ID do artigo: 823659 - �ltima revis�o: ter�a-feira, 1 de maio de 2012 - Revis�o: 23.0

Cliente, servi�o e incompatibilidades do programa que podem ocorrer quando voc� modificar as configura��es de seguran�a e atribui��es de direitos do usu�rio

Clique aqui para exibir o artigo traduzido e o artigo original em ingl�s, lado a lado.

Exibir Aviso de Isen��o de Tradu��o Autom�tica

Exibir os produtos aos quais esse artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Se voc� for um cliente do Small Business, encontrar a solu��o de problemas e recursos de aprendizagem adicionais do Suporte para pequenas empresas (http://smallbusiness.support.microsoft.com) site.

Este artigo descreve incompatibilidades que podem ocorrer em computadores cliente que est�o executando o Microsoft Windows 95, Microsoft Windows 98 Microsoft Windows NT 4.0, Microsoft Windows 2000, Microsoft Windows XP Professional ou Microsoft Windows Server 2003 quando voc� modificar espec�fico atribui��es nos dom�nios de Windows NT 4.0, de direitos de usu�rio e configura��es de seguran�a em Dom�nios do Windows 2000 e em dom�nios do Windows Server 2003.

Configurando essas configura��es e atribui��es em diretivas locais e em diretivas de grupo, voc� pode ajudar refor�ar a seguran�a em controladores de dom�nio e em computadores membro. O desvantagem maior seguran�a � a introdu��o de incompatibilidades com clientes, com servi�os e programas.

Para aumentar a conscientiza��o do configura��es de seguran�a mal configuradas, use a ferramenta Editor de objeto de diretiva de grupo para modifica configura��es de seguran�a. Quando voc� usar o Editor de objeto de diretiva de grupo, direitos de usu�rio as atribui��es s�o aprimoradas nos seguintes sistemas operacionais:

Microsoft Windows XP Professional Service Pack 2 (SP2)
Microsoft Windows Server 2003 Service Pack 1 (SP1)

O aprimoramento inclui uma caixa de di�logo que cont�m um link nesse artigo que pops up sempre que voc� alterar uma configura��o de seguran�a ou um usu�rio direitos de atribui��o para uma configura��o que ofere�a menor compatibilidade e mais restritiva. Se voc� modificar diretamente os mesmos direitos de usu�rio ou a configura��o de seguran�a atribui��o usando o registro ou usando modelos de seguran�a, o efeito � igual de modificar a configura��o no Editor de objeto de diretiva de grupo; No entanto, o caixa de di�logo que cont�m o link para este artigo n�o aparece.

Este artigo cont�m exemplos de clientes, de programas e opera��es que s�o afetadas por configura��es de seguran�a espec�ficas ou atribui��es de direitos de usu�rio. No entanto, os exemplos n�o s�o autoritativos para todos Sistemas operacionais da Microsoft, para todos os sistemas operacionais de terceiros, ou para todos vers�es do programa s�o afetadas. Nem todas as configura��es de seguran�a e direitos do usu�rio as atribui��es est�o inclu�das neste artigo.

A Microsoft recomenda que Valide a compatibilidade de todas as altera��es de configura��o relacionadas � seguran�a em uma floresta de teste antes de introduzi-las em um ambiente de produ��o. O teste floresta deve espelhar a floresta de produ��o das seguintes maneiras:

Vers�es de sistema operacional cliente e servidor, cliente e programas de servidor, vers�es de service pack, hotfixes, altera��es de esquema, seguran�a grupos, associa��es de grupo, permiss�es em objetos do sistema de arquivos compartilhados pastas, o registro, o servi�o de diret�rio do Active Directory, local e de grupo Configura��es de diretiva e tipo de contagem de objeto e local
Tarefas administrativas s�o realizadas, administrativas ferramentas usadas e sistemas operacionais que s�o usados para realizar tarefas administrativas
Opera��es s�o realizadas, incluindo o computador e usu�rio autentica��o de logon; redefini��es de senha por usu�rios, computadores e por administradores; navega��o; Definindo permiss�es para o sistema de arquivos para compartilhado pastas, para o registro e para recursos do Active Directory por meio de ACL Editor em todos os sistemas operacionais do cliente em todos os dom�nios de conta ou recurso de todos os sistemas operacionais de clientes de todos os dom�nios de conta ou de recurso; impress�o de contas administrativas e n�o administrativas

Voltar para o in�cio

Windows Server 2003 SP1

Avisos em gpedit. msc

Para ajudar a tornar os clientes cientes de que eles est�o editando um direito de usu�rio ou op��o de seguran�a que poderia provocar efeitos adversos afeta em sua rede, dois mecanismos de aviso foram adicionados a gpedit. msc. Quando os administradores editarem um direito de usu�rio pode afetar negativamente toda a empresa, eles visualizar�o um um �cone que se parece com um sinal de rendimento. Eles tamb�m receber�o uma mensagem de aviso que tem um link para o artigo 823659 da Base de dados de Conhecimento da Microsoft. O texto desta mensagem � a seguinte:

Modificar essa configura��o pode afetar a compatibilidade com clientes, servi�os e aplicativos. Para obter mais informa��es, consulte <user right="" or="" security="" option="" being="" modified="">(Q823659)</user>

Se voc� tiver sido redirecionado deste KB um link em GPEDIT.MSC Certifique-se de ler e entender a explica��o fornecida e os poss�veis efeitos da modifica��o desta configura��o. O que se segue � uma lista de direitos de usu�rio que cont�m o novo texto de aviso:

Acessar este computador pela rede
Fazer logon localmente
Ignorar a verifica��o completa
Habilitar computadores e usu�rios para delega��o confi�vel

O que se segue � uma lista de op��es de seguran�a que t�m o aviso e um pop-up:

Membro de dom�nio: Criptografar ou assinar digitalmente dados do canal seguro (sempre) os
Membro do dom�nio: Exigir chave forte da sess�o (Windows 2000 ou posterior)
Controlador de dom�nio: Servidor LDAP requisitos de assinatura
Servidor de rede Microsoft: assinar digitalmente a comunica��o (sempre)
Acesso � rede: Permitir Sid an�nimo / convers�o de nomes
Acesso � rede: N�o permitir enumera��o an�nima de contas e compartilhamentos
Seguran�a de rede: n�vel de autentica��o LAN Manager
Auditoria: Desligar o sistema imediatamente se n�o for poss�vel registrar auditorias de seguran�a
Acesso � rede: Requisitos de assinatura de cliente LDAP

Voltar para o in�cio

Mais Informa��es

As se��es a seguir descrevem as incompatibilidades que podem ocorrer quando voc� modifica as configura��es espec�ficas nos dom�nios do Windows NT 4.0, Windows 2000 dom�nios e em dom�nios do Windows Server 2003.

Voltar para o in�cio

Direitos de usu�rio

Acessar este computador pela rede
1. Plano de fundo
  
  A capacidade de interagir com computadores Windows remotos requer o direito de usu�rio acesso a este computador da rede . Exemplos de tais opera��es de rede do replica��o do Active Directory entre controladores de dom�nio em um dom�nio comum ou solicita��es de autentica��o para controladores de dom�nio de usu�rios e de floresta computadores e acesso a pastas compartilhadas, impressoras e outro sistema servi�os que est�o localizados em computadores remotos na rede.
  
  Usu�rios, computadores e contas de servi�o recebem ou perdem o usu�rio acesso a este computador pela rede para a direita, sendo implicitamente ou explicitamente adicionado ou removido um grupo de seguran�a que tenha esse direito de usu�rio. Por exemplo, um conta de usu�rio ou uma conta de computador pode ser explicitamente adicionada a um personalizado ou um por um administrador de grupo de seguran�a interna ou pode ser implicitamente adicionada pela sistema operacional para um grupo de seguran�a computado, como usu�rios de dom�nio Usu�rios autenticados ou controladores de dom�nio empresarial.
  
  Por padr�o, contas de usu�rio e contas de computador recebem o direito de usu�rio acesso a este computador pela rede quando computado grupos como todos ou, preferencialmente, Usu�rios autenticados e, para controladores de dom�nio, o dom�nio corporativo Controladores de grupo, foram definidos em controladores de dom�nio padr�o, grupo Objeto de diretiva (GPO).
2. Configura��es de risco
  
  Estas s�o as defini��es de configura��o prejudiciais:
  - Removendo a seguran�a de controladores de dom�nio de empresa grupo desse direito de usu�rio
  - Remover o grupo Usu�rios autenticados ou um grupo expl�cito que permite ao usu�rio a usu�rios, computadores e contas de servi�o direito de se conectar a computadores na rede
  - Remover todos os usu�rios e computadores do usu�rio direito
3. Raz�es para conceder este direito de usu�rio
  - Concedendo o grupo controladores de dom�nio de empresa o direito de usu�rio acesso este computador pela rede atende aos requisitos de autentica��o que ativa Replica��o de diret�rio deve ter para a replica��o ocorra entre o dom�nio controladores na mesma floresta.
  - Esse direito de usu�rio permite que usu�rios e computadores acessar arquivos compartilhados, impressoras e servi�os do sistema, incluindo ativo Diret�rio.
  - Esse direito de usu�rio � necess�rio para que os usu�rios de acesso email usando vers�es anteriores do Microsoft Outlook Web Access (OWA).
4. Raz�es para remover este direito de usu�rio
  - Usu�rios que conectam seus computadores para o rede pode acessar recursos em computadores remotos que t�m permiss�es para. Por exemplo, esse direito de usu�rio � necess�rio para um usu�rio se conecte a compartilhada impressoras e pastas. Se esse direito de usu�rio � concedido a todos grupo, e se algumas pastas compartilhadas t�m o compartilhamento e NTFS permiss�es do sistema de arquivos configurado para que o mesmo grupo tenha acesso de leitura, qualquer pessoa pode exibir arquivos Essas pastas compartilhadas. No entanto, essa � uma situa��o improv�vel para novas instala��es do Windows Server 2003 porque o compartilhamento padr�o e NTFS permiss�es no Windows Server 2003 n�o incluem o grupo Todos. Para sistemas que s�o atualizados do Microsoft Windows NT 4.0 ou Windows 2000, isso vulnerabilidade pode ter um n�vel mais alto de risco porque compartilham o padr�o e o permiss�es de sistema de arquivos para esses sistemas operacionais n�o s�o t�o restritivas quanto as permiss�es padr�o no Windows Server 2003.
  - N�o h� nenhuma raz�o v�lida para remover o Enterprise Grupo controladores de dom�nio do usu�rio certo.
  - Geralmente, o grupo Todos � removido em favor de o grupo Usu�rios autenticados. Se o grupo Todos � removido, o Grupo de usu�rios autenticados deve receber esse direito de usu�rio.
  - Dom�nios de Windows NT 4.0 s�o atualizados para Windows 2000 n�o concedem explicitamente a todos, usu�rios autenticados, ou a Grupo de controladores de dom�nio de empresa o direito de usu�rio acesso a este computador da rede . Portanto, quando voc� remove o grupo todos Windows NT 4.0 diretiva de dom�nio, replica��o do Active Directory falhar� com um Mensagem de erro "Acesso negado" ap�s a atualiza��o para o Windows 2000. Winnt32. exe no Windows Server 2003 evita esta configura��o incorreta, concedendo a empresa Grupo de controladores de dom�nio desse direito de usu�rio quando voc� atualizar 4.0 Windows NT controladores de dom�nio prim�rio (PDCs). Conceder os controladores de dom�nio empresarial Esse usu�rio de grupo � direita se n�o estiver presente no objeto de diretiva de grupo Editor.
5. Exemplos de problemas de compatibilidade
  - Windows 2000 e Windows Server 2003: Replica��o do esquema do Active Directory, da configura��o, de Dom�nio do cat�logo global ou de parti��es de aplicativo falhar� com acesso" Negado"erros conforme relatado por ferramentas como REPLMON e REPADMIN ou eventos de replica��o no log de eventos.
  - Sistemas operacionais Microsoft todos: Autentica��o de conta de usu�rio de computadores cliente de rede remota falhar� a menos que tenha o usu�rio ou grupo de seguran�a que o usu�rio � membro de foi concedido esse direito de usu�rio.
  - Sistemas operacionais Microsoft todos: Autentica��o de conta de clientes de rede remota apresentar� falha a menos que a conta ou a conta � membro de um grupo de seguran�a foi receber esse direito de usu�rio. Esta situa��o se aplica a contas de usu�rio, computador contas e contas de servi�o.
  - Sistemas operacionais Microsoft todos: A remo��o de todas as contas deste direito do usu�rio impedir� que qualquer conta de fazer logon no dom�nio ou acessar recursos de rede. Se grupos computados, como controladores de dom�nio de empresa, todos, ou Usu�rios autenticados s�o removidos, voc� deve explicitamente conceder esse direito de usu�rio contas ou para seguran�a de grupos que a conta � membro do acesso remoto computadores na rede. Esta situa��o se aplica a todas as contas de usu�rio para todos contas de computador e para todas as contas de servi�o.
  - Sistemas operacionais Microsoft todos:A conta de administrador local usa uma senha "em branco". Conectividade de rede com senhas em branco n�o � permitida para contas de administrador em um ambiente de dom�nio. Com essa configura��o, voc� pode esperar receber uma mensagem de erro "Acesso negado".
Permitir logon local
1. Plano de fundo
  
  Os usu�rios que est�o tentando fazer logon no console de um Computador baseado no Windows Microsoft (usando a chave de logon CTRL + ALT + DELETE seq��ncia) e contas que est�o tentando iniciar um servi�o devem ter um logon local privil�gios no computador host. Exemplos de opera��es de logon local os administradores que estejam fazendo logon consoles de computadores membro, ou controladores de dom�nio os usu�rios corporativos e de dom�nio que est�o fazendo para computadores membro para acessar seus desktops usando n�o privilegiados contas. Os usu�rios que usam uma conex�o de �rea de trabalho remota ou servi�os de Terminal deve que o usu�rio Permitir logon local direito nos computadores de destino que est�o executando o Windows 2000 ou Windows XP pois estes modos de logon s�o considerados locais para o computador host. Usu�rios quem est� fazendo logon em um servidor que possui o Terminal Server habilitado e que n�o t�m esse usu�rio � direita pode ainda iniciar uma sess�o interativa remota no Windows Server 2003 dom�nios se eles t�m o direito de usu�rio Permitir logon pelos servi�os de Terminal .
2. Configura��es de risco
  
