Suporte de orientação de configuração de segurança

Microsoft Corporation

A Microsoft fornece orientações para como ajudar a proteger os nossos próprios sistemas operativos. Desenvolvemos os seguintes três níveis de definições de segurança:

• Cliente Empresarial (CE)

• Stand-Alone (SA)

• Segurança Especializada – Funcionalidade Limitada (SSLF)

Testámos exaustivamente esta orientação para utilização em muitos cenários de clientes. A orientação é adequada para qualquer organização que pretenda ajudar a proteger os seus computadores baseados no Windows.

Apoiamos totalmente os nossos guias devido aos testes extensivos que realizamos nos nossos laboratórios de compatibilidade de aplicações nesses guias. Visite os seguintes websites da Microsoft para descarregar os nossos guias:

• Guia de segurança do Windows Vista:
  

  http://technet.microsoft.com/en-us/library/bb629420.aspx

• Linha de base de segurança do Windows XP:

  http://go.microsoft.com/fwlink/?LinkId=14839

• Linha de base de segurança do Windows Server 2003:

  http://go.microsoft.com/fwlink/?linkid=14845

• Guia de endurecimento de segurança do Windows 2000:
  

  http://go.microsoft.com/fwlink/?LinkId=28591

Se tiver problemas ou tiver comentários após implementar os Guias de Segurança da Microsoft, pode fornecer feedback enviando uma mensagem de e-mail para secwish@microsoft.com.



A orientação de configuração de segurança para o sistema operativo Windows, para o Internet Explorer e para o conjunto de produtividade do Office é fornecida no Microsoft Security Compliance Manager: http://technet.microsoft.com/en-us/library/cc677002.aspx.

O Centro de Segurança na Internet

O CIS desenvolveu referências para fornecer informações que ajudam as organizações a tomar decisões informadas sobre certas opções de segurança disponíveis. O CIS forneceu três níveis de critérios de segurança:

• Legado

• Empresa

• Alta Segurança

Se tiver problemas ou tiver comentários após implementar as definições de benchmark do CIS, contacte o CIS enviando uma mensagem de e-mail para win2k-feedback@cisecurity.org.

A orientação do CIS mudou desde que publicámos originalmente este artigo (3 de novembro de 2004). A orientação atual do CIS assemelha-se à orientação que a Microsoft fornece. Para obter mais informações sobre a orientação que a Microsoft fornece, leia a secção "Microsoft Corporation" mais cedo neste artigo.

Instituto Nacional de Normalização e Tecnologia

O NIST é responsável pela criação de orientações de segurança para o Governo Federal dos Estados Unidos. O NIST criou quatro níveis de orientação de segurança que são usados pelas Agências Federais dos Estados Unidos, organizações privadas e organizações públicas:

• SoHo

• Legado

• Empresa

• Segurança Especializada – Funcionalidade Limitada

Se tiver problemas ou tiver comentários após implementar os modelos de segurança do NIST, contacte o NIST enviando uma mensagem de e-mail para itsec@nist.gov.

Note que a orientação do NIST mudou desde que publicámos originalmente este artigo (3 de novembro de 2004). A orientação atual do NIST assemelha-se à orientação que a Microsoft fornece. Para obter mais informações sobre a orientação que a Microsoft fornece, leia a secção "Microsoft Corporation" mais cedo neste artigo.

A Agência de Sistemas de Informação de Defesa

A DISA cria orientações especificamente para uso no Departamento de Defesa dos Estados Unidos (DOD). Os utilizadores do DOD dos Estados Unidos que experimentam problemas ou têm comentários após implementarem a orientação de configuração disa podem fornecer feedback enviando uma mensagem de e-mail para fso_spt@ritchie.disa.mil.

Nota A orientação da DISA mudou desde que publicámos originalmente este artigo (3 de novembro de 2004). A orientação atual da DISA é semelhante ou idêntica à orientação que a Microsoft fornece. Para obter mais informações sobre a orientação que a Microsoft fornece, leia a secção "Microsoft Corporation" mais cedo neste artigo.

A Agência de Segurança Nacional (NSA)

A NSA elaborou orientações para ajudar a proteger computadores de alto risco no Departamento de Defesa dos Estados Unidos (DOD). A NSA desenvolveu um único nível de orientação que corresponde aproximadamente ao nível de Alta Segurança que é produzido por outras organizações.

Se tiver problemas ou tiver comentários após implementar os Guias de Segurança da NSA para o Windows XP, pode fornecer feedback enviando uma mensagem de e-mail para XPGuides@nsa.gov. Para fornecer feedback sobre os guias do Windows 2000, envie uma mensagem de e-mail para w2kguides@nsa.gov.

