras-passe incorrectas. Se o bloqueio de conta estiver configurado, o utilizador poder� eventualmente ser bloqueado.

Por exemplo, poder� ter de procurar no controlador de dom�nio ou poder� ter de procurar nas pol�ticas do controlador de dom�nio.

Procurar no controlador de dom�nio
Nota: poder� ter de repetir o seguinte procedimento em todos os controladores de dom�nio.

Clique em Iniciar, aponte para Programas e clique em Ferramentas administrativas.
Em Defini��es da seguran�a local, expanda Pol�ticas locais.
Clique em Op��es de seguran�a.
Fa�a duplo clique em Seguran�a de rede: n�vel de autentica��o LAN Manager e clique num valor apropriado da lista.

Se a Defini��o efectiva e a Defini��o local forem iguais, a pol�tica ter� sido alterada a este n�vel. Se as defini��es forem diferentes, deve verificar a pol�tica do controlador de dom�nio para detectar se a defini��o Seguran�a de rede: n�vel de autentica��o LAN manager est� configurada. Se n�o estiver configurada, verifique as pol�ticas do controlador de dom�nio.

Verifique as pol�ticas do controlador de dom�nio

Clique em Iniciar, aponte para Programas e clique em Ferramentas administrativas.
Na pol�tica Seguran�a do controlador de dom�nio, expanda Defini��es de seguran�a e depois expanda Pol�ticas locais.
Clique em Op��es de seguran�a.
Fa�a duplo clique em Seguran�a de rede: n�vel de autentica��o LAN Manager e clique num valor apropriado da lista.

Nota:

poder� tamb�m ter de verificar pol�ticas que se encontram associadas ao n�vel do Web site, ao n�vel do dom�nio ou ao n�vel da unidade organizacional (UO) para determinar se deve configurar o n�vel de autentica��o LAN Manager.
Se implementar uma defini��o de Pol�tica de grupo como pol�tica de dom�nio predefinida, a pol�tica ser� aplicada a todos os computadores do dom�nio.
Se implementar uma defini��o de Pol�tica de grupo como pol�tica predefinida do controlador de dom�nio, a pol�tica aplicar-se-� apenas aos servidores da UO do controlador de dom�nio.
� conveniente definir o n�vel de autentica��o LAN Manager para a entidade mais baixa de alcance necess�rio na hierarquia de aplica��o de pol�ticas.

Actualize a pol�tica depois de efectuar quaisquer altera��es. (Se a altera��o for efectuada ao n�vel das defini��es de seguran�a local, entrar� imediatamente em vigor. No entanto, deve reiniciar os clientes antes de efectuar os testes.)

Por predefini��o, as defini��es de Pol�tica de grupo s�o actualizadas nos controladores de dom�nio de cinco em cinco minutos. Para for�ar de imediato a actualiza��o das defini��es de pol�tica no Windows 2000 ou vers�es posteriores, utilize o comando gpupdate.

O comando gpupdate /force actualiza as defini��es locais de Pol�tica de grupo e as defini��es de Politica de grupo baseadas no servi�o de direct�rio Active Directory, incluindo defini��es de seguran�a. Este comando substitui a agora obsoleta op��o /refreshpolicy do comando secedit.

O comando gpupdate utiliza a seguinte sintaxe:
gpupdate [/target:{computador|utilizador}] [/force] [/wait:valor] [/logoff] [/boot]

Aplique o novo objecto de Pol�tica de Grupo (GPO, Group Policy object) utilizando o comando gpupdate para reaplicar manualmente todas as defini��es de pol�tica. Para o fazer, escreva o seguinte na linha de comandos e prima ENTER:

GPUpdate /Force

Verifique o registo de eventos de aplica��es para se certificar de que a defini��o de pol�tica foi aplicada com sucesso.

No Windows XP e Windows Server 2003, pode utilizar o snap-in Conjunto de Pol�ticas Resultante (RSoP, Resultant Set of Policy) para ver a defini��o efectiva. Para tal, clique em Iniciar, clique em Executar, escreva rsop.msc e clique em OK.

Se o problema persistir depois de ter alterado a pol�tica, reinicie o servidor baseado em Windows e verifique se o problema foi resolvido.