  Estas s�o as defini��es de configura��o prejudiciais:
  - Remover grupos de seguran�a administrativa, incluindo Conta operadores, operadores de c�pia, operadores de impress�o ou operadores de servidor e o grupo de controladores de dom�nio padr�o diretiva.
  - Removendo contas de servi�o usadas por componentes e por programas em computadores membro e controladores de dom�nio a dom�nio da diretiva de controladores de dom�nio padr�o.
  - Removendo usu�rios ou grupos de seguran�a fazer logon o console de computadores membro no dom�nio.
  - Removendo contas de servi�o s�o definidas a banco de dados do Gerenciador de contas de seguran�a (SAM) local de computadores membro ou de computadores do grupo de trabalho.
  - A remo��o n�o-incorporados de administrativo contas que autentica��o em servi�os de Terminal est� sendo executado em um dom�nio controlador.
  - Adicionar todas as contas de usu�rio no dom�nio explicitamente ou implicitamente atrav�s de todos grupo o direito de logon Negar logon localmente . Esta configura��o impedir� que os usu�rios fa�am logon em qualquer computador membro ou qualquer controlador de dom�nio no dom�nio.
3. Raz�es para conceder este direito de usu�rio
  - Os usu�rios devem ter o direito de usu�rio Permitir logon local para acessar o console ou a �rea de trabalho de um grupo de trabalho computador, um computador membro ou um controlador de dom�nio.
  - Os usu�rios devem ter esse direito de usu�rio fazer logon on over um Sess�o de servi�os de terminal que esteja executando em um Windows 2000 computador membro ou controlador de dom�nio.
4. Raz�es para remover este direito de usu�rio
  - Falha ao restringir o acesso de console leg�timo contas de usu�rio podem resultar em usu�rios n�o autorizados a baixar e executar c�digos mal-intencionados para alterar seus direitos de usu�rio.
  - Remo��o do direito de usu�rio Permitir logon local evita logons n�o autorizados nos consoles de computadores, como controladores de dom�nio ou servidores de aplicativos.
  - Impede a remo��o desse direito de logon fora do dom�nio contas de fazer logon no console de computadores membro no dom�nio.
5. Exemplos de problemas de compatibilidade
  - Servidores de terminal do Windows 2000: O direito de usu�rio Permitir logon local � necess�rio para que os usu�rios fazer logon no Windows 2000 servidores de terminal.
  - Windows NT 4.0, Windows 2000, Windows XP ou Windows Server 2003: Contas de usu�rio devem receber esse direito de usu�rio para efetuar logon no Console de computadores que estejam executando o Windows NT 4.0, Windows 2000, Windows XP ou Windows Server 2003.
  - Windows NT 4.0 e posterior: Em computadores que executam o Windows NT 4.0 e posterior, se voc� adicionar o direito de usu�rio Permitir logon local , mas voc� implicitamente ou explicitamente tamb�m conceder o direito de logon Negar logon local , as contas n�o poder�o fazer logon no console dos controladores de dom�nio.
Ignorar a verifica��o completa
1. Plano de fundo
  
  O direito de usu�rio Ignorar a verifica��o completa permite que o usu�rio navegar pelas pastas no NTFS sistema de arquivos ou no registro sem verificar a permiss�o de acesso especial Desviar pasta . O direito de usu�rio Ignorar a verifica��o completa n�o permite ao usu�rio listar o conte�do de um pasta; Ele permite ao usu�rio desviar suas pastas somente.
2. Configura��es de risco
  
  Estas s�o as defini��es de configura��o prejudiciais:
  - Removendo contas n�o administrativas que efetuar logon para computadores de servi�os de Terminal baseado no Windows Server 2003 ou Windows 2000 que n�o t�m permiss�es para acessar arquivos e pastas no arquivo sistema.
  - Removendo o grupo Todos da lista de entidades de seguran�a que, por padr�o, tenham este direito de usu�rio. O Windows sistemas operacionais e muitos programas foram desenvolvidos com o expectativa de que qualquer pessoa pode acessar legitimamente o computador ter� o direito de usu�rio Ignorar a verifica��o completa . Portanto, removendo o grupo Todos da lista de entidades de seguran�a que, por padr�o, este usu�rio tenham direito pode levar a instabilidade no sistema operacional ou falha do programa. � melhor do que deixar Essa configura��o padr�o.
3. Raz�es para conceder este direito de usu�rio
  
  A configura��o padr�o para o direito de usu�rio Ignorar a verifica��o completa � permitir que qualquer pessoa ignorar a verifica��o completa. Para experientes administradores de sistema do Windows, esse � o comportamento esperado e eles configurar listas de controle de acesso do arquivo sistema (SACLs) adequadamente. A �nica cen�rio onde a configura��o padr�o pode levar a um contratempo � se o administrador que configura permiss�es n�o compreender o comportamento e espera que os usu�rios n�o podem acessar uma pasta pai n�o ser� capazes de acessar o conte�do das pastas filho.
4. Raz�es para remover este direito de usu�rio
  
  Organiza��es extremamente preocupadas pode ser tentada a seguran�a para remover o grupo Todos, ou at� mesmo o grupo de usu�rios da lista de grupos que t�m o direito de usu�rio Ignorar a verifica��o completa para tentar impedir o acesso a arquivos ou pastas no sistema de arquivos.
5. Exemplos de problemas de compatibilidade
  - Windows 2000, Windows Server 2003: Se o direito de usu�rio Ignorar a verifica��o completa for removido ou estiver mal configurado em computadores que s�o executando Windows 2000 ou Windows Server 2003, as configura��es de diretiva de grupo a SYVOL pasta n�o ser�o replicadas entre controladores de dom�nio no dom�nio.
  - Windows 2000, Windows XP Professional, Windows Server 2003: Computadores que executam o Windows 2000, Windows XP Professional ou Windows Server 2003 registrar� eventos 1000 e 1202 e n�o ser� capaz de Aplicar diretivas de usu�rio e computador quando as permiss�es do sistema de arquivo necess�rio s�o removidas da �rvore SYSVOL se o direito de usu�rio Ignorar a verifica��o completa for removido ou estiver mal configurado.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    290647� (http://support.microsoft.com/kb/290647/ ) Identifica��o de evento 1000, 1001 � registrada a cada cinco minutos no log de eventos do aplicativo
  - Windows 2000, Windows Server 2003: Em computadores que estejam executando o Windows 2000 ou Windows Server 2003, o Cota Guia do Windows Explorer desaparecer� quando Exibir propriedades de um volume.
  - Windows 2000: N�o-administradores que fizerem logon um servidor de terminal do Windows 2000 poder� receber a seguinte mensagem de erro:
    Userinit. exe Erro de aplicativo. Falha de aplicativo corretamente 0xc0000142 Clique em OK para encerrar o aplicativo.
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    272142� (http://support.microsoft.com/kb/272142/ ) Os usu�rios s�o automaticamente desconectados ao tentar fazer logon nos servi�os de Terminal
  - Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003:Usu�rios cujos computadores est�o executando o Windows NT 4.0, Windows 2000 Windows XP ou Windows Server 2003 n�o poder� acessar pastas compartilhadas ou para acessar arquivos em pastas compartilhadas e podem receber o erro "Acesso negado" mensagens se n�o concedido o direito de usu�rio Ignorar a verifica��o completa .
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    277644� (http://support.microsoft.com/kb/277644/ ) Mensagem de erro "Acesso negado" quando os usu�rios tentam acessar pastas compartilhadas
  - Windows NT 4.0: Em computadores com Windows NT 4.0, a remo��o do direito de usu�rio Ignorar a verifica��o completa far� uma c�pia do arquivo recuse fluxos de arquivo. Se voc� remover este direito de usu�rio quando um arquivo � copiado de um cliente Windows ou de um Cliente Macintosh para um controlador de dom�nio Windows NT 4.0 est� executando os servi�os para Macintosh, o fluxo de arquivo de destino � perdido e o arquivo aparece como um arquivo somente texto.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    172930� (http://support.microsoft.com/kb/172930/ ) Remo��o de "Ignorar a verifica��o completa" far� com que a c�pia descarte fluxos
  - Microsoft Windows 95, Microsoft Windows 98:Em um computador cliente que esteja executando o Windows 95 ou Windows 98, o NET use * /Home comando falhar� com um acesso" Negado"mensagem de erro se o grupo Usu�rios autenticados n�o � concedido o direito de usu�rio Ignorar a verifica��o completa .
  - o outlook Web Access: N�o-administradores n�o poder�o fazer logon no Microsoft O Outlook Web Access e eles receber�o uma mensagem de erro "Acesso negado" se eles n�o recebem o direito de usu�rio Ignorar a verifica��o completa .

Configura��es de seguran�a

Auditoria: Desligar o sistema imediatamente se n�o for poss�vel registrar auditorias de seguran�a
1. Plano de fundo
  - O auditoria: desligar o sistema imediatamente se n�o for poss�vel registrar auditorias de seguran�a determina se o sistema ser� desligado se voc� n�o pode registra eventos de seguran�a. Essa configura��o � necess�ria para a seguran�a de computador confi�vel Avalia��o C2 do programa do avalia��o TCSEC (crit�rios) e para os crit�rios comuns para avalia��o de seguran�a de tecnologia de informa��es evitar eventos audit�veis se o sistema de auditoria n�o pode fazer esses eventos. Se o sistema de auditoria falha, o sistema � desligado para baixo e uma mensagem de erro de parada � exibida.
  - Se o computador n�o puder registrar eventos para o log de seguran�a, provas cr�ticas ou informa��es importantes de resolu��o de problemas pode n�o estar dispon�veis para revis�o ap�s um incidente de seguran�a.
2. Configura��o de risco
  
  A seguir � uma configura��o prejudicial: O auditoria: desligar o sistema imediatamente se n�o for poss�vel registrar auditorias de seguran�a configura��o � ativada, e o tamanho do log de eventos de seguran�a � restrito pela op��o n�o substituir eventos (Limpar log manualmente) , a op��o Substituir eventos conforme necess�rio , ou o Substituir eventos mais antigos que n�mero dias op��o Visualizador de eventos. Consulte "exemplos de compatibilidade Se��o de problemas"para obter informa��es sobre riscos espec�ficos de computadores que s�o executando a vers�o original do Windows 2000, Windows 2000 Service Pack 1 (SP1), Windows 2000 SP2 ou Windows 2000 SP3.
3. Raz�es para habilitar esta configura��o
  
  Se o computador n�o puder registrar eventos de seguran�a log, evid�ncias cr�ticas ou informa��es importantes de resolu��o de problemas n�o podem ser dispon�vel para revis�o ap�s um incidente de seguran�a.
4. Raz�es para habilitar esta configura��o
  - Ativando o de auditoria: desligar o sistema imediatamente se n�o for poss�vel registrar auditorias de seguran�a configura��o p�ra o sistema se uma auditoria de seguran�a n�o pode ser feita para qualquer motivo. Normalmente, um evento n�o pode ser registrado no log de auditoria de seguran�a � completo e quando seu m�todo de reten��o especificado � a op��o n�o substituir eventos (Limpar log manualmente) ou o Substituir eventos mais antigos que n�mero dias op��o.
  - A sobrecarga administrativa de ativa��o de auditoria: desligar o sistema imediatamente se n�o for poss�vel registrar auditorias de seguran�a configura��o pode ser muito alta, especialmente se tamb�m ativar a op��o n�o substituir eventos (Limpar log manualmente) para o log de seguran�a. Esta configura��o fornece para indiv�duo responsabilidade das a��es de operador. Por exemplo, um administrador poderia redefinir permiss�es em todos os usu�rios, computadores e grupos em uma unidade organizacional (UO) onde a auditoria foi ativada usando a conta interna administrador ou outro conta compartilhado e negar que redefiniu tais permiss�es. No entanto, ativando a configura��o reduz a robustez do sistema pois um servidor poder� ser for�ado a desligar ao encher com eventos de logon e outros eventos de seguran�a s�o gravados no log de seguran�a. Al�m disso, porque o desligamento n�o � normal, irrepar�veis danos ao sistema operacional, para programas ou dados pode resultar. Embora o NTFS garante que o sistema de arquivos integridade � mantida durante um desligamento amig�vel do sistema, ele n�o pode garantir que todo arquivo de dados para cada programa ainda estar� em forma utiliz�vel Quando o sistema for reiniciado.
5. Nome simb�lico:
  
  CrashOnAuditFail
6. Caminho do registro:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\CrashOnAuditFail (Reg_DWORD)
7. Exemplos de problemas de compatibilidade
  - Windows 2000: Por causa de um bug, computadores que executam o original lan�ado a vers�o do Windows 2000, Windows 2000 SP1, Windows 2000 SP2, ou Windows Server SP3 podem parar o log de eventos antes de alcan�ar o tamanho especificado na op��o tamanho m�ximo do log para o log de eventos de seguran�a. Este bug ser� corrigido no Windows 2000 Service Pack 4 (SP4). Certifique-se de que seu dom�nio do Windows 2000 controladores t�m o Windows 2000 Service Pack 4 instalado antes de a ativa��o dessa configura��o.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    312571� (http://support.microsoft.com/kb/312571/ ) O log de eventos p�ra de carregar eventos antes de atingir o tamanho m�ximo do log
  - Windows 2000, Windows Server 2003:Computadores que executam o Windows 2000 ou Windows Server 2003 pode parar de responder e, em seguida, reiniciem espontaneamente se a auditoria: desligar o sistema imediatamente se n�o for poss�vel registrar auditorias de seguran�a configura��o est� ativada e se o log de seguran�a estiver cheio e se uma entrada de log de eventos existente n�o pode ser substitu�da. Quando o computador for reiniciado, o seguinte mensagem de erro Stop � exibida:
    STOP: C0000244 {Falha na auditoria}
    Falha na tentativa de gerar uma auditoria de seguran�a.
    Para recuperar, um administrador deve fazer logon, arquivar o log de seguran�a (opcional) Limpar o log de seguran�a e ent�o redefinir esta op��o (opcional e conforme necess�rio).
  - Microsoft Network Client para MS-DOS, Windows 95, Windows 98, Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003:N�o-administradores que tentam fazer logon em um dom�nio receber�o a mensagem de erro seguinte:
    Sua conta est� configurada para impedi o uso deste computador. Tente outro computador.
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    160783� (http://support.microsoft.com/kb/160783/ ) Mensagem de erro: os usu�rios n�o podem fazer logon em uma esta��o de trabalho
  - Windows 2000: Em computadores baseados no Windows 2000, n�o-administradores n�o ser� fazer logon para o acesso remoto servidores e eles receber�o uma mensagem de erro � semelhante � seguinte:
    Usu�rio desconhecido ou inv�lido senha
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    285665� (http://support.microsoft.com/kb/285665/ ) Mensagem de erro: sua conta est� configurada para impedir o uso deste computador
  - Windows 2000: Em controladores de dom�nio do Windows 2000, as mensagens entre sites servi�o (Ismserv. exe) ir� parar e n�o poder� ser reiniciado. DCDIAG ir� relatar o erro como "Falha ao testar servi�os ISMserv" e identifica��o de evento 1083 ser� ser registrado no log de eventos.
  - Windows 2000: Em controladores de dom�nio do Windows 2000, replica��o do Active Directory ir� falhar e uma mensagem "Acesso negado" aparecer� se o evento de seguran�a logon est� cheio.
  - Microsoft Exchange 2000: Servidores que estejam executando o Exchange 2000 n�o ser� capazes de montar o banco de dados de armazenamento de informa��es e o evento 2102 ser�o registrado no evento log.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    314294� (http://support.microsoft.com/kb/314294/ ) Mensagens de erro do Exchange 2000 s�o geradas devido o direito SeSecurityPrivilege e problemas com o Policytest
  - Outlook, Outlook Web Access: N�o-administradores n�o poder�o acessar seus emails atrav�s de Microsoft Outlook ou Microsoft Outlook Web Access, e eles ser�o recebe um erro 503.
Controlador de dom�nio: requisitos de assinatura de servidor LDAP
1. Plano de fundo
  