Note que a orientação da NSA mudou desde que publicámos originalmente este artigo (3 de novembro de 2004). A orientação atual da NSA é semelhante ou idêntica à orientação que a Microsoft fornece. Para obter mais informações sobre a orientação que a Microsoft fornece, leia a secção "Microsoft Corporation" mais cedo neste artigo.

Modificações da lista de controlo de sistema de ficheiros e de acesso ao registo

O Windows XP e as versões posteriores do Windows têm permissões significativamente apertadas em todo o sistema. Por conseguinte, não devem ser necessárias alterações extensivas às permissões por defeito. 

As alterações adicionais da lista de controlo de acesso discricionário (DACL) podem invalidar a totalidade ou a maioria dos testes de compatibilidade da aplicação realizados pela Microsoft. Frequentemente, alterações como estas não foram submetidas aos testes minuciosos que a Microsoft realizou noutras definições. Casos de suporte e experiência de campo mostraram que as edições da DACL alteram o comportamento fundamental do sistema operativo, frequentemente de formas não intencionais. Estas alterações afetam a compatibilidade e estabilidade da aplicação e reduzem a funcionalidade, tanto no que diz respeito ao desempenho como à capacidade.

Devido a estas alterações, não recomendamos que modifique os DACLs do sistema de ficheiros em ficheiros incluídos no sistema operativo nos sistemas de produção. Recomendamos que avalie quaisquer alterações adicionais de ACL contra uma ameaça conhecida para entender quaisquer vantagens potenciais que as alterações possam emprestar a uma configuração específica. Por estas razões, os nossos guias fazem apenas alterações muito mínimas do DACL e apenas para o Windows 2000. Para o Windows 2000, são necessárias várias pequenas alterações. Estas alterações são descritas no Guia de Endurecimento de Segurança do Windows 2000.

As alterações de permissão extensivas que são propagadas em todo o sistema de registo e ficheiro não podem ser desfeitas. Podem ser afetadas novas pastas, como as pastas de perfil do utilizador que não estavam presentes na instalação original do sistema operativo. Portanto, se remover uma definição de Política de Grupo que executa alterações da DACL ou aplicar as falhas do sistema, não poderá reverter os DACLs originais. 

As alterações ao DACL na pasta %SystemDrive% podem causar os seguintes cenários:

• O Caixote do Lixo já não funciona como concebido e os ficheiros não podem ser recuperados.

• Uma redução da segurança que permite a um não administrador ver o conteúdo do Caixote do Reciclagem do administrador.

• A falha dos perfis de utilizador funciona como esperado.

• Uma redução da segurança que proporciona aos utilizadores interativos acesso à leitura de algum ou a todos os perfis de utilizador do sistema.

• Problemas de desempenho quando muitas edições DACL são carregadas num objeto de Política de Grupo que inclui tempos de início de sessão longos ou reinícios repetidos do sistema alvo.

• Problemas de desempenho, incluindo abrandamentos do sistema, a cada 16 horas ou mais, à medida que as definições de Política de Grupo são reaplicadas.

• Problemas de compatibilidade de aplicações ou falhas de aplicação.

Para ajudá-lo a remover os piores resultados de tais permissões de ficheiros e registos, a Microsoft fornecerá esforços comercialmente razoáveis de acordo com o seu contrato de suporte. No entanto, não é possível reverter estas alterações. Só podemos garantir que pode voltar às definições recomendadas fora da caixa reformatando a unidade de disco rígido e reinstalando o sistema operativo.

Por exemplo, as modificações nos DACLs de registo afetam grandes partes das colmeias de registo e podem fazer com que os sistemas deixem de funcionar como esperado. A modificação dos DACLs em chaves de registo únicas constitui menos um problema para muitos sistemas. No entanto, recomendamos que considere e teste cuidadosamente estas alterações antes de as implementar. Mais uma vez, só podemos garantir que poderá voltar às definições recomendadas fora da caixa se reformar e reinstalar o sistema operativo.

Cliente da rede Microsoft: Assinar digitalmente comunicações (sempre)

Quando ativa esta definição, os clientes devem assinar o tráfego do Bloco de Mensagens do Servidor (SMB) quando contactarem servidores que não necessitam de assinatura sMB. Isto torna os clientes menos vulneráveis a ataques de sequestro de sessão. Fornece um valor significativo, mas sem permitir uma alteração semelhante no servidor para ativar o servidor de rede da Microsoft: Assinar digitalmente comunicações (sempre) ou cliente de rede microsoft: Assinar digitalmente comunicações (seo cliente concordar) , o cliente não poderá comunicar com sucesso com o servidor.