Nota: se tiver m�ltiplos controladores de dom�nio baseados em Windows 2000, controladores de dom�nio baseados em Windows Server 2003 ou em ambos, poder� ter de replicar o Active Directory para se certificar de que estes controladores de dom�nio possuem imediatamente as altera��es actualizadas.

Em alternativa, a defini��o poder� parecer ter sido configurada para a defini��o mais baixa da pol�tica de seguran�a local. Se puder impor a defini��o atrav�s de uma base de dados de seguran�a, poder�, como alternativa, definir o n�vel de autentica��o LAN Manager no registo editando a entrada LmCompatibilityLevel na seguinte subchave de registo:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa

O Windows Server 2003 tem uma nova predefini��o para usar apenas NTLMv2. Por predefini��o, os controladores de dom�nio baseados em Windows Server 2003 e Windows 2000 Server SP3 t�m activada a pol�tica "Servidor de rede da Microsoft: Assinar digitalmente comunica��es (sempre)". Esta defini��o exige que o servidor de SMB efectue a assinatura de pacotes SMB. Foram efectuadas altera��es no Windows Server 2003 porque os controladores de dom�nio, servidores de ficheiros, servidores de infra-estrutura de rede e servidores Web em qualquer organiza��o exigem diferentes defini��es para maximizar a sua seguran�a.

Se pretende implementar a autentica��o NTLMv2 na sua rede, deve certificar-se de que todos os computadores no dom�nio est�o configurados para utilizar este n�vel de autentica��o. Se aplicar as extens�es de cliente do Active Directory para o Windows 95 ou Windows 98 e Windows NT 4.0, as extens�es de cliente utilizar�o as funcionalidades de autentica��o optimizadas que est�o dispon�veis no NTLMv2. Devido ao facto de os computadores cliente com qualquer um dos seguintes sistemas operativos n�o serem afectados pelos objectos de Pol�tica de Grupo do Windows 2000, poder� ter de configurar manualmente estes clientes:

Microsoft Windows NT 4.0
Microsoft Windows Millennium Edition
Microsoft Windows 98
Microsoft Windows 95

Nota: Se activar a pol�tica Seguran�a de rede: N�o armazenar o valor hash do LAN Manager na altera��o seguinte da palavra-passe ou definir a chave de registo NoLMHash, os clientes baseados em Windows 95 e Windows 98 sem o cliente de servi�os de direct�rio instalado n�o conseguir�o iniciar sess�o no dom�nio depois de uma altera��o da palavra-passe.

Muitos servidores CIFS de terceiros, como o Novell Netware 6, n�o t�m conhecimento do NTLMv2 e utilizam apenas o NTLM. Consequentemente, n�veis superiores a 2 n�o permitem conectividade.

Para obter informa��es adicionais sobre como configurar manualmente o n�vel de autentica��o LAN Manager, clique nos n�meros de artigo que se seguem para visualizar os artigos na Base de Dados de Conhecimento da Microsoft:

147706� (http://support.microsoft.com/kb/147706/ ) Como desactivar a autentica��o LM no Windows NT

175641� (http://support.microsoft.com/kb/175641/ ) LMCompatibilityLevel e seus efeitos

299656� (http://support.microsoft.com/kb/299656/ ) Como impedir o Windows de armazenar um valor hash do LAN Manager da sua palavra-passe no Active Directory e em bases de dados locais do SAM

312630� (http://support.microsoft.com/kb/312630/ ) O Outlook continua a solicitar-lhe credenciais de in�cio de sess�o

Para mais informa��es sobre n�veis de autentica��o LM, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:

239869� (http://support.microsoft.com/kb/239869/ ) Como activar a autentica��o NTLM 2