  O controlador de dom�nio: requisitos de assinatura de servidor LDAP configura��o de seguran�a determina se o diret�rio leve Servidor de protocolo (LDAP) de acesso requer que os clientes LDAP negociem assinatura de dados. Os valores poss�veis para essa configura��o de diretiva s�o:
  - Nenhum: Assinatura de dados n�o � necess�rio para ligar ao servidor. Se o dados de solicita��es de cliente de assinatura, o servidor suportar.
  - Requer assinatura: A op��o de assinatura de dados LDAP deve ser negociada a menos transporte Layer Security/Secure Socket Layer (SSL/TLS) est� sendo usado.
  - n�o definido: Essa configura��o n�o est� habilitada ou desabilitada.
2. Configura��es de risco
  
  Estas s�o as defini��es de configura��o prejudiciais:
  - Habilitar requer assinatura em ambientes onde os clientes n�o suportam a assinatura LDAP ou onde assinatura LDAP do lado do cliente n�o estiver no cliente
  - Aplicar o Windows 2000 ou Windows Server Modelo de seguran�a 2003 Hisecdc. inf em ambientes onde os clientes n�o suporte � assinatura LDAP ou onde assinatura LDAP do lado do cliente n�o � ativado
  - Aplicar o Windows 2000 ou Windows Server Modelo de seguran�a 2003 Hisecws. inf em ambientes onde os clientes n�o suporte � assinatura LDAP ou onde assinatura LDAP do lado do cliente n�o � ativado
3. Raz�es para habilitar esta configura��o
  
  O tr�fego de rede n�o assinada � suscet�vel a ataques de intercepta��o de-onde um intruso captura pacotes entre o cliente e o servidor, modifica os pacotes e encaminha para o servidor. Quando esse comportamento ocorre em um servidor LDAP, um invasor pode causar um servidor para tomar decis�es com base em falsas consultas do cliente LDAP. Voc� pode Reduzir este risco em uma rede corporativa ao implementar alta seguran�a f�sica medidas para ajudar a proteger a infra-estrutura de rede. Seguran�a do protocolo Internet Modo de cabe�alho de autentica��o (IPSec) pode fazer ataques de intercepta��o extremamente dif�cil. Modo de cabe�alho de autentica��o executa autentica��o m�tua e pacote integridade do tr�fego IP.
4. Raz�es para habilitar esta configura��o
  - Clientes que n�o suportam a assinatura LDAP n�o ir� ser capaz de executar consultas LDAP contra controladores de dom�nio e global cataloga se a autentica��o NTLM for negociada e pacotes de servi�o correto n�o est�o instalados em controladores de dom�nio do Windows 2000.
  - Rastreamentos do tr�fego LDAP entre clientes de rede e servidores ser�o criptografados, dificultando a examinar LDAP conversas.
  - Servidores baseados no Windows 2000 devem ter o Windows 2000 Service Pack 3 (SP3) ou posterior instalado quando forem administrados com programas que suportam a assinatura LDAP e que s�o executados em computadores cliente que executam Windows 2000 SP4, Windows XP ou Windows Server 2003.Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    325465� (http://support.microsoft.com/kb/325465/ ) Controladores de dom�nio do Windows 2000 exigem o Service Pack 3 ou posterior ao usar as ferramentas de administra��o do Windows Server 2003
5. Nome simb�lico:
  
  LDAPServerIntegrity
6. Caminho do registro:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LDAPServerIntegrity (Reg_DWORD)
7. Exemplos de problemas de compatibilidade
  - V�nculos simples falhar�o e voc� receber� o mensagem de erro seguinte:
    Ldap_simple_bind_s() falhou: Autentica��o forte necess�ria.
  - Windows 2000 Service Pack 4, Windows XP, Windows Server 2003: Em clientes que executam o Windows 2000 SP4, Windows XP, ou Windows Server 2003, algumas ferramentas de administra��o do Active Directory n�o ser� operar corretamente em controladores de dom�nio que executam vers�es do Windows 2000 s�o anteriores ao SP3 quando a autentica��o NTLM for negociada.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    325465� (http://support.microsoft.com/kb/325465/ ) Controladores de dom�nio do Windows 2000 exigem o Service Pack 3 ou posterior ao usar as ferramentas de administra��o do Windows Server 2003
  - Windows 2000 Service Pack 4, Windows XP, Windows Server 2003: Em clientes que executam o Windows 2000 SP4, Windows XP, ou Windows Server 2003, alguns administra��o do Active Directory ferramentas de destino controladores de dom�nio que est�o executando vers�es do Windows 2000 s�o anteriores que o SP3 n�o operar�o corretamente se estiverem usando endere�os IP (para exemplo, "DSA. msc /server =x.x.x. x"onde x.x.x. x � um endere�o IP).
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    325465� (http://support.microsoft.com/kb/325465/ ) Controladores de dom�nio do Windows 2000 exigem o Service Pack 3 ou posterior ao usar as ferramentas de administra��o do Windows Server 2003
  - Windows 2000 Service Pack 4, Windows XP, Windows Server 2003: Em clientes que executam o Windows 2000 SP4, Windows XP, ou Windows Server 2003, alguns administra��o do Active Directory ferramentas de destino controladores de dom�nio que est�o executando vers�es do Windows 2000 s�o anteriores ao SP3 n�o operar�o corretamente.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    325465� (http://support.microsoft.com/kb/325465/ ) Controladores de dom�nio do Windows 2000 exigem o Service Pack 3 ou posterior ao usar as ferramentas de administra��o do Windows Server 2003
Membro de dom�nio: exigir chave forte da sess�o (Windows 2000 ou posterior)
1. Plano de fundo
  - O membro do dom�nio: exigir chave forte da sess�o (Windows 2000 ou posterior) determina se um canal seguro pode ser estabelecido com um controlador de dom�nio que n�o pode criptografar o tr�fego de canal seguro com um chave de sess�o de alta seguran�a de 128 bits. A ativa��o dessa configura��o impede o estabelecimento de um canal seguro com qualquer controlador de dom�nio n�o � poss�vel criptografar o canal seguro dados com uma chave forte. A desativa��o dessa configura��o permite chaves de sess�o de 64 bits.
  - Antes de ativar essa configura��o em um membro esta��o de trabalho ou em um servidor, todos os controladores de dom�nio no dom�nio que o membro perten�a devem poder criptografar dados de canal seguro com uma forte chave de 128 bits. Isso significa que todos esses controladores de dom�nio devem estar executando Windows 2000 ou posterior.
2. Configura��o de risco
  
  Ativando o membro do dom�nio: exigir chave forte da sess�o (Windows 2000 ou posterior) configura��o � uma configura��o prejudicial.
3. Raz�es para habilitar esta configura��o
  - Proteger as chaves de sess�o usadas para estabelecer canais de comunica��o entre computadores membro e controladores de dom�nio s�o muito mais forte no Windows 2000 do que em vers�es anteriores do Microsoft sistemas operacionais.
  - Sempre que poss�vel, � aconselh�vel levar aproveitar essas chaves fortes da sess�o para ajudar a proteger o canal seguro comunica��es de espionagem e ataques de rede de seq�estro de sess�o. Eavesdropping � uma forma de ataque malicioso, onde os dados da rede � lido ou � alterada em tr�nsito. Os dados podem ser modificados para ocultar ou alterar o remetente ou para redirecion�-lo.
  Importante Um computador que esteja executando o Windows Server 2008 R2 ou o Windows 7 suporta chaves fortes somente quando forem usados canais seguros. Essa restri��o impede que uma rela��o de confian�a entre qualquer dom�nio com Windows NT 4.0 e qualquer dom�nio baseado no Windows Server 2008 R2. Al�m disso, essa restri��o bloqueia a participa��o no dom�nio com Windows NT 4.0 computadores que executam o Windows 7 ou Windows Server 2008 R2, e vice-versa.
4. Raz�es para habilitar esta configura��o
  
  O dom�nio cont�m computadores membro executando sistemas operacionais diferentes do Windows 2000, Windows XP ou Windows Server 2003.
5. Nome simb�lico:
  
  StrongKey
6. Caminho do registro:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireStrongKey (Reg_DWORD)
7. Exemplos de problemas de compatibilidade
  
  Windows NT 4.0: Em computadores com Windows NT 4.0, a redefini��o de canais seguros de rela��es de confian�a entre dom�nios Windows NT 4.0 e Windows 2000 com NLTEST Falha com mensagem de erro "Acesso negado":
  A rela��o de confian�a rela��o entre o dom�nio prim�rio e o dom�nio confi�vel Falha.
  
  Windows 7 e Server 2008 R2:�Come�ando com esta vers�o do sistema operacional, essa configura��o n�o � mais respeitada e a chave forte � usada sempre. Desse modo, rela��es de confian�a com dom�nios Windows NT 4.0 n�o est�o funcionando mais.
Membro de dom�nio: criptografar ou assinar digitalmente dados do canal seguro (sempre) os
1. Plano de fundo
  - Ativando membro do dom�nio: criptografar ou assinar digitalmente dados do canal seguro (sempre) os impede o estabelecimento de um canal seguro com qualquer controlador de dom�nio que n�o pode assinar ou criptografar todos os dados de canal seguro. Para ajudar a proteger tr�fego de autentica��o contra ataques de intercepta��o, de ataques de repeti��o e outros tipos de ataques de rede, computadores baseados no Windows criam um canal de comunica��o conhecido como canal seguro do servi�o Net Logon para autenticar contas de computador. Canais seguros tamb�m s�o usados quando um usu�rio em um dom�nio se conecta a uma rede recurso em um dom�nio remoto. Esta autentica��o multidom�nio, ou autentica��o de passagem, permite que um computador baseado no Windows que tenha ingressado em um dom�nio que acesso ao banco de usu�rio conta dados em seu dom�nio e em dom�nios confi�veis.
  - Para habilitar o membro de dom�nio: criptografar ou assinar digitalmente dados do canal seguro (sempre) os configura��o em um computador membro, todos os controladores de dom�nio no dom�nio ao qual pertence o membro deve ser capaz de assinar ou criptografar todos seguro dados do canal. Isso significa que todos esses controladores de dom�nio devem estar executando Windows NT 4.0 com Service Pack 6a (SP6a) ou posterior.
  - Ativando o membro de dom�nio: criptografar ou assinar digitalmente dados do canal seguro (sempre) os automaticamente permite que o membro de dom�nio: criptografar ou assinar digitalmente dados do canal seguro (quando poss�vel) os configura��o.
2. Configura��o de risco
  
  Ativando o membro do dom�nio: criptografar ou assinar digitalmente dados do canal seguro (sempre) os defini��o em dom�nios onde nem todos os controladores de dom�nio podem assinar ou criptografar dados de canal seguro s�o uma configura��o prejudicial.
3. Raz�es para habilitar esta configura��o
  
  O tr�fego de rede n�o assinada � suscet�vel a ataques de intercepta��o, onde um intruso captura pacotes entre o o cliente e servidor e modifica-los antes de encaminh�-los para o cliente. Quando esse comportamento ocorre em um Lightweight Directory Access Protocol Servidor (LDAP), o invasor poder� levar um cliente a tomar decis�es que s�o com base em registros falsos do diret�rio LDAP. Voc� pode reduzir o risco de tal um ataque em uma rede corporativa ao implementar alta seguran�a f�sica medidas para ajudar a proteger a infra-estrutura de rede. Al�m disso, a implementa��o Modo de cabe�alho de autentica��o do Internet Protocol security (IPSec) pode fazer todas as tipos de ataques de intercepta��o extremamente dif�cil. Este modo executa integridade pacote e autentica��o m�tua para tr�fego IP.
4. Raz�es para habilitar esta configura��o
  - Computadores no local ou em dom�nios externos fazer suporte a canais de seguran�a criptografada.
  - Nem todos os controladores de dom�nio no dom�nio possuem o n�veis de revis�o de pack de servi�o apropriado para suportar criptografado seguro canais.
5. Nome simb�lico:
  