Segurança da rede: Não guarde o valor de hash do GESTOR LAN na próxima alteração de senha

Quando ativar esta definição, o valor de haxixe do Gestor LAN (LM) para uma nova palavra-passe não será armazenado quando a palavra-passe for alterada. O haxixe LM é relativamente fraco e propenso a atacar em comparação com o hash Microsoft Windows NT criptograficamente mais forte. Embora esta definição forneça uma segurança adicional extensiva a um sistema, evitando que muitos utilitários comuns de quebra de palavras-passe, a definição pode impedir que algumas aplicações comecem ou cordem corretamente.

Criptografia do sistema: Utilize algoritmos compatíveis com FIPS para encriptação, hashing e assinatura

Quando ativa esta definição, os Serviços de Informação da Internet (IIS) e o Microsoft Internet Explorer utilizam apenas o protocolo De Segurança da Camada de Transporte (TLS) 1.0. Se esta definição estiver ativada num servidor que esteja a executar o IIS, apenas os navegadores web que suportam o TLS 1.0 podem ligar.. Se esta definição estiver ativada num cliente web, o cliente pode ligar-se apenas a servidores que suportem o protocolo TLS 1.0. Este requisito pode afetar a capacidade de um cliente visitar websites que utilizem a Camada de Tomadas Seguras (SSL). Para mais informações, clique no seguinte número de artigo para ver o artigo na Base de Conhecimento da Microsoft:

811834 Não é possível visitar sites SSL depois de ativar a criptografia compatível com o FIPS
Adicionalmente, quando ativa esta definição num servidor que utiliza serviços terminais, os clientes são obrigados a utilizar o cliente RDP 5.2 ou versões posteriores para se conectarem.

Para mais informações, clique no seguinte número de artigo para ver o artigo na Base de Conhecimento da Microsoft:

811833 Os efeitos de permitir a "criptografia do sistema: utilizar algoritmos compatíveis com FIPS para encriptação, hashing e assinatura" definição de segurança no Windows XP e em versões posteriores do Windows

O serviço de atualização automática ou o serviço de transferência inteligente de fundo (BITS) está desativado

Um dos pilares fundamentais da estratégia de segurança da Microsoft é garantir que os sistemas são mantidos atualizados em atualizações. Um componente chave nesta estratégia é o serviço De Atualizações Automáticas. Tanto os serviços de Atualização do Windows como de atualização de software utilizam o serviço de Atualizações Automáticas. O serviço de Atualizações Automáticas conta com o Serviço de Transferência Inteligente de Fundo (BITS). Se estes serviços forem desactivdos, os computadores deixarão de poder receber atualizações do Windows Update através de Atualizações Automáticas, de serviços de Atualização de Software (SUS) ou de algumas instalações do Microsoft Systems Management Server (SMS). Estes serviços devem ser desativado apenas em sistemas que dispom de um sistema eficaz de distribuição de atualização que não dependa de BITS.

O serviço NetLogon está desativado

Se desativar o serviço NetLogon, uma estação de trabalho já não funciona de forma fiável como membro de domínio. Esta definição pode ser apropriada para alguns computadores que não participam em domínios. No entanto, deve ser cuidadosamente avaliado antes da sua implantação.

NoNameReleaseOnDemand

Esta definição impede que um servidor abandone o seu nome NetBIOS se este entrar em conflito com outro computador na rede. Esta definição é uma boa medida preventiva para a negação de ataques de serviço contra servidores de nomes e outras funções de servidor muito importantes.

Quando permite esta definição numa estação de trabalho, a estação de trabalho recusa-se a renunciar ao seu nome NetBIOS, mesmo que o nome esteja em conflito com o nome de um sistema mais importante, como um controlador de domínio. Este cenário pode desativar uma importante funcionalidade de domínio. A Microsoft apoia fortemente os esforços da indústria para fornecer orientações de segurança que são direcionadas para implementações em áreas de alta segurança. No entanto, esta orientação deve ser cuidadosamente testada no ambiente-alvo. Recomendamos vivamente que os administradores de sistemas que necessitem de definições de segurança adicionais para além das definições predefinidos utilizem os guias emitidos pela Microsoft como ponto de partida para os requisitos da sua organização. Para apoio ou para perguntas sobre guias de terceiros, contacte a organização que emitiu a orientação.