Configura��es de risco

Seguem-se defini��es de configura��o prejudiciais:
- Defini��es n�o restritivas que enviam palavras-passe em texto simples e que recusam negocia��o NTLMv2
- Defini��es restritivas que impedem que clientes ou controladores de dom�nio incompat�veis negoceiem um protocolo de autentica��o comum
- Exigir autentica��o NTLMv2 em computadores membros e controladores de dom�nio com vers�es do Windows NT 4.0 anteriores ao Service Pack 4 (SP4)
- Exigir autentica��o NTLMv2 em clientes Windows 95 ou Windows 98 sem o cliente de servi�os de direct�rio do Windows instalado.
- Se clicar para seleccionar a caixa de verifica��o Exigir seguran�a de sess�o NTLMv2 no snap-in do Editor de pol�tica de grupo da Consola de Gest�o da Microsoft num computador baseado em Windows Server 2003 ou Windows 2000 Service Pack 3 e reduzir o n�vel de autentica��o LAN Manager para 0, as duas defini��es entrar�o em conflito e poder� receber a seguinte mensagem de erro no ficheiro Secpol.msc ou no ficheiro GPEdit.msc:
  O Windows n�o consegue abrir a base de dados da pol�tica local. Ocorreu um erro desconhecido ao tentar abrir a base de dados.
  Para mais informa��es sobre a ferramenta de An�lise e configura��o da seguran�a, consulte os ficheiros de Ajuda do Windows 2000 ou do Windows Server 2003.
  
  Para mais informa��es sobre como analisar os n�veis de seguran�a no Windows 2000 e Windows Server 2003, clique nos n�meros de artigo que se seguem para visualizar os artigos na Base de Dados de Conhecimento da Microsoft:
  313203� (http://support.microsoft.com/kb/313203/ ) COMO: Analisar a seguran�a do sistema no Windows 2000
  816580� (http://support.microsoft.com/kb/816580/ ) Como analisar a seguran�a do sistema no Windows Server 2003
Raz�es para modificar esta defini��o
- Pretende aumentar o protocolo de autentica��o comum mais baixo que � suportado por clientes e controladores de dom�nio na sua organiza��o.
- Em circunst�ncias em que a autentica��o segura � um requisito empresarial, pretende retirar a autoriza��o de negocia��o dos protocolos LM e NTLM.
Raz�es para desactivar esta defini��o

Os requisitos de autentica��o de cliente ou de servidor, ou ambos, foram aumentados a ponto de n�o ser poss�vel a autentica��o com base num protocolo comum.
Nome simb�lico:

LmCompatibilityLevel
Caminho do registo:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
Exemplos de problemas de compatibilidade
- Windows Server 2003: Por predefini��o, a defini��o das respostas Windows Server 2003 NTLMv2 Send NTLM est� activada. Consequentemente, o Windows Server 2003 recebe a mensagem de erro "Acesso negado" ap�s a instala��o inicial quando o utilizador tenta estabelecer liga��o com um cluster baseado em Windows NT 4.0 ou servidores baseados em LanManager V2.1, como o OS/2 Lanserver. Este problema ocorre tamb�m se tentar estabelecer liga��o com um servidor baseado em Windows Server 2003 a partir de um cliente de vers�o anterior.
- Instalou o Windows 2000 Security Rollup Package 1 (SRP1). O SRP1 for�a o NTLM vers�o 2 (NTLMv2). Este pacote de agrega��o foi disponibilizado depois do lan�amento do Windows 2000 Service Pack 2 (SP2). Para mais informa��es sobre o SRP1, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
  
  311401 � (http://support.microsoft.com/kb/311401/ ) Windows 2000 Security Rollup Package 1 (SRP1), Janeiro de 2002
- Os clientes do Microsoft Outlook podem ser solicitados a apresentar credenciais apesar de j� terem sess�o iniciada no dom�nio. Quando os utilizadores submetem as suas credenciais, recebem a seguinte mensagem de erro:
  As credenciais de in�cio de sess�o fornecidas estavam incorrectas. Certifique-se de que o nome de utilizador e o dom�nio est�o correctos e, em seguida, insira novamente a palavra-passe.
  Quando inicia o Outlook, poder� ser solicitado a submeter as suas credenciais mesmo que a sua defini��o de Seguran�a de rede de in�cio de sess�o esteja definida para Passagem ou para Autentica��o por palavra-passe. Depois de introduzir as suas credenciais correctas, poder� receber a seguinte mensagem de erro:
  As credenciais de in�cio de sess�o fornecidas estavam incorrectas.
  Um rastreio do Monitor de rede pode indicar que o cat�logo global emitiu um erro de chamada de procedimento remoto (RPC, Remote Procedure Call) com o estado de 0x5. Um estado de 0x5 significa "Acesso negado".
- Windows 2000: Uma captura do Monitor de rede pode mostrar os seguintes erros na sess�o do bloco de mensagens de servidor (SMB) do NetBIOS sobre TCP/IP (NetBT):
  SMB R Search Directory Dos error, (5) ACCESS_DENIED (109) STATUS_LOGON_FAILURE (91) Invalid user identifier
- Windows 2000: Se um dom�nio do Windows 2000 com NTLMv2 de N�vel 2 ou posterior for considerado fidedigno por um dom�nio do Windows NT 4.0, os computadores membros baseados no Windows 2000 no dom�nio de recursos poder�o deparar-se com erros de autentica��o.
  
  Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
  305379� (http://support.microsoft.com/kb/305379/ ) Problemas de autentica��o no Windows 2000 com n�veis de NTLM 2 superiores a 2 num dom�nio do Windows NT 4.0
- Windows 2000 e Windows XP: Por predefini��o, o Windows 2000 e o Windows XP definem a op��o Pol�tica de Seguran�a Local do N�vel de Autentica��o LAN Manager para 0. Uma defini��o de 0 significa "Enviar respostas de LM e NTLM".
  
  Nota: os clusters baseados em Windows NT 4.0 devem utilizar LM para administra��o.
- Windows 2000: O clustering do Windows 2000 n�o autentica um n� a unir se ambos os n�s pertencerem a um dom�nio do Windows NT 4.0 Service Pack 6a (SP6a).
  
  Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
  305379� (http://support.microsoft.com/kb/305379/ ) Problemas de autentica��o no Windows 2000 com n�veis de NTLM 2 superiores a 2 num dom�nio do Windows NT 4.0
- A ferramenta de bloqueio do IIS (HiSecWeb) define o valor de LMCompatibilityLevel para 5 e o valor de RestrictAnonymous para 2.
- Servi�os para Macintosh
  
  M�dulo de Autentica��o de Utilizador (UAM): O M�dulo de Autentica��o de Utilizador (UAM) da Microsoft fornece um m�todo para encriptar as palavras-passe utilizadas para iniciar sess�o nos servidores Windows AFP (AppleTalk Filing Protocol). O M�dulo de Autentica��o de Utilizador (UAM) da Apple fornece apenas encripta��o m�nima ou nenhuma. Consequentemente, a sua palavra-passe poderia ser facilmente interceptada na LAN ou na Internet. Embora o UAM n�o seja necess�rio, na realidade fornece autentica��o encriptada a servidores Windows 2000 que executam servi�os para Macintosh. Esta vers�o inclui suporte para autentica��o encriptada NTLMv2 de 128 bits e uma edi��o compat�vel com MacOS X 10.1.
  
  Por predefini��o, os Servi�os do Windows Server 2003 para Macintosh permitem apenas Autentica��o da Microsoft.
  
  Para obter mais informa��es, clique nos n�meros de artigo que se seguem para visualizar os artigos na Base de Dados de Conhecimento da Microsoft:
  834498� (http://support.microsoft.com/kb/834498/ ) O cliente Macintosh n�o consegue estabelecer liga��o com os Servi�os para Mac no Windows Server 2003
  838331� (http://support.microsoft.com/kb/838331/ ) Os utilizadores de Mac OS X n�o conseguem abrir pastas partilhadas Macintosh num servidor baseado em Windows Server 2003
- Windows Server 2008, Windows Server 2003, Windows XP e Windows 2000: Se configurar o valor de LMCompatibilityLevel para 0 ou 1 e depois configurar o valor de NoLMHash para 1, as aplica��es e componentes poder�o ver recusado o seu acesso atrav�s do NTLM. Este problema ocorre porque o computador est� configurado para activar LM mas n�o para utilizar palavras-passe armazenadas no LM.
  
  Se configurar o valor de NoLMHash para 1, deve configurar o valor de LMCompatibilityLevel para 2 ou superior.