  StrongKey
6. Caminho do registro:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireSignOrSeal (REG_DWORD)
7. Exemplos de problemas de compatibilidade
  - Windows NT 4.0: Computadores membro baseados no Windows 2000 n�o poder�o participar Dom�nios de Windows NT 4.0 e receber�o a seguinte mensagem de erro:
    A conta n�o est� autorizada a efetuar logon a partir esta��o.
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    281648� (http://support.microsoft.com/kb/281648/ ) Mensagem de erro: A conta n�o est� autorizada a efetuar logon nesta esta��o
  - Windows NT 4.0: Dom�nios de Windows NT 4.0 n�o poder�o estabelecer baixo n�vel rela��o de confian�a com um dom�nio do Windows 2000 e receber� a seguinte mensagem de erro:
    A conta n�o est� autorizada a efetuar logon a partir esta��o.
    Rela��es de confian�a de n�vel inferior existentes tamb�m podem n�o autenticar usu�rios do dom�nio confi�vel. Alguns usu�rios podem ter dificuldade em fazer logon para o dom�nio e eles podem receber uma mensagem de erro informando que o cliente n�o � poss�vel localizar o dom�nio.
  - Windows XP: Clientes Windows XP unidos aos dom�nios Windows NT 4.0 ser� n�o ser capaz de autenticar tentativas de logon e pode receber o seguinte erro mensagem ou os seguintes eventos podem ser registrados no log de eventos:
    Windows n�o pode conectar ao dom�nio ou porque o controlador de dom�nio est� inoperante ou n�o est� dispon�vel ou porque o computador conta n�o foi encontrada
    Evento 5723: A configura��o da sess�o do computador Nome_do_computadorFalha ao autenticar. O nome da conta mencionado na seguran�a banco de dados Nome_do_computador. O seguinte erro ocorreu: acesso negado.
    Evento 3227: A configura��o da sess�o para o Windows NT ou o Windows controlador de dom�nio de 2000 Nome do servidor para o dom�nio Nome de dom�nio falhou porque Servidor Nome n�o oferece suporte a autentica��o ou ao fechamento da sess�o de Netlogon. Atualizar o controlador de dom�nio ou defina a entrada de registo RequireSignOrSeal na Este computador para 0.
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    318266� (http://support.microsoft.com/kb/318266/ ) Um cliente Windows XP n�o pode fazer logon em um dom�nio Windows NT 4.0
  - Rede da Microsoft: Clientes de rede Microsoft receber�o um erro mensagens:
    Falha de logon: nome de usu�rio desconhecido ou inv�lido senha.
    N�o h� nenhuma chave de sess�o de usu�rio para o sess�o de logon especificada.
Cliente de rede Microsoft: assinar digitalmente a comunica��o (sempre)
1. Plano de fundo
  
  Bloco de mensagens de servidor (SMB) � o protocolo de compartilhamento de recursos � suportado por v�rios Sistemas operacionais Microsoft; � a base de entrada e sa�da b�sico de rede System (NetBIOS) e de muitos outros protocolos. A assinatura SMB autentica tanto o usu�rio e o servidor que hospeda os dados. Se falhar ou lado a processo de autentica��o, transmiss�o de dados n�o ocorrer�.
  
  Habilitando a assinatura do SMB inicia durante a negocia��o do protocolo SMB. As diretivas de assinatura do SMB determinam se o computador sempre assina digitalmente as comunica��es de cliente.
  
  O protocolo de autentica��o SMB do Windows 2000 suporta autentica��o m�tua. A autentica��o m�tua elimina um ataque "man-in-the-middle". Autentica��o de mensagem do Windows 2000 SMB tamb�m suporta o protocolo de autentica��o. Autentica��o de mensagem ajuda a impedir ataques de mensagem ativa. Para fornecer esta autentica��o, a assinatura SMB coloca uma assinatura digital em cada SMB. O cliente e o servidor verificam a assinatura digital.
  
  Para usar a assinatura SMB, voc� deve habilitar a assinatura SMB ou requerer a assinatura SMB no cliente SMB e no servidor SMB. Se a assinatura SMB est� habilitada no servidor, os clientes tamb�m habilitados para assinatura SMB usam o assinatura de pacote protocolo durante todas as sess�es subseq�entes. Se a assinatura SMB for necess�ria em um servidor, um cliente n�o pode estabelecer uma sess�o a menos que o cliente � habilitado ou exigido para assinatura SMB.
  
  Habilitar a assinatura digital em redes de alta seguran�a ajuda a prevenir a representa��o de clientes e servidores. Esse tipo de representa��o � conhecida como seq�estro de sess�o. Um invasor que tenha acesso � mesma rede que o cliente ou o servidor usa ferramentas de seq�estro de sess�o para interromper, encerrar ou roubar uma sess�o em andamento. Um invasor poderia interceptar e modificar pacotes SMB n�o assinados, modificar o tr�fego e encaminh�-lo para que o servidor possa executar a��es indesejadas. Como alternativa, o invasor poderia representar como o servidor ou cliente ap�s uma autentica��o leg�tima e, em seguida, ganho acesso n�o autorizado aos dados.
  
  O protocolo SMB � usado para arquivo de compartilhamento e impress�o de compartilhamento em computadores que executam o Windows 2000 Server, Windows 2000 Professional, Windows XP Professional ou Windows Server 2003 suporta autentica��o m�tua. Autentica��o m�tua encerra a sess�o seq�estro de ataques e oferece suporte � autentica��o de mensagem. Portanto, impede ataques de intercepta��o. A assinatura SMB fornece essa autentica��o colocando uma assinatura digital em cada SMB. A assinatura � verificada por ambas as cliente e servidor.
  
  Observa��es
  - Uma contramedida alternativa que pode ajudar a proteger a rede todos os o tr�fego � habilitar assinaturas digitais com IPSec. Existem baseados em hardware Aceleradores para criptografia IPSec e assinatura que podem ser usados para minimizar a impacto no desempenho da CPU do servidor. Existem aceleradores que est�o dispon�veis para a assinatura SMB.
    
    Para obter mais informa��es, consulte o cap�tulo "Assinar digitalmente a comunica��o do servidor" no seguinte site da Microsoft MSDN:
    http://msdn.microsoft.com/library/default.asp?url=/library/en-US/GP/568.asp (http://msdn2.microsoft.com/en-us/library/ms814149.aspx)
    Configure a assinatura SMB por meio do Editor de objeto de diretiva de grupo porque uma altera��o de um valor de registro local n�o tem efeito se houver uma diretiva de dom�nio de substitui��o.
  - No Windows 95, Windows 98 e Windows 98 Segunda edi��o, o Directory Services Client usa a assinatura SMB ao autenticar com servidores Windows Server 2003 usando a autentica��o NTLM. No entanto, estes clientes n�o usam a assinatura SMB quando autenticam com estes servidores usando a autentica��o NTLMv2. Al�m disso, servidores Windows 2000 n�o respondem a solicita��es desses clientes assinatura SMB. Consulte o item 10: "seguran�a de rede: n�vel de autentica��o Lan Manager."
2. Configura��o de risco
  
  A seguir � uma configura��o prejudicial: deixando ambos o cliente de rede Microsoft: assinar digitalmente a comunica��o (sempre) configura��o e o cliente de rede Microsoft: assinar digitalmente a comunica��o (se o servidor concordar) configura��o definida como "N�o definido" ou desabilitado. Essas configura��es permitem o redirecionador enviar senhas de texto simples para servidores SMB n�o Microsoft que n�o oferecem suporte a criptografia de senha durante a autentica��o.
3. Raz�es para habilitar esta configura��o
  
  Ativando cliente de rede Microsoft: assinar digitalmente a comunica��o (sempre) requer que os clientes assinem o tr�fego SMB ao contatar servidores que n�o exigem assinatura SMB, tornando os clientes menos vulner�veis a seq�estro de sess�o os ataques.
4. Raz�es para habilitar esta configura��o
  - Ativando cliente de rede Microsoft: assinar digitalmente a comunica��o (sempre) impede que os clientes se comunicam com servidores de destino que n�o suportam assinatura SMB
  - Configurando computadores para ignorar todos os SMB n�o assinados comunica��es impede que programas e sistemas operacionais da anterior Conectando-se.
5. Nome simb�lico:
  
  RequireSMBSignRdr
6. Caminho do registro:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature
7. Exemplos de problemas de compatibilidade
  - Windows NT 4.0: Voc� n�o poder� redefinir o canal seguro de uma rela��o de confian�a entre um dom�nio do Windows Server 2003 e um dom�nio Windows NT 4.0 usando NLTEST ou NETDOM e voc� receber� uma mensagem de erro "Acesso negado".
  - Windows XP: Copiando arquivos de clientes Windows XP baseados no Windows 2000 servidores e servidores baseados no Windows Server 2003 pode levar mais tempo.
  - N�o ser� capaz de mapear uma unidade de rede de um cliente com essa configura��o ativada e voc� receber� o seguinte erro mensagem:
    A conta n�o est� autorizada a efetuar login Esta esta��o.
8. Requisitos de reinicializa��o
  
  Reinicie o computador ou reinicie o servi�o Esta��o de trabalho. Para fazer isso, digite os seguintes comandos no prompt de comando. Pressione ENTER ap�s digitar cada comando.
  workstation net stop
  NET start workstation
Servidor de rede Microsoft: assinar digitalmente a comunica��o (sempre)
1. Plano de fundo
  - Server Messenger Block (SMB) � o protocolo de compartilhamento de recursos � suportado por v�rios Sistemas operacionais Microsoft; � a base de entrada e sa�da b�sico de rede System (NetBIOS) e de muitos outros protocolos. A assinatura SMB autentica tanto o usu�rio e o servidor que hospeda os dados. Se falhar ou lado a processo de autentica��o, transmiss�o de dados n�o ocorrer�.
    
    Habilitando a assinatura do SMB inicia durante a negocia��o do protocolo SMB. As diretivas de assinatura do SMB determinam se o computador sempre assina digitalmente as comunica��es de cliente.
    
    O protocolo de autentica��o SMB do Windows 2000 suporta autentica��o m�tua. A autentica��o m�tua elimina um ataque "man-in-the-middle". Autentica��o de mensagem do Windows 2000 SMB tamb�m suporta o protocolo de autentica��o. Autentica��o de mensagem ajuda a impedir ataques de mensagem ativa. Para fornecer esta autentica��o, a assinatura SMB coloca uma assinatura digital em cada SMB. O cliente e o servidor verificam a assinatura digital.
    
    Para usar a assinatura SMB, voc� deve habilitar a assinatura SMB ou requerer a assinatura SMB no cliente SMB e no servidor SMB. Se a assinatura SMB est� habilitada no servidor, os clientes tamb�m habilitados para assinatura SMB usam o assinatura de pacote protocolo durante todas as sess�es subseq�entes. Se a assinatura SMB for necess�ria em um servidor, um cliente n�o pode estabelecer uma sess�o a menos que o cliente � habilitado ou exigido para assinatura SMB.
    
    Habilitar a assinatura digital em redes de alta seguran�a ajuda a prevenir a representa��o de clientes e servidores. Esse tipo de representa��o � conhecida como seq�estro de sess�o. Um invasor que tenha acesso � mesma rede que o cliente ou o servidor usa ferramentas de seq�estro de sess�o para interromper, encerrar ou roubar uma sess�o em andamento. Um invasor poderia interceptar e modificar a largura de banda de sub-rede n�o assinados (SBM) do Gerenciador pacotes, modificar o tr�fego e encaminh�-lo para que o servidor possa executar a��es indesejadas. Como alternativa, o invasor poderia representar como o servidor ou cliente ap�s uma autentica��o leg�tima e, em seguida, ganho acesso n�o autorizado aos dados.
    
    O protocolo SMB � usado para arquivo de compartilhamento e impress�o de compartilhamento em computadores que executam o Windows 2000 Server, Windows 2000 Professional, Windows XP Professional ou Windows Server 2003 suporta autentica��o m�tua. Autentica��o m�tua encerra a sess�o seq�estro de ataques e oferece suporte � autentica��o de mensagem. Portanto, impede ataques de intercepta��o. A assinatura SMB fornece essa autentica��o colocando uma assinatura digital em cada SMB. A assinatura � verificada por ambas as cliente e servidor.
  - Uma contramedida alternativa que pode ajudar a proteger todo o tr�fego de rede � habilitar assinaturas digitais com IPSec. H� aceleradores baseados em hardware para criptografia IPSec e assinatura que podem ser usados para minimizar o impacto no desempenho da CPU do servidor. N�o h� nenhum Aceleradores dispon�veis para a assinatura SMB.
  - No Windows 95, Windows 98 e Windows 98 Segunda edi��o, o Directory Services Client usa a assinatura SMB ao autenticar com servidores Windows Server 2003 usando a autentica��o NTLM. No entanto, estes clientes n�o usam a assinatura SMB quando autenticam com estes servidores usando a autentica��o NTLMv2. Al�m disso, servidores Windows 2000 n�o respondem a solicita��es desses clientes assinatura SMB. Consulte o item 10: "seguran�a de rede: n�vel de autentica��o Lan Manager."
2. Configura��o de risco
  
  A seguir � uma configura��o prejudicial: ativando o servidor de rede Microsoft: assinar digitalmente a comunica��o (sempre) em servidores e controladores de dom�nio que s�o acessados por incompat�vel com o Windows e de terceiros baseados no sistema operacional cliente computadores no local ou em dom�nios externos.
3. Raz�es para habilitar esta configura��o
  - Todos os computadores cliente que habilitar esta configura��o suporte a SMB diretamente por meio do registro ou a configura��o de diretiva de grupo assinatura. Em outras palavras, todos os computadores clientes que possuem esta configura��o habilitada Execute o Windows 95 com o cliente DS instalado, o Windows 98, Windows NT 4.0, Windows 2000, Windows XP Professional ou Windows Server 2003.
  - Se servidor de rede Microsoft: assinar digitalmente a comunica��o (sempre) � desabilitado, a assinatura SMB ser� completamente desabilitada. Completamente desativar toda a assinatura SMB deixa os computadores mais vulner�veis a seq�estro de sess�o os ataques.
4. Raz�es para habilitar esta configura��o
  - A ativa��o dessa configura��o pode causar mais lenta de c�pia de arquivo e desempenho de rede nos computadores cliente.
  - Ativar essa configura��o impedir� que os clientes que n�o podem negociar assinatura SMB se comuniquem com servidores e dom�nio controladores. Isso faz com que opera��es como associa��es de dom�nio, usu�rio e computador autentica��o ou acesso � rede por programas falhar.
5. Nome simb�lico:
  