Seguran�a de rede: Requisitos de assinatura de cliente LDAP
1. Informa��es adicionais
  
  A defini��o Seguran�a de rede: Requisitos de assinatura de cliente LDAP determina o n�vel de assinatura de dados que � solicitado em nome de clientes que emitem pedidos de liga��o atrav�s do protocolo simples de acesso a direct�rios (LDAP, Lightweight Directory Access Protocol), como segue:
  - Nenhum: O pedido de liga��o LDAP � emitido com as op��es especificadas pelo autor da chamada.
  - Negociar assinatura: Se os protocolos SSL/TLS (Secure Sockets Layer/Transport Layer Security) n�o tiverem sido iniciados, o pedido de liga��o LDAP � iniciado com a op��o de assinatura de dados LDAP definida, para al�m das op��es especificadas pelo autor da chamada. Se o SSL/TLS foi iniciado, o pedido de liga��o LDAP � iniciado com as op��es especificadas pelo autor da chamada.
  - Exigir assinatura: � o mesmo que Negociar assinatura. Contudo, se a resposta interm�dia saslBindInProgress do servidor LDAP n�o indicar que a assinatura de tr�fego LDAP � exigida, � comunicado ao autor da chamada que o pedido do comando LDAP Bind falhou.
2. Configura��o de risco
  
  A activa��o da defini��o Seguran�a de rede: Requisitos de assinatura de cliente LDAP constitui uma defini��o de configura��o prejudicial. Se definir o servidor para exigir assinaturas LDAP, deve tamb�m configurar a assinatura LDAP no cliente. A n�o configura��o do cliente para utilizar assinaturas LDAP impedir� a comunica��o com o servidor; desta forma, a autentica��o do utilizador, as defini��es de Pol�tica de Grupo, os scripts de in�cio de sess�o e outras funcionalidades falhar�o.
3. Raz�es para modificar esta defini��o
  
  O tr�fego de rede n�o assinado � suscept�vel a ataques de intermedi�rio (man-in-the-middle), mediante os quais um intruso captura pacotes entre o cliente e os servidores, modifica-os e depois encaminha-os para o servidor. Quando tal se verifica num servidor LDAP, um atacante poder� fazer com que um servidor responda com base em consultas falsas do cliente LDAP. Pode reduzir este risco numa rede empresarial atrav�s da implementa��o de fortes medidas de seguran�a f�sica para ajudar a proteger a infra-estrutura de rede. Por outro lado, todas as formas de ataque de intermedi�rio (man-in-the-middle) podem deparar-se com grandes dificuldades se forem exigidas assinaturas digitais em todos os pacotes de rede mediante cabe�alhos de autentica��o IPSec.
4. Nome simb�lico:
  
  LDAPClientIntegrity
5. Caminho do registo:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LDAP\LDAPClientIntegrity
Registo de eventos: Tamanho m�ximo do registo de seguran�a
1. Informa��es adicionais
  
  A defini��o de seguran�a Registo de eventos: Tamanho m�ximo do registo de seguran�a especifica o tamanho m�ximo de um registo de eventos da seguran�a. Este registo tem um tamanho m�ximo de 4 GB. Para localizar esta defini��o, expanda Defini��es do Windows e depois expanda Defini��es de seguran�a.
2. Configura��es de risco
  
  Seguem-se defini��es de configura��o prejudiciais:
  - Restringir o tamanho do registo de seguran�a e o m�todo de reten��o do registo de seguran�a quando a defini��o Auditoria: Encerrar o sistema imediatamente se n�o for poss�vel registar auditorias de seguran�a est� activada. Consulte a sec��o "Auditoria: Encerrar o sistema imediatamente se n�o for poss�vel registar auditorias de seguran�a" neste artigo para obter mais informa��es.
  - Restringir o tamanho do registo de seguran�a para que sejam substitu�dos eventos de seguran�a de interesse.
3. Raz�es para aumentar esta defini��o
  
  Os requisitos empresariais e de seguran�a podem ditar o aumento do tamanho do registo de seguran�a como forma de lidar com detalhes do registo de seguran�a adicionais ou de reter registos de seguran�a durante mais tempo.
4. Raz�es para reduzir esta defini��o
  