  RequireSMBSignServer
6. Caminho do registro:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature (REG_DWORD)
7. Exemplos de problemas de compatibilidade
  - Windows 95: Clientes Windows 95 que n�o t�m servi�os de diret�rio (DS) Cliente instalado apresentar�o falha na autentica��o do logon e receber�o a seguinte mensagem de erro:
    A senha de dom�nio que voc� forneceu n�o � corrigir ou acesso ao seu logon no servidor foi negado.
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    811497� (http://support.microsoft.com/kb/811497/ ) Mensagem de erro quando o Windows 95 ou 4.0 Windows NT cliente fizer logon no dom�nio do Windows Server 2003
  - Windows NT 4.0: Computadores cliente que est�o executando vers�es do Windows NT 4.0 anteriores ao Service Pack 3 (SP3) ser� falha na autentica��o de logon e ser� receba a seguinte mensagem de erro:
    O sistema n�o foi poss�vel fazer logon. Verifique se seu nome de usu�rio e dom�nio est�o corretos e digite sua senha novamente.
    Alguns servidores SMB n�o Microsoft suportam apenas trocas de senha n�o criptografada durante a autentica��o. (Estas trocas tamb�m conhecidas como trocas de "texto simples".) Come�ando com o Windows NT 4.0 SP3, o redirecionador SMB n�o envia uma senha n�o criptografada durante a autentica��o para um servidor SMB a menos que voc� adicionar uma entrada de registro espec�fica.
    Para habilitar senhas n�o criptografadas para o cliente SMB no Windows NT 4.0 SP 3 e sistemas mais recentes, modifique o registro da seguinte forma: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters
    Nome do valor: EnablePlainTextPassword
    Tipo de dados: REG_DWORD
    Dados: 1
    
    Para obter mais informa��es sobre t�picos relacionados, clique nos n�meros abaixo para ler os artigos na Base de dados de Conhecimento da Microsoft:
    224287� (http://support.microsoft.com/kb/224287/ ) Mensagem de erro: erro de sistema 1240. A conta n�o est� autorizada a efetuar logon nesta esta��o.
    166730� (http://support.microsoft.com/kb/166730/ ) Senhas n�o criptografadas podem fazer com que o Service Pack 3 falhar para se conectar a servidores SMB
  - Windows Server 2003: Por padr�o, as configura��es de seguran�a em controladores de dom�nio que executam o Windows Server 2003 s�o configuradas para ajudar a impedir as comunica��es do controlador de dom�nio sejam interceptadas ou violadas por usu�rios mal-intencionados. Para os usu�rios se comuniquem com �xito com um controlador de dom�nio que executa o Windows Server 2003, os computadores cliente devem usar tanto a assinatura SMB e criptografia ou assinatura de tr�fego do canal seguro. Por padr�o, os clientes que executam o Windows NT 4.0 com Service Pack 2 (SP2) ou anterior instalado e clientes que executam o Windows 95 n�o t�m a assinatura de pacote SMB habilitada. Portanto, esses clientes n�o poder� autenticar para um controlador de dom�nio baseado no Windows Server 2003.
  - As configura��es de diretiva do Windows 2000 e Windows Server 2003: Dependendo das necessidades espec�ficas de instala��o e configura��o, recomendamos que voc� defina as seguintes configura��es de diretiva na menor entidade de escopo necess�rio na hierarquia do snap-in Editor de diretiva de grupo do Console de gerenciamento Microsoft:
    - Op��es de configura��es de seguran�a de configura��o de computador
    - Enviar senha n�o criptografada para conectar-se a servidores SMB de terceiros (Essa configura��o � para Windows 2000).
    - Cliente de rede Microsoft: enviar senha n�o criptografada para servidores SMB de terceiros (Essa configura��o � para Windows Server 2003).
    Observa��o Em alguns servidores CIFS de terceiros, como vers�es Samba mais antigas, voc� n�o pode usar senhas criptografadas.
  - Os seguintes clientes s�o incompat�veis com o servidor de rede Microsoft: assinar digitalmente a comunica��o (sempre) defini��o:
    - Apple Computer, Inc., Mac OS X clientes
    - Microsoft MS-DOS (por exemplo, de clientes de rede Microsoft LAN Manager)
    - Microsoft Windows para Workgroups clientes
    - Clientes Microsoft Windows 95 sem o DS Cliente instalado
    - Computadores com o Windows NT 4.0 Microsoft sem o SP3 ou posterior instalado
    - Clientes Novell Netware 6 CIFS
    - Clientes SAMBA SMB que n�o possuem suporte para SMB assinatura
8. Requisitos de reinicializa��o
  
  Reinicie o computador ou reinicie o servi�o do servidor. Para fazer isso, digite os seguintes comandos no prompt de comando. Pressione ENTER ap�s digitar cada comando.
  NET stop servidor
  NET start server
Acesso � rede: permitir convers�o de SID/nome an�nimo
1. Plano de fundo
  
  A acesso � rede: permitir convers�o de SID/nome an�nimo configura��o de seguran�a determina se um usu�rio an�nimo pode solicitar Atributos de n�mero de identifica��o (SID) de seguran�a de outro usu�rio.
2. Configura��o de risco
  
  Ativando a acesso � rede: permitir convers�o de SID/nome an�nimo configura��o � uma configura��o prejudicial.
3. Raz�es para habilitar esta configura��o
  
  Se a acesso � rede: permitir convers�o de SID/nome an�nimo configura��o � desabilitados, anteriores sistemas operacionais ou aplicativos n�o poder� se comunicar com dom�nios do Windows Server 2003. Por exemplo, os seguintes sistemas operacionais, servi�os ou aplicativos podem n�o funcionar:
  - Servi�o de acesso remoto baseado no 4.0 Windows NT servidores
  - Microsoft SQL Server em execu��o no Windows NT 3. x ou em computadores com Windows NT 4.0
  - Servi�o de acesso remoto que esteja executando o Windows computadores baseados em 2000 que est�o localizados em dom�nios do Windows NT 3. x ou no Windows Dom�nios do NT 4.0
  - SQL Server que est� sendo executado com o Windows 2000 computadores que est�o localizados em dom�nios do Windows NT 3. x ou 4.0 Windows NT dom�nios
  - Usu�rios no dom�nio de recursos Windows NT 4.0 que desejam conceder permiss�es para acessar arquivos, pastas compartilhadas e objetos do registro de usu�rio contas de dom�nios de conta que cont�m um dom�nio do Windows Server 2003 controladores
4. Raz�es para habilitar esta configura��o
  
  Se essa configura��o estiver habilitada, um usu�rio mal-intencionado poderia usar o SID conhecido de administradores para obter o nome real do interno Conta de administrador, mesmo se a conta foi renomeada. Essa pessoa poderia use o nome da conta para iniciar um ataque de adivinha��o de senha.
5. Nome simb�lico: N / A
6. Caminho do registro: Nenhum. O caminho � especificado no c�digo de interface do usu�rio.
7. Exemplos de problemas de compatibilidade
  
  Windows NT 4.0: Computadores em dom�nios de recurso Windows NT 4.0 exibir�o a Mensagem de erro "Conta desconhecida" no Editor ACL se recursos, incluindo compartilhados pastas, arquivos compartilhados e objetos do registro, s�o protegidos com seguran�a objetos que residem em dom�nios de conta que cont�m o Windows Server 2003 controladores de dom�nio.
Acesso � rede: n�o permitir enumera��o an�nima de contas
1. Plano de fundo
  - A acesso � rede: n�o permitir enumera��o an�nima de contas determina quais permiss�es adicionais ser�o concedidas para conex�es an�nimas ao computador. O Windows permite que usu�rios an�nimos executem determinadas atividades, como enumera��o de nomes de contas de gerente de contas de seguran�a (SAM) de workstation e servidor e compartilhamentos de rede. Por exemplo, um administrador pode usar isso para conceder acesso a usu�rios em um dom�nio confi�vel que n�o mant�m uma rela��o de confian�a rec�proca. Depois que uma sess�o � estabelecida, um usu�rio an�nimo pode ter o mesmo acesso que � concedido a todos grupo com base na configura��o na acesso � rede: Let Everyone permissions apply to anonymous users configura��o ou a lista de controle de acesso discricional (DACL) do objeto.
    
    Geralmente, conex�es an�nimas s�o solicitadas por vers�es anteriores de clientes (clientes de n�vel inferior) durante a instala��o da sess�o SMB. Nesses casos, um rastreamento de rede mostra que a ID de processo SMB (PID) � que o redirecionador cliente, como 0xFEFF no Windows 2000 ou 0xCAFE no Windows NT. RPC tamb�m pode tentar fazer conex�es an�nimas.
  - ImportanteEssa configura��o n�o tem impacto no dom�nio controladores. Em controladores de dom�nio, esse comportamento � controlado pela presen�a de "NT AUTHORITY\ANONYMOUS LOGON" em "Acesso compat�vel anterior ao Windows 2000".
  - No Windows 2000, uma configura��o semelhante, Restri��es adicionais para conex�es an�nimas, gerencia o
    RestrictAnonymous
    valor do registro. O o local desse valor �:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
    Para obter mais informa��es sobre o valor do Registro RestrictAnonymous, clique nos n�meros abaixo para ler os artigos na Base de dados de Conhecimento da Microsoft:
    246261� (http://support.microsoft.com/kb/246261/ ) Como usar o valor do Registro RestrictAnonymous no Windows 2000
    143474� (http://support.microsoft.com/kb/143474/ ) Restringindo informa��es dispon�veis para usu�rios de logon an�nimo
2. Configura��es de risco:
  
  Ativando a acesso � rede: n�o permitir enumera��o an�nima de contas configura��o � uma configura��o prejudicial de uma compatibilidade perspectiva; desabilit�-la � uma configura��o prejudicial de uma seguran�a perspectiva.
3. Raz�es para habilitar esta configura��o
  
  Um usu�rio n�o autorizado poderia listar anonimamente conta os nomes e, em seguida, use as informa��es para tentar adivinhar senhas ou executar ataques de engenharia social . Engenharia social � um jarg�o que significa enganar as pessoas revelarem seus senhas ou algum tipo de informa��es de seguran�a.
4. Raz�es para habilitar esta configura��o
  
  Se essa configura��o estiver habilitada, � imposs�vel estabelece rela��es de confian�a com dom�nios Windows NT 4.0. Esta configura��o tamb�m causar� problemas com clientes de n�vel inferior, como Windows NT 3.51 e clientes Windows 95 clientes que est�o tentando usar recursos no servidor.
5. Nome simb�lico:RestrictAnonymousSAM
6. Caminho do registro:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM (Reg_DWORD)
7. Exemplos de problemas de compatibilidade
- SMS Network Discovery n�o poder� obter informa��es do sistema de operacional e gravar� "Desconhecido" Propriedade OperatingSystemNameandVersion.
- Windows 95, Windows 98: Clientes Windows 95 e Windows 98 n�o ser� capaz de Altere suas senhas.
- Windows NT 4.0: Windows NT computadores membro baseados no 4.0 n�o poder�o ser autenticado.
- Windows 95, Windows 98: Computadores baseados no Windows 95 e Windows 98 n�o ser�o capazes de ser autenticados por controladores de dom�nio do Microsoft.
- Windows 95, Windows 98: Os usu�rios de computadores baseados no Windows 98 e Windows 95 n�o ir� ser capaz de alterar as senhas de suas contas de usu�rio.
Acesso � rede: n�o permitir enumera��o an�nima de contas e compartilhamentos
1. Plano de fundo
  - A acesso � rede: n�o permitir enumera��o an�nima de contas e compartilhamentos (tamb�m conhecida como RestrictAnonymous) determina se an�nimo enumera��o de contas de seguran�a Compartilhamentos e contas manager (SAM) � permitido. O Windows permite que usu�rios an�nimos realizar determinadas atividades, como enumera��o de nomes de contas de dom�nio (usu�rios, computadores e grupos) e compartilhamentos de rede. Isso � conveniente para exemplo, quando um administrador deseja conceder acesso a usu�rios em um confi�vel dom�nio que n�o mant�m uma rela��o de confian�a rec�proca. Se voc� n�o deseja permitir enumera��o an�nima de contas SAM e compartilhamentos, habilite essa configura��o.
  - No Windows 2000, uma configura��o semelhante, Restri��es adicionais para conex�es an�nimas, gerencia o
    RestrictAnonymous
    valor do registro. O o local desse valor �:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
2. Configura��o de risco
  
  Ativando a acesso � rede: n�o permitir enumera��o an�nima de contas e compartilhamentos configura��o � uma configura��o prejudicial.
3. Raz�es para habilitar esta configura��o
  - Ativando a acesso � rede: n�o permitir enumera��o an�nima de contas e compartilhamentos configura��o impede a enumera��o de compartilhamentos, usu�rios e contas SAM e computadores usando contas an�nimas.
4. Raz�es para habilitar esta configura��o
  - Se essa configura��o estiver habilitada, um usu�rio n�o autorizado poderia listar nomes de conta anonimamente e usar as informa��es para tentar adivinhar senhas ou executar ataques de engenharia social . Engenharia social � um jarg�o que significa enganar as pessoas revelarem seus senha ou alguma forma de informa��es de seguran�a.
  - Se essa configura��o estiver habilitada, ser� imposs�vel estabelecer rela��es de confian�a com dom�nios Windows NT 4.0. Esta configura��o tamb�m causar� problemas com clientes de n�vel inferior, como clientes Windows NT 3.51 e Windows 95 que est� tentando usar recursos no servidor.
  - Ser� imposs�vel conceder acesso a usu�rios de dom�nios de recurso porque os administradores do dom�nio confiante n�o ser� poss�vel Enumerar listas de contas no outro dom�nio. Os usu�rios que acessam os arquivos e servidores de impress�o anonimamente n�o poder�o listar os recursos de rede compartilhada nesses servidores; os usu�rios devem autenticar antes que possam exibir as listas de impressoras e pastas compartilhadas.
5. Nome simb�lico:
  