  Os registos do Visualizador de eventos s�o ficheiros mapeados para a mem�ria. O tamanho m�ximo de um registo de eventos � limitado pelo volume de mem�ria f�sica no computador local e pela mem�ria virtual que est� dispon�vel para o processo do registo de eventos. Aumentar o tamanho do registo para al�m do volume de mem�ria virtual que est� dispon�vel para o Visualizador de eventos n�o aumenta o n�mero de entradas do registo que s�o mantidas.
5. Exemplos de problemas de compatibilidade
  
  Windows 2000: Os computadores com vers�es do Windows 2000 anteriores ao Service Pack 4 (SP4) podem parar de registar eventos no registo de eventos antes de atingir o tamanho que � especificado na defini��o Tamanho m�ximo do registo no Visualizador de eventos se a op��o N�o substituir eventos (limpar registo manualmente) estiver activada.
  
  Para mais informa��es, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
  312571� (http://support.microsoft.com/kb/312571/ ) O registo de eventos deixa de registar eventos antes de alcan�ar o tamanho m�ximo do registo
Registo de eventos: Reter registo de seguran�a
1. Informa��es adicionais
  
  A defini��o de seguran�a Registo de eventos: Reter registo de seguran�a determina o m�todo de "moldagem" para o registo de seguran�a. Para localizar esta defini��o, expanda Defini��es do Windows e depois expanda Defini��es de seguran�a.
2. Configura��es de risco
  
  Seguem-se defini��es de configura��o prejudiciais:
  - N�o reter todos os eventos de seguran�a registados antes que sejam substitu�dos
  - Configurar a defini��o Tamanho m�ximo do registo de seguran�a para um n�vel demasiado baixo, permitindo a substitui��o de eventos de seguran�a
  - Restringir o tamanho do registo de seguran�a e o m�todo de reten��o enquanto a defini��o de seguran�a Auditoria: Encerrar o sistema imediatamente se n�o for poss�vel registar auditorias de seguran�a est� activada.
3. Raz�es para activar esta defini��o
  
  Active esta defini��o apenas se seleccionar o m�todo de reten��o Substituir eventos por dias. Se utilizar um sistema de correla��o de eventos que efectua consultas por eventos, certifique-se de que o n�mero de dias �, pelo menos, tr�s vezes superior � frequ�ncia das consultas. Desta forma compensar� ciclos de consulta falhados.
Acesso � rede: Permitir que as permiss�es Todos sejam aplicadas a utilizadores an�nimos
1. Informa��es adicionais
  
  Por predefini��o, a defini��o Acesso � rede: Permitir que as permiss�es Todos sejam aplicadas a utilizadores an�nimos est� configurada para N�o definido no Windows Server 2003. Por predefini��o, o Windows Server 2003 n�o inclui o token de Acesso an�nimo no grupo Todos.
2. Exemplo de problemas de compatibilidade
  
  O seguinte valor de
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
  [REG_DWORD]=0x0 quebra a cria��o de fidedignidade entre o Windows Server 2003 e o Windows NT 4.0, quando o dom�nio do Windows Server 2003 � o dom�nio de contas e o dom�nio do Windows NT 4.0 � o dom�nio de recursos. Isto significa que o dom�nio de contas � considerado fidedigno no Windows NT 4.0 e que o dom�nio de recursos considera fidedigno no lado do Windows Server 2003. Este comportamento ocorre porque o processo de in�cio da rela��o de fidedignidade ap�s a liga��o an�nima inicial � inserido na ACL com o token Todos que inclui o SID an�nimo no Windows NT 4.0.
3. Raz�es para modificar esta defini��o
  
  O valor deve ser definido para 0x1 ou definido atrav�s da utiliza��o de um GPO na UO do controlador de dom�nio para que seja activada a defini��o: Acesso � rede: Permitir que as permiss�es Todos sejam aplicadas a utilizadores an�nimos, tornando poss�veis as cria��es de fidedignidade.
  
  Nota: a maioria das outras defini��es de seguran�a aumentam em valor em vez de baixarem para 0x0 no seu estado mais seguro. Uma pr�tica mais segura seria a de alterar o registo no emulador do controlador de dom�nio principal e n�o em todos os controladores de dom�nio. Se a fun��o do emulador do controlador de dom�nio principal for removida por qualquer raz�o, o registo deve ser actualizado no novo servidor.
  
  � necess�rio reiniciar ap�s a defini��o deste valor.
4. Caminho do registo
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
Autentica��o NTLMv2

Seguran�a de sess�o

A seguran�a de sess�o determina as normas m�nimas de seguran�a para sess�es de cliente e de servidor. � conveniente verificar as seguintes defini��es de pol�tica de seguran�a no snap-in Editor de Pol�tica de Grupo da Consola de Gest�o da Microsoft:
- Defini��es do computador\Defini��es do Windows\Defini��es de seguran�a\Pol�ticas Locais\Op��es de Seguran�a
- Seguran�a de rede: seguran�a de sess�o m�nima para servidores baseados em NTLM SSP (incluindo servidores RPC protegidos)
- Seguran�a de rede: seguran�a de sess�o m�nima para clientes baseados em NTLM SSP (incluindo clientes RPC protegidos)
As op��es para estas defini��es s�o:
- Exigir integridade das mensagens
- Exigir confidencialidade das mensagens
- Exigir seguran�a de sess�o NTLM vers�o 2
- Exigir encripta��o de 128 bits
A predefini��o � Sem requisitos.

Estas pol�ticas determinam os padr�es de seguran�a m�nimos para uma sess�o de comunica��o de aplica��o para aplica��o num servidor para um cliente.

Historicamente, o Windows NT tem suportado as duas seguintes variantes de autentica��o desafio/resposta para in�cios de sess�o na rede:
- desafio/resposta LM
- desafio/resposta NTLM vers�o 1
O LM permite a interoperabilidade com a base instalada de clientes e servidores. O NTLM fornece seguran�a melhorada para liga��es entre clientes e servidores.

As chaves de registo correspondentes s�o as seguintes:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinServerSec"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinClientSec"

Voltar ao topo

Sincroniza��o de hora

A sincroniza��o de hora falhou. A hora tem uma diferen�a superior a 30 minutos num computador afectado. Certifique-se de que o rel�gio do computador cliente est� sincronizado com o rel�gio do controlador de dom�nio.

Voltar ao topo

Medida para contornar a assinatura SMB

Recomendamos que instale o Service Pack 6a (SP6a) em clientes do Windows NT 4.0 que interoperam num dom�nio baseado no Windows Server 2003. Clientes baseados no Windows 98 Second Edition, Windows 98 e Windows 95 devem executar o cliente de servi�os de direct�rio para realizar NTLMv2. Se clientes baseados no Windows NT 4.0 n�o tiverem instalado o Windows NT 4.0 SP6 ou se clientes baseados em Windows 95, Windows 98 e Windows 98SE n�o tiverem instalado o cliente de servi�os de direct�rio, desactive a assinatura SMB na pol�tica predefinida do controlador de dom�nio na UO do controlador de dom�nio e depois associe esta pol�tica a todas as UO que alojam controladores de dom�nio.

O cliente de servi�os de direct�rio para o Windows 98 Second Edition, Windows 98 e Windows 95 realizar� a assinatura SMB com servidores Windows 2003 sob autentica��o NTLM, mas n�o sob autentica��o NTLMv2. Por outro lado, os servidores com o Windows 2000 n�o responder�o a pedidos de assinatura SMB efectuados por estes clientes.

Embora a Microsoft n�o o recomende, pode impedir que a assinatura SMB seja solicitada em todos os controladores de dom�nio que executam o Windows Server 2003 num dom�nio. Para configurar esta defini��o de seguran�a, siga estes passos:

Abra a pol�tica predefinida do controlador de dom�nio.
Abra a pasta Configura��o de computador\Defini��es do Windows\Defini��es de seguran�a\Pol�ticas locais\Op��es de seguran�a.
Localize e clique na defini��o de pol�tica Servidor de rede da Microsoft: Assinar digitalmente comunica��es (sempre) e, em seguida, clique em Desactivada.