  RestrictAnonymous
6. Caminho do registro:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous
7. Exemplos de problemas de compatibilidade
  - Windows NT 4.0: Os usu�rios n�o poder�o alterar suas senhas de Windows NT 4.0 workstations quando RestrictAnonymous est� ativada em controladores de dom�nio no dom�nio de usu�rios. Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    198941� (http://support.microsoft.com/kb/198941/ ) Os usu�rios n�o � poss�vel alterar a senha ao fazer logon
  - Windows NT 4.0: Adicionando usu�rios ou grupos globais de dom�nios confi�veis do Windows 2000 4.0 Windows NT grupos locais no Gerenciador de usu�rios falhar� com a seguinte mensagem de erro:
    No momento, n�o h� nenhum servidor de logon dispon�vel para atender � solicita��o de logon.
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    296405� (http://support.microsoft.com/kb/296405/ ) Valor do Registro "RestrictAnonymous" pode quebrar a rela��o de confian�a para um dom�nio do Windows 2000
  - Windows NT 4.0: Windows NT computadores com 4.0 n�o poder� ingressar em dom�nios durante a instala��o ou usando a interface de usu�rio de associa��o de dom�nio.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    184538� (http://support.microsoft.com/kb/184538/ ) Mensagem de erro: n�o foi poss�vel localizar um controlador de dom�nio
  - Windows NT 4.0: Windows NT 4.0: Estabelecendo uma rela��o de confian�a de n�vel inferior com Windows NT dom�nios de recurso 4.0 falhar� com a seguinte mensagem de erro quando RestrictAnonymous est� habilitada no dom�nio confi�vel:
    N�o foi poss�vel Localize o controlador de dom�nio para este dom�nio.
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    178640� (http://support.microsoft.com/kb/178640/ ) N�o foi poss�vel localizar o controlador de dom�nio ao estabelecer uma rela��o de confian�a
  - Windows NT 4.0: Usu�rios que fizerem logon no servidor de Terminal baseado no Windows NT 4.0 computadores ser�o mapeado para o diret�rio base padr�o em vez do diret�rio base que � definido no Gerenciador de usu�rios para dom�nios.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    236185� (http://support.microsoft.com/kb/236185/ ) Caminhos de pasta base e perfis de usu�rio do Terminal Server s�o ignorados ap�s a aplica��o do SP4 ou posterior
  - Windows NT 4.0: 4.0 Windows NT backup domain controllers (BDCs) n�o ser� poss�vel para iniciar o servi�o de Logon de rede para obter uma lista de localizadores de backup ou para sincronizar o banco de dados SAM do Windows 2000 ou do Windows Server 2003 controladores de dom�nio no mesmo dom�nio.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    293127� (http://support.microsoft.com/kb/293127/ ) O servi�o Net Logon de um BDC do 4.0 Windows NT n�o funciona em um dom�nio do Windows 2000
  - Windows 2000: Computadores membro baseados no Windows 2000 em dom�nios do Windows NT 4.0 n�o ser� poss�vel visualizar impressoras em dom�nios externos se a Nenhum acesso sem permiss�es an�nimas expl�citas estiver habilitada na diretiva de seguran�a local do cliente computador.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    280329� (http://support.microsoft.com/kb/280329/ ) Usu�rio n�o � poss�vel gerenciar ou exibir as propriedades da impressora
  - Windows 2000: Usu�rios de dom�nio do Windows 2000 n�o poder�o adicionar rede impressoras do Active Directory; No entanto, eles poder�o adicionar impressoras Depois de selecion�-las da exibi��o em �rvore.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    318866� (http://support.microsoft.com/kb/318866/ ) Clientes Outlook n�o podem exibir a lista de endere�os global ap�s a instala��o do Security Rollup Package 1 (SRP1) no servidor de cat�logo global
  - Windows 2000: Em computadores baseados no Windows 2000, no Editor de ACL n�o ser� capaz de Adicione usu�rios ou grupos globais de dom�nios confi�veis de Windows NT 4.0.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    296403� (http://support.microsoft.com/kb/296403/ ) O valor RestrictAnonymous interrompe a rela��o de confian�a em um ambiente de dom�nio misto
  - O ADMT vers�o 2: Migra��o de senha para contas de usu�rio migradas entre florestas com Active Directory migra��o ferramenta (ADMT) vers�o 2 ser� falhe.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    322981� (http://support.microsoft.com/kb/322981/ ) Como solucionar problemas de migra��o de senha ADMTv2
  - Clientes outlook: Lista de endere�os global aparecer� vazia para Microsoft Exchange Clientes do Outlook.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    318866� (http://support.microsoft.com/kb/318866/ ) Clientes Outlook n�o podem exibir a lista de endere�os global ap�s a instala��o do Security Rollup Package 1 (SR) no servidor de cat�logo global
    321169� (http://support.microsoft.com/kb/321169/ ) Desempenho lento de SMB ao copiar arquivos do Windows XP para um controlador de dom�nio do Windows 2000
  - SMS: Descoberta de rede do Microsoft Systems Management Server (SMS) ser� n�o ser capaz de obter as informa��es do sistema operacional. Portanto, ser� escrever "Desconhecido" na propriedade OperatingSystemNameandVersion da SMS DDR propriedade do registro de dados de descoberta (DDR).
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    229769� (http://support.microsoft.com/kb/229769/ ) Como o Discovery Data Manager determina quando gerar uma solicita��o de configura��o do cliente
  - SMS: Quando voc� usa o Assistente de usu�rio administrador SMS para procurar usu�rios e grupos, nenhum usu�rio ou grupo ser� listado. Al�m disso, os clientes avan�ados n�o podem se comunicar com o ponto de gerenciamento. � necess�rio o acesso an�nimo no ponto de gerenciamento.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    302413� (http://support.microsoft.com/kb/302413/ ) N�o h� usu�rios ou grupos listados no Assistente de usu�rio administrador
  - SMS: Quando voc� estiver usando o recurso de descoberta de rede no SMS 2.0 e na instala��o de cliente remoto com a op��o de descoberta de rede topologia, cliente e sistemas operacionais cliente ativada, os computadores podem ser descobertos mas n�o pode ser instalado.
    
    Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
    311257� (http://support.microsoft.com/kb/311257/ ) Recursos n�o ser�o descobertos se conex�es an�nimas estiverem desativadas

Seguran�a de rede: n�vel de autentica��o Lan Manager

Plano de fundo

Autentica��o do LAN Manager (LM) � o protocolo usado para autenticar clientes Windows para opera��es de rede, incluindo o dom�nio associa��es, acesso a recursos de rede e autentica��o do usu�rio ou computador. O LM n�vel de autentica��o determina qual autentica��o desafio/resposta protocolo � negociado entre o cliente e os computadores servidor. Especificamente, o n�vel de autentica��o do LM determina qual autentica��o protocolos que o cliente tentar� negociar ou o servidor aceitar�. O valor � definido para LmCompatibilityLevel determina qual protocolo de autentica��o de desafio/resposta � usado para logons de rede. Esse valor afeta o n�vel de protocolo de autentica��o que os clientes usam o n�vel de seguran�a de sess�o negociado e o n�vel de autentica��o aceito por servidores, de acordo com a tabela a seguir.

Configura��es poss�veis incluem o seguinte.

Recolher esta tabelaExpandir esta tabela

Valor	Configura��o	Descri��o
0	Enviar respostas LM e NTLM &	Os clientes usam autentica��o LM e NTLM e nunca usam NTLMv2 seguran�a de sess�o; controladores de dom�nio aceitam LM, NTLM e NTLMv2 autentica��o.
1	Enviar LM & NTLM - usar seguran�a de sess�o NTLMv2 se negociado	Os clientes usam autentica��o LM e NTLM e usam NTLMv2 seguran�a de sess�o se o servidor suportar; controladores de dom�nio aceitam LM, NTLM e NTLMv2 autentica��o.
2	Enviar somente resposta NTLM	Os clientes usam somente autentica��o NTLM e NTLMv2 sess�o seguran�a se o servidor suportar; controladores de dom�nio aceitam LM, NTLM, e Autentica��o NTLMv2.
3	Enviar somente resposta NTLMv2	Os clientes usam somente autentica��o NTLMv2 e usam sess�o NTLMv2 seguran�a se o servidor suportar; controladores de dom�nio aceitam LM, NTLM, e Autentica��o NTLMv2.
4	Enviar somente resposta NTLMv2 / recusar LM	Os clientes usam somente autentica��o NTLMv2 e usam sess�o NTLMv2 Se o servidor oferece suporte a seguran�a. Controladores de dom�nio recusam LM e aceitam somente autentica��o NTLM e NTLMv2).
5	Enviar somente resposta NTLMv2 / recusar LM e NTLM &	Os clientes usam somente autentica��o NTLMv2 e usam sess�o NTLMv2 seguran�a se o servidor suportar; controladores de dom�nio recusam LM e NTLM (eles aceite somente autentica��o NTLMv2).

Observa��o No Windows 95, Windows 98 e Windows 98 Segunda edi��o, o Directory Services Client usa a assinatura SMB ao autenticar com servidores Windows Server 2003 usando a autentica��o NTLM. No entanto, estes clientes n�o usam a assinatura SMB quando autenticam com estes servidores usando a autentica��o NTLMv2. Al�m disso, servidores Windows 2000 n�o respondem a solicita��es desses clientes assinatura SMB.

Verifique o n�vel de autentica��o LM Deve alterar a diretiva no servidor para permitir NTLM ou configurar o computador cliente para oferecer suporte a NTLMv2.

Se a diretiva estiver definida para (5) enviar somente resposta NTLMv2\recusar LM & NTLM no computador de destino que voc� deseja se conectar, voc� deve diminuir a configura��o nesse computador ou definir a seguran�a para a mesma configura��o no computador de origem que voc� est� se conectando.

Encontre o local correto onde voc� pode alterar o LAN manager n�vel de autentica��o para definir o cliente e o servidor no mesmo n�vel. Ap�s localizar a diretiva que est� configurando o LAN manager n�vel de autentica��o, se voc� deseja se conectar e para computadores que estejam executando vers�es anteriores do Windows, reduza o valor para pelo menos (1) Enviar LM & NTLM - use NTLM vers�o 2 seguran�a de sess�o se estiver negociada. Um efeito configura��es incompat�veis � que, se o servidor exigir NTLMv2 (valor 5), mas o cliente est� configurado para usar o LM e NTLMv1 �nico (valor 0), o usu�rio que tenta a autentica��o enfrenta uma falha de logon que tenha uma senha incorreta e que incrementa a contagem de senha incorreta. Se o limite de bloqueio de conta estiver configurado, o usu�rio eventualmente pode ser bloqueado.

Por exemplo, talvez voc� precise verificar o controlador de dom�nio, ou talvez voc� precise examinar as diretivas do controlador de dom�nio.

Verificar o controlador de dom�nio
Observa��o Talvez voc� precise repetir o procedimento a seguir em todos os controladores de dom�nio.

Clique em In�cio, aponte para Programase clique em Ferramentas administrativas.
Em Configura��es de seguran�a local, expanda Diretivas locais.
Clique em Op��es de seguran�a.
Clique duas vezes Seguran�a de rede: N�vel LAN manager authenticatione clique em um valor apropriado na lista.

Se a configura��o efetiva e a configura��o Local forem iguais, a diretiva foi alterada neste n�vel. Se as configura��es forem diferentes, voc� deve verificar a diretiva do controlador de dom�nio para descobrir se o seguran�a de rede: n�vel de autentica��o LAN manager est� definida. Se ele n�o estiver definido, examine as diretivas do controlador de dom�nio.

Examine as diretivas do controlador de dom�nio

Clique em In�cio, aponte para Programase clique em Ferramentas administrativas.
No Seguran�a de controlador de dom�nio diretiva de, expanda Configura��es de seguran�ae, em seguida, expanda Diretivas locais.
Clique em Op��es de seguran�a.
Clique duas vezes em seguran�a de rede: n�vel de autentica��o LAN managere clique em um valor apropriado na lista.

Observa��o

Talvez voc� precise verificar as diretivas que est�o vinculadas em n�vel de site, no n�vel do dom�nio ou unidade organizacional n�vel (UO) para determinar onde voc� deve configurar o n�vel de autentica��o LAN manager.
Se voc� implementar uma configura��o de diretiva de grupo como a diretiva de dom�nio padr�o, a diretiva � aplicada a todos os computadores no dom�nio.
Se voc� implementar uma configura��o de diretiva de grupo como a diretiva do controlador de dom�nio padr�o, a diretiva se aplica somente aos servidores na unidade Organizacional do controlador de dom�nio.
� uma boa id�ia definir o n�vel de autentica��o do LAN manager na menor entidade de escopo necess�rio na hierarquia de aplica��o de diretiva.

Atualize a diretiva ap�s fazer altera��es. (Se a altera��o no n�vel de configura��es de seguran�a local, a altera��o � imediata. No entanto, voc� deve reiniciar os clientes antes de testar.)

Por padr�o, as configura��es de diretiva de grupo s�o atualizadas nos controladores de dom�nio a cada cinco minutos. Para for�ar imediatamente a atualiza��o das configura��es de diretiva no Windows 2000 ou posterior, use o comando gpupdate .

O comando gpupdate /force atualiza configura��es de diretiva de grupo locais e configura��es de diretiva de grupo baseadas no servi�o de diret�rio do Active Directory, incluindo as configura��es de seguran�a. Este comando substitui a op��o agora obsoleta /refreshpolicy do comando secedit .

O comando gpupdate usa a seguinte sintaxe:
gpupdate [/target: {computador|usu�rio}] [/force] [/wait:valor] [/logoff] [/boot]

Aplica o novo objeto de diretiva de grupo (GPO) usando o comando gpupdate para reaplicar manualmente todas as configura��es de diretiva. Para fazer isso, digite o seguinte no prompt de comando e pressione ENTER:

GPUpdate /Force

Examine o log de eventos do aplicativo para verificar se a configura��o de diretiva foi aplicada com �xito.

No Windows XP e Windows Server 2003, voc� pode usar o snap-in conjunto de diretivas resultante para ver a configura��o efetiva. Para fazer isso, clique em In�cio, clique em Executar, tipo RSoP. msce clique em OK.

Se o problema persistir ap�s a altera��o � diretiva, reinicie o servidor baseado no Windows e verifique se o problema foi resolvido.

Observa��o Se voc� tiver v�rios controladores de dom�nio baseados no Windows 2000, os controladores de dom�nio baseado no Windows Server 2003 ou ambos, talvez voc� precise duplicar o Active Directory para certificar-se de que esses controladores de dom�nio possuem as altera��es atualizadas imediatamente.

Como alternativa, pode aparecer a configura��o a ser definida para a menor configura��o na diretiva de seguran�a local. Se pode aplicar a configura��o por meio de um banco de dados de seguran�a, como alternativa voc� pode definir o n�vel de autentica��o LAN manager no registro, editando a entrada LmCompatibilityLevel na seguinte subchave do registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Windows Server 2003 tem uma nova configura��o padr�o para usar apenas NTLMv2. Por padr�o, Windows Server 2003 e controladores de dom�nio baseados no Windows 2000 Server SP3 permitiram o "servidor de rede Microsoft: assinar digitalmente a comunica��o (sempre)" pol�tica. Esta configura��o requer que o servidor SMB assine pacotes SMB. Foram feitas altera��es para o Windows Server 2003 porque controladores de dom�nio, servidores de arquivos, servidores de infra-estrutura de rede e servidores Web em qualquer organiza��o requerem diferentes configura��es maximizar sua seguran�a.

Se voc� deseja implementar a autentica��o NTLMv2 em sua rede, verifique se todos os computadores no dom�nio s�o definidos para usar esse n�vel de autentica��o. Se voc� aplicar o Active Directory Client Extensions para Windows 95 ou Windows 98 e Windows NT 4.0, as extens�es de cliente usam os recursos de autentica��o aprimorada dispon�veis no NTLMv2. Porque os computadores cliente que est�o executando qualquer um dos seguintes sistemas operacionais n�o s�o afetados por objetos de diretiva de grupo do Windows 2000, voc� deve configurar estes clientes manualmente:

Microsoft Windows NT 4.0
Microsoft Windows Millennium Edition
Microsoft Windows 98
Microsoft Windows 95

Observa��o Se voc� habilitar o Seguran�a de rede: n�o armazenar o valor de hash do LAN manager na pr�xima altera��o de senha pol�tica ou conjunto de NoLMHash chave de registro, clientes baseados no Windows 95 e Windows 98 que n�o tenham o Directory Services Client instalado n�o pode efetuar logon no dom�nio ap�s uma altera��o de senha.

Muitos servidores CIFS de terceiros, como o Novell Netware 6, n�o ainda conhecem NTLMv2 e usam somente NTLM. Portanto, n�veis maiores do que 2 n�o permitem conectividade.

Para obter mais informa��es sobre como configurar manualmente o n�vel de autentica��o LAN manager, clique nos n�meros abaixo para ler os artigos na Base de dados de Conhecimento da Microsoft:

147706� (http://support.microsoft.com/kb/147706/ ) Como desabilitar a autentica��o LM no Windows NT

175641� (http://support.microsoft.com/kb/175641/ ) LMCompatibilityLevel e seus efeitos

299656� (http://support.microsoft.com/kb/299656/ ) Como impedir que o Windows armazene um hash do LAN manager da sua senha no Active Directory e bancos de dados SAM locais

312630� (http://support.microsoft.com/kb/312630/ ) O Outlook continua a solicitar credenciais de logon

Para obter mais informa��es sobre n�veis de autentica��o LM, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:

239869� (http://support.microsoft.com/kb/239869/ ) Como habilitar a autentica��o NTLM 2

Configura��es de risco

Estas s�o as defini��es de configura��o prejudiciais:
- Configura��es n�o restritivas que enviam senhas em texto puro e que recusam negocia��o NTLMv2
- Configura��es restritivas que impedem que incompat�vel clientes ou controladores de dom�nio de negociar um protocolo de autentica��o comum
- Exigir autentica��o NTLMv2 em computadores membro e s�o controladores de dom�nio que est�o executando vers�es do Windows NT 4.0 anteriores ao Service Pack 4 (SP4)
- Exigir autentica��o NTLMv2 no Windows 95 clientes ou clientes Windows 98 que n�o tenham o diret�rio do Windows Cliente de servi�os instalado.
- Se voc� clicar para selecionar o Exigir seguran�a de sess�o NTLMv2 caixa de sele��o no Editor de diretiva do grupo do Microsoft Management Console snap-in no Windows Server 2003 ou baseado no Windows 2000 Service Pack 3 computador e voc� diminuir o n�vel de autentica��o LAN manager para 0, as duas configura��es em conflito e voc� poder� receber a seguinte mensagem de erro no arquivo secpol. msc ou no arquivo gpedit. msc:
  O Windows n�o pode abrir o banco de dados de diretiva local. Ocorreu um erro desconhecido ao tentar abrir o banco de dados.
  Para obter mais informa��es sobre a ferramenta de an�lise e configura��o de seguran�a, consulte o Windows 2000 ou os arquivos de Ajuda do Windows Server 2003.
  
  Para obter mais informa��es sobre como analisar os n�veis de seguran�a no Windows 2000 e no Windows Server 2003, clique nos n�meros abaixo para ler os artigos na Base de dados de Conhecimento da Microsoft:
  313203� (http://support.microsoft.com/kb/313203/ ) Como analisar a seguran�a do sistema no Windows 2000
  816580� (http://support.microsoft.com/kb/816580/ ) Como analisar a seguran�a do sistema no Windows Server 2003
Raz�es para modificar esta configura��o
- Voc� quer aumentar comum menor protocolo de autentica��o suportado por clientes e controladores de dom�nio sua organiza��o.
- Onde a autentica��o segura � uma empresa requisito, voc� deseja impedir a negocia��o de LM e de NTLM protocolos.
Raz�es para habilitar esta configura��o

Requisitos de autentica��o do servidor ou cliente ou ambas, foi aumentado para o ponto onde a autentica��o atrav�s de um protocolo comum n�o pode ocorrer.
Nome simb�lico:

LmCompatibilityLevel
Caminho do registro:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
Exemplos de problemas de compatibilidade
- Windows Server 2003:Por padr�o, as respostas enviar NTLM do Windows Server 2003 NTLMv2 configura��o est� ativada. Portanto, o Windows Server 2003 recebe a mensagem de erro "Acesso negado" ap�s a instala��o inicial quando voc� tenta se conectar a um cluster de Windows NT 4.0 ou servidores baseados em LanManager v 2.1, como o OS/2 Lanserver. Esse problema tamb�m ocorre se voc� tentar se conectar de um cliente de vers�o anterior para um servidor baseado no Windows Server 2003.
- Instalar o Windows 2000 Security Rollup Package 1 (SRP1).SRP1 for�a NTLM vers�o 2 (NTLMv2). Esse pacote cumulativo de atualiza��es foi lan�ado ap�s o lan�amento do Windows 2000 Service Pack 2 (SP2). Para obter mais informa��es sobre o SRP1, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
  
  311401 � (http://support.microsoft.com/kb/311401/ ) Windows 2000 Security Rollup Package 1, janeiro de 2002
- Windows 7 e Windows Server 2008 R2: muitos servidores CIFS de terceiros, como servidores Novell Netware 6 ou Samba baseado em Linux, n�o conhecem NTLMv2 e usam somente NTLM. Portanto, n�veis maiores do que "2" n�o permitem conectividade. Agora nesta vers�o do sistema operacional, o padr�o para LmCompatibilityLevel foi alterado para "3". Assim, quando voc� atualizar o Windows, esses filers festa 3� podem parar de funcionar.
- Clientes Microsoft Outlook podem ser solicitados para credenciais, mesmo que j� estiverem conectados ao dom�nio. Quando os usu�rios fornecem suas credenciais, eles recebem o seguinte erro mensagem: Windows 7 e a janela Server 2008 R2
  As credenciais de logon fornecidas estavam incorretas. Verifique se seu nome de usu�rio e dom�nio est�o corretos e digite sua senha novamente.
  Quando voc� inicia o Outlook, voc� pode ser solicitado suas credenciais mesmo se a configura��o de seguran�a de rede de Logon estiver definida como passagem ou autentica��o de senha. Ap�s digitar suas credenciais corretas, a seguinte mensagem de erro � exibida:
  As credenciais de logon fornecidas estavam incorretas.
  Um rastreamento do Monitor de rede pode mostrar que o cat�logo global emitiu uma falha de remote procedure call (RPC) com um status de 0x5. Um status de 0x5 significa "Acesso negado".
- Windows 2000:Uma captura do Monitor de rede pode mostrar os seguintes erros de NetBIOS atrav�s de sess�o de bloco (SMB) de mensagem do servidor TCP/IP (NetBT):
  Erro SMB R Search Directory Dos, identificador de usu�rio inv�lido (91) (5) ACCESS_DENIED (109) STATUS_LOGON_FAILURE
- Windows 2000: Se um dom�nio do Windows 2000 com NTLMv2 n�vel 2 ou posterior for confi�vel por um dom�nio Windows NT 4.0, o recurso computadores membro baseados no Windows 2000 dom�nio pode enfrentar erros de autentica��o.
  
  Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
  305379� (http://support.microsoft.com/kb/305379/ ) Problemas de autentica��o no Windows 2000 com n�veis NTLM 2 acima de 2 em um dom�nio Windows NT 4.0
- Windows 2000 e Windows XP: Por padr�o, o Windows 2000 e Windows XP definem a op��o de diretiva de seguran�a Local LAN Manager autentica��o n�vel 0. Uma configura��o 0 significa "Enviar LM e NTLM respostas."
  
  Observa��o Windows NT clusters de 4.0 deve usar LM para administra��o.
- Windows 2000: Cluster do Windows 2000 n�o autentica um n� de associa��o se ambos os n�s fazem parte de um Windows NT 4.0 Service Pack 6a (SP6a) dom�nio.
  
  Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
  305379� (http://support.microsoft.com/kb/305379/ ) Problemas de autentica��o no Windows 2000 com n�veis NTLM 2 acima de 2 em um dom�nio Windows NT 4.0
- A ferramenta de bloqueio do IIS (HiSecWeb) define o valor LMCompatibilityLevel como 5 e o valor RestrictAnonymous como 2.
- Servi�os para Macintosh
  
  M�dulo de autentica��o de usu�rio (UAM): O Microsoft UAM (m�dulo de autentica��o de usu�rio) fornece um m�todo para criptografar senhas que voc� usa para fazer logon servidores Windows AFP (AppleTalk Filing Protocol). Fornece de m�dulo de autentica��o de usu�rio (UAM) Apple apenas m�nimo ou sem criptografia. Portanto, sua senha poderia ser facilmente interceptada na LAN ou na Internet. Embora o UAM n�o seja obrigat�rio, ele fornece autentica��o criptografada para servidores Windows 2000 que executam servi�os para Macintosh. Esta vers�o inclui suporte para autentica��o criptografada NTLMv2 de 128 bits e uma vers�o do MacOS X 10.1 compat�vel.
  
  Por padr�o, os servi�os do Windows Server 2003 para Macintosh permite somente autentica��o Microsoft.
  
  Para obter mais informa��es, clique nos n�meros abaixo para ler os artigos na Base de dados de Conhecimento da Microsoft:
  834498� (http://support.microsoft.com/kb/834498/ ) Cliente Macintosh n�o pode se conectar a servi�os para Mac no Windows Server 2003
  838331� (http://support.microsoft.com/kb/838331/ ) Usu�rios do Mac OS X n�o podem abrir pastas de Macintosh compartilhada em um servidor baseado no Windows Server 2003
- Windows Server 2008, Windows Server 2003, Windows XP e Windows 2000: Se voc� configurar o valor LMCompatibilityLevel como 0 ou 1 e depois configurar o valor NoLMHash como 1, aplicativos e componentes podem ser negadas pelo NTLM. Esse problema ocorre porque o computador est� configurado para habilitar LM mas n�o para usar senhas armazenadas de LM.
  
  Se voc� configurar o valor NoLMHash como 1, voc� deve configurar o valor LMCompatibilityLevel como 2 ou superior.

Seguran�a de rede: requisitos de assinatura de cliente LDAP
1. Plano de fundo
  
  O seguran�a de rede: requisitos de assinatura de cliente LDAP determina o n�vel de assinatura de dados que � solicitado em nome dos clientes que emitem LDAP Lightweight Directory Access Protocol () BIND solicita��es da seguinte maneira:
  - Nenhum: A solicita��o LDAP BIND � emitida com especificado do chamador op��es.
  - Negociar assinatura: se o Secure Sockets Layer/Transport Layer Security (SSL/TLS) n�o foi iniciado, a solicita��o BIND LDAP ser� iniciada com os dados LDAP op��o de assinatura definida al�m das op��es especificadas pelo chamador. Se tiver de SSL/TLS foi iniciado, a solicita��o BIND LDAP ser� iniciada com especificado do chamador op��es.
  - Requer assinatura: � o mesmo que Negociar assinatura. No entanto, se o servidor LDAP intermedi�rio saslBindInProgress resposta n�o indicar que a assinatura de tr�fego LDAP � necess�ria, o chamador � informado de que o pedido do comando LDAP BIND falhou.
2. Configura��o de risco
  
  Ativando o seguran�a de rede: requisitos de assinatura de cliente LDAP configura��o � uma configura��o prejudicial. Se voc� definir o servidor para requerer assinaturas LDAP, voc� tamb�m deve configurar a assinatura LDAP no cliente. N�o configurar o cliente para usar assinaturas LDAP impedir� a comunica��o com o servidor; Isso far� com que a autentica��o do usu�rio, configura��es de diretiva de grupo scripts de logon e outros recursos falhe.
3. Raz�es para modificar esta configura��o
  
  O tr�fego de rede n�o assinada � suscet�vel a ataques de intercepta��o de-onde um intruso captura pacotes entre o cliente e os servidores, modifica e as encaminha para o servidor. Quando isso ocorre em um servidor LDAP, um invasor pode causar um resposta do servidor com base em falsas consultas do cliente LDAP. Voc� pode reduzir este risco em uma empresa rede implementando medidas de alta seguran�a f�sica para ajudar a proteger o infra-estrutura de rede. Al�m disso, todos os tipos de ataques de intercepta��o podem ser feitos extremamente dif�cil por requerer assinaturas digitais em rede de todos os pacotes por meio de cabe�alhos de autentica��o IPSec.
4. Nome simb�lico:
  
  LDAPClientIntegrity
5. Caminho do registro:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LDAP\LDAPClientIntegrity
Log de eventos: Seguran�a tamanho m�ximo do log
1. Plano de fundo
  
  O Log de eventos: tamanho m�ximo do log de seguran�a configura��o de seguran�a especifica o tamanho m�ximo de eventos de seguran�a log. Esse log tem um tamanho m�ximo de 4 GB. Para localizar essa configura��o, expanda Configura��es do Windowse, em seguida, expanda Seguran�a Configura��es.
2. Configura��es de risco
  
  Estas s�o as defini��es de configura��o prejudiciais:
  - Restringir o tamanho do log de seguran�a e a seguran�a m�todo de reten��o de log quando o auditoria: desligar o sistema imediatamente se n�o for poss�vel registrar auditorias de seguran�a habilitada. Consulte a "auditoria: desligar o sistema imediatamente se n�o for poss�vel registrar auditorias de seguran�a" se��o deste artigo para obter mais detalhes.
  - Restringir o tamanho do log de seguran�a assim que a seguran�a eventos de interesse sejam substitu�dos.
3. Raz�es para aumentar esta configura��o
  
  Requisitos comerciais e de seguran�a podem exigir que voc� aumentar o tamanho do log de seguran�a para tratar de detalhes do log de seguran�a adicionais ou para reter logs de seguran�a para um per�odo de tempo maior.
4. Raz�es para diminuir esta configura��o
  
  Logs de Visualizar eventos s�o arquivos de mem�ria mapeada. O m�ximo tamanho de um log de eventos � restringido pela quantidade de mem�ria f�sica na computador local e pela mem�ria virtual que est� dispon�vel para o log de eventos processo. Aumentando o tamanho do log al�m da quantidade de mem�ria virtual dispon�vel em Visualizar eventos n�o aumenta o n�mero de entradas de log s�o mantida.
5. Exemplos de problemas de compatibilidade
  
  Windows 2000:S�o computadores que est�o executando vers�es do Windows 2000 anteriores ao Service Pack 4 (SP4) pode parar de registrar eventos no log de eventos antes de alcan�ar o tamanho que � especificado na configura��o tamanho m�ximo do log no Visualizador de eventos se a op��o n�o substituir eventos (Limpar log manualmente) estiver ativada.
  