Importante: esta sec��o, m�todo ou tarefa cont�m passos que explicam como modificar o registo. No entanto, poder�o ocorrer problemas graves se modificar o registo de forma incorrecta. Assim, certifique-se de que segue estes passos cuidadosamente. Para uma maior seguran�a, efectue uma c�pia de seguran�a do registo antes de o modificar. Deste modo, pode restaurar o registo se ocorrer um problema. Para mais informa��es sobre como efectuar uma c�pia de seguran�a e restaurar o registo, clique no n�mero de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:

322756� (http://support.microsoft.com/kb/322756/ ) Como efectuar c�pias de seguran�a e restaurar o registo no Windows

Em alternativa, desactive a assinatura SMB no servidor modificando o registo. Para o fazer, siga estes passos:

Clique em Iniciar, clique em Executar, escreva regedit e clique em OK.
Localize e, em seguida, clique na seguinte subchave:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Lanmanserver\Parameters
Clique na entrada enablesecuritysignature.
No menu Editar, clique em Modificar.
Na caixa Dados do valor, escreva 0 e clique em OK.
Saia do Editor de Registo.
Reinicie o computador, ou pare, e depois reinicie o servi�o de Servidor. Para o fazer, escreva os seguintes comandos numa linha de comandos e prima ENTER depois de escrever cada comando:
net stop server
net start server

Nota: a chave correspondente no computador cliente encontra-se na seguinte subchave do registo:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Lanmanworkstation\Parameters

Segue-se uma lista com os n�meros de c�digo de erro convertidos em c�digos de estado e em texto de mensagens de erro integral mencionados anteriormente:

erro 5
ERROR_ACCESS_DENIED
O acesso � negado.

erro 1326
ERROR_LOGON_FAILURE
Erro de in�cio de sess�o: nome de utilizador desconhecido ou palavra-passe incorrecta.

erro 1788
ERROR_TRUSTED_DOMAIN_FAILURE
A rela��o de fidedignidade entre o dom�nio prim�rio e o dom�nio fidedigno falhou.

erro 1789
ERROR_TRUSTED_RELATIONSHIP_FAILURE
A rela��o de fidedignidade entre esta esta��o de trabalho e o dom�nio prim�rio falhou.

Para obter mais informa��es, clique nos n�meros de artigo que se seguem para visualizar os artigos na Base de Dados de Conhecimento da Microsoft:

324802� (http://support.microsoft.com/kb/324802/ ) Como configurar Pol�ticas de grupo para definir a seguran�a para servi�os de sistema no Windows Server 2003

306771� (http://support.microsoft.com/kb/306771/ ) Mensagem de erro de "Acesso negado" depois de configurar um cluster do Windows Server 2003

101747� (http://support.microsoft.com/kb/101747/ ) Como instalar autentica��o Microsoft num Macintosh

161372� (http://support.microsoft.com/kb/161372/ ) Como activar assinaturas SMB no Windows NT

236414� (http://support.microsoft.com/kb/236414/ ) N�o � poss�vel utilizar partilhas com o LMCompatibilityLevel definido para autentica��o NTLM 2 apenas

241338� (http://support.microsoft.com/kb/241338/ ) O cliente do Windows NT LAN Manager vers�o 3 com primeiro in�cio de sess�o impede actividades de in�cio de sess�o subsequentes

262890� (http://support.microsoft.com/kb/262890/ ) N�o � poss�vel obter a liga��o � unidade do direct�rio raiz num ambiente misto

308580� (http://support.microsoft.com/kb/308580/ ) Os mapeamentos da pasta raiz para servidores de n�vel inferior podem n�o funcionar durante o in�cio de sess�o

285901� (http://support.microsoft.com/kb/285901/ ) Os clientes de acesso remoto, VPN e RIS n�o conseguem estabelecer sess�es com um servidor configurado para aceitar apenas autentica��o NTLM vers�o 2

816585� (http://support.microsoft.com/kb/816585/ ) Como aplicar modelos de seguran�a predefinidos no Windows Server 2003

820281� (http://support.microsoft.com/kb/820281/ ) Tem de fornecer as credenciais da conta do Windows quando liga ao Exchange Server 2003 atrav�s de HTTP com o Outlook

Voltar ao topo