  Para obter mais informa��es, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:
  312571� (http://support.microsoft.com/kb/312571/ ) O log de eventos p�ra de carregar eventos antes de atingir o tamanho m�ximo do log
Log de eventos: Reter o log de seguran�a
1. Plano de fundo
  
  O Log de eventos: Reter log de seguran�a configura��o de seguran�a determina o m�todo de "empacotamento" do log de seguran�a. Para localizar essa configura��o, expanda Configura��es do Windows, e expanda Configura��es de seguran�a.
2. Configura��es de risco
  
  Estas s�o as defini��es de configura��o prejudiciais:
  - Deixar de manter todos os eventos de seguran�a registrados antes de eles s�o substitu�dos
  - Configurando o tamanho m�ximo do log de seguran�a configura��o muito pequena para que os eventos de seguran�a s�o sobrescrito
  - Restringir o tamanho do log de seguran�a e reten��o m�todo enquanto o auditoria: desligar o sistema imediatamente se n�o for poss�vel registrar auditorias de seguran�a seguran�a habilitada
3. Raz�es para habilitar esta configura��o
  
  Ativar esta configura��o somente se voc� selecionar o Substituir eventos por dias m�todo de reten��o. Se voc� usar um sistema de correla��o de eventos que monitora eventos, certifique-se de que o n�mero de dias � pelo menos tr�s vezes a freq��ncia de pesquisa. Para fazer isso para permitir a pesquisa com falha ciclos.
Acesso � rede: deixar que todos as permiss�es aplicam a usu�rios an�nimos
1. Plano de fundo
  
  Por padr�o, o Network access: Let Everyone permissions apply to anonymous users for definida como N�o definido no Windows Server 2003. Por padr�o, o Windows Server 2003 n�o inclui o token acesso an�nimo em todos grupo.
2. Exemplo de problemas de compatibilidade
  
  O seguinte valor de
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
  [REG_DWORD] = 0x0 quebras confian�a cria��o entre o Windows Server 2003 e o Windows NT 4.0, quando o dom�nio do Windows Server 2003 � o dom�nio de conta e o Windows NT 4.0 � o dom�nio de recurso. Isso significa que o dom�nio de conta � confi�vel Windows NT 4.0 e o dom�nio de recurso � confiante no lado do Windows Server 2003. Esse comportamento ocorre porque seria o processo para iniciar a rela��o de confian�a ap�s a conex�o an�nima inicial a ACL com o token todos que inclui o SID an�nimo no Windows NT 4.0.
3. Raz�es para modificar esta configura��o
  
  O valor deve ser definido como 0x1 ou definido usando um GPO na UO do controlador de dom�nio a ser: Network access: Let Everyone permissions apply para usu�rios an�nimos - ativado para possibilitar as cria��es de confian�a.
  
  Observa��o Maioria das outras configura��es de seguran�a subir em valor, em vez de diminuir para 0x0 em seu estado mais seguro. Uma pr�tica mais segura seria alterar o registro no emulador do controlador do dom�nio prim�rio em vez de em todos os controladores de dom�nio. Se a fun��o de emulador do controlador de dom�nio prim�rio for movida por qualquer motivo, o registro deve ser atualizado no novo servidor.
  
  � necess�rio reiniciar ap�s esse valor � definido.
4. Caminho do registro
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous
Autentica��o NTLMv2

Seguran�a de sess�o

Seguran�a de sess�o determina os padr�es m�nimos de seguran�a para as sess�es de cliente e servidor. � uma boa id�ia verificar estas configura��es de diretiva de seguran�a no snap-in Editor de diretiva de grupo do Console de gerenciamento Microsoft:
- Computador Settings\Windows Settings\Security Settings\Local Policies\Security Options
- Seguran�a de rede: Seguran�a de sess�o m�nima para servidores baseados em NTLM SSP (incluindo RPC seguro)
- Seguran�a de rede: Seguran�a de sess�o m�nima para clientes baseados em NTLM SSP (incluindo RPC seguro)
As op��es para essas configura��es s�o:
- Requer integridade de mensagem
- Requer sigilo de mensagem
- Exigir NTLM vers�o 2 seguran�a de sess�o
- Exigir criptografia de 128 bits
A configura��o padr�o � sem requisitos.

Essas diretivas determinam os padr�es m�nimos de seguran�a para uma sess�o de comunica��es para cada aplicativo em um servidor de um cliente.

Historicamente, Windows NT tem suporte para as duas seguintes variantes da autentica��o desafio/resposta para logons de rede:
- Desafio/resposta LM
- NTLM vers�o 1 desafio/resposta
LM permite interoperabilidade com a base instalada de clientes e servidores. NTLM fornece seguran�a aprimorada para conex�es entre clientes e servidores.

As chaves de registro correspondentes s�o os seguintes:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\ "NtlmMinServerSec"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\ "NtlmMinClientSec"

Voltar para o in�cio

Sincroniza��o de tempo

Falha na sincroniza��o de tempo. O tempo est� desativado por mais de 30 minutos em um computador afetado. Certifique-se de que o rel�gio do computador cliente est� sincronizado com o rel�gio do controlador de dom�nio.

Voltar para o in�cio

Solu��o alternativa para assinatura SMB

Recomendamos que voc� instale o Service Pack 6a (SP6a) em clientes Windows NT 4.0 que interoperam em um dom�nio do Windows Server 2003. Clientes baseados no Windows 98 Second Edition, com Windows 98 e baseados em Windows 95 devem executar o Directory Services Client para efetuar a NTLMv2. Se clientes baseados em Windows NT 4.0 n�o tem Windows NT 4.0 SP6 instalado ou se o Windows 95, Windows 98 e Windows 98SE-clientes n�o possuem o Directory Services Client instalado, desabilite a assinatura SMB no diretiva do controlador de dom�nio padr�o no UO do controlador de dom�nio a configura��o e vincule esta diretiva a todas as unidades organizacionais que hospedam controladores de dom�nio.

O Directory Services Client para Windows 98 Segunda edi��o, Windows 98 e Windows 95 realizar� a assinatura SMB com servidores Windows 2003 com autentica��o NTLM, mas n�o sob autentica��o NTLMv2. Al�m disso, os servidores Windows 2000 n�o responder� a solicita��es de assinatura SMB desses clientes.

Embora a Microsoft n�o recomende isso, voc� pode impedir a assinatura SMB seja solicitada em todos os controladores de dom�nio que executam o Windows Server 2003 em um dom�nio. Para configurar essa configura��o de seguran�a, siga estas etapas:

Abra a diretiva do controlador de dom�nio padr�o.
Abra a pasta Computador Configuration\Windows Settings\Security Settings\Local Policies\Security Options .
Localize e clique na servidor de rede Microsoft: assinar digitalmente a comunica��o (sempre) configura��o de diretiva e clique em desativado.

Importante Esta se��o, m�todo ou tarefa cont�m etapas que informam sobre como modificar o registro. No entanto, s�rios problemas poder�o ocorrer se voc� modificar o registro incorretamente. Portanto, certifique-se de seguir estas etapas cuidadosamente. Para prote��o adicional, fazer backup do registro antes de modific�-lo. Em seguida, voc� pode restaurar o registro se ocorrer um problema. Para obter mais informa��es sobre como fazer backup e restaurar o registro, clique no n�mero abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:

322756� (http://support.microsoft.com/kb/322756/ ) Como fazer backup e restaurar o registro no Windows

Como alternativa, desative a assinatura SMB no servidor ao modificar o registro. Para fazer isso, siga estas etapas:

Clique em In�cio, clique em Executar, tipo Regedite clique em OK.
Localize e clique na seguinte subchave:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
Clique no EnableSecuritySignature entrada.
Sobre o Editar menu, clique em Modificar.
No Dados do valor caixa, digite 0e clique em OK.
Feche o Editor do registro.
Reinicie o computador ou parar e reiniciar o servi�o do servidor. Para fazer isso, digite os seguintes comandos no prompt de comando e pressione ENTER ap�s digitar cada comando:
NET stop servidor
NET start server

Observa��o A chave correspondente no computador cliente est� na seguinte subchave do registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Lanmanworkstation\Parameters

A seguir lista o traduzido os n�meros de c�digo de erro e c�digos de status de erro mensagem de texto que s�o mencionados anteriormente:

Erro 5
ERROR_ACCESS_DENIED
Acesso negado.

Erro 1326
ERROR_LOGON_FAILURE
Falha de logon: nome de usu�rio desconhecido ou senha incorreta.

Erro 1788
ERROR_TRUSTED_DOMAIN_FAILURE
Rela��o de confian�a entre o dom�nio prim�rio e o dom�nio confi�vel falhou.

Erro 1789
ERROR_TRUSTED_RELATIONSHIP_FAILURE
Rela��o de confian�a entre esta esta��o de trabalho e o dom�nio prim�rio falhou.

Para obter mais informa��es, clique nos n�meros abaixo para ler os artigos na Base de dados de Conhecimento da Microsoft:

324802� (http://support.microsoft.com/kb/324802/ ) Como configurar diretivas de grupo para definir seguran�a para servi�os do sistema no Windows Server 2003

306771� (http://support.microsoft.com/kb/306771/ ) Mensagem de erro "Acesso negado" depois de configurar um cluster do Windows Server 2003

101747� (http://support.microsoft.com/kb/101747/ ) Como instalar a autentica��o Microsoft em um Macintosh

161372 do KB� (http://support.microsoft.com/kb/161372/ ) Como habilitar a assinatura SMB no Windows NT

236414� (http://support.microsoft.com/kb/236414/ ) N�o � poss�vel usar compartilhamentos com o LMCompatibilityLevel definido somente autentica��o NTLM 2

241338� (http://support.microsoft.com/kb/241338/ ) Cliente Windows NT LAN Manager vers�o 3 com primeiro logon impede atividade de logon

262890� (http://support.microsoft.com/kb/262890/ ) N�o � poss�vel obter conex�o de unidade do diret�rio base em um ambiente misto

308580� (http://support.microsoft.com/kb/308580/ ) Mapeamentos de pasta base para servidores de n�vel inferior podem n�o funcionar durante o logon

285901� (http://support.microsoft.com/kb/285901/ ) Acesso remoto, VPN e RIS clientes n�o podem estabelecer sess�es com um servidor configurado para aceitar somente autentica��o NTLM vers�o 2

816585� (http://support.microsoft.com/kb/816585/ ) Como aplicar modelos de seguran�a predefinidos no Windows Server 2003

820281� (http://support.microsoft.com/kb/820281/ ) Voc� deve fornecer credenciais de conta do Windows quando voc� se conectar a Exchange Server 2003 usando o Outlook 2003 RPC sobre recurso HTTP

Voltar para o in�cio

A informa��o contida neste artigo aplica-se a:

Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise x64 Edition
Microsoft Windows XP Professional
Microsoft Windows 2000 Server
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Professional Edition
Microsoft Windows NT Server 4.0 Standard Edition
Microsoft Windows NT Workstation 4.0 Developer Edition
Microsoft Windows 95

Voltar para o in�cio

kbinfo kbmt KB823659 KbMtpt

Voltar para o in�cio

Tradu��o autom�tica

IMPORTANTE: Este artigo foi traduzido por um sistema de tradu��o autom�tica (tamb�m designado por Machine Translation ou MT), n�o tendo sido portanto traduzido ou revisto por pessoas. A Microsoft possui artigos traduzidos por aplica��es (MT) e artigos traduzidos por tradutores profissionais, com o objetivo de oferecer em portugu�s a totalidade dos artigos existentes na base de dados de suporte. No entanto, a tradu��o autom�tica n�o � sempre perfeita, podendo conter erros de vocabul�rio, sintaxe ou gram�tica. A Microsoft n�o � respons�vel por incoer�ncias, erros ou preju�zos ocorridos em decorr�ncia da utiliza��o dos artigos MT por parte dos nossos clientes. A Microsoft realiza atualiza��es freq�entes ao software de tradu��o autom�tica (MT). Obrigado.

Clique aqui para ver a vers�o em Ingl�s deste artigo: 823659� (http://support.microsoft.com/kb/823659/en-us/ )

Voltar para o in�cio

Outros Recursos

Outros Sites de Suporte

Comunidades

Obtenha Ajuda Agora

Entre em contato com um profissional de suporte por email, online, ou telefone.

Tradu��es deste artigo

United States (English)

This site in other countries/regions:

Cliente, servi�o e incompatibilidades do programa que podem ocorrer quando voc� modificar as configura��es de seguran�a e atribui��es de direitos do usu�rio

Se voc� for um cliente do Small Business, encontrar a solu��o de problemas e recursos de aprendizagem adicionais do Suporte para pequenas empresas (http://smallbusiness.support.microsoft.com) site.

Nesta p�gina

Sum�rio

Windows Server 2003 SP1

Avisos em gpedit. msc

Mais Informa��es

Direitos de usu�rio

Sincroniza��o de tempo

Solu��o alternativa para assinatura SMB

A informa��o contida neste artigo aplica-se a:

Palavras-chave:�

Outros Sites de Suporte

Comunidades

Obtenha Ajuda Agora

Tradu��es deste artigo

Centros de suporte relacionados