Segunda edio
Ajudando profissionais de TI a entender melhor e maximizar as informaes, os processos, a comunicao e as ferramentas de publicaes de atualizao de segurana da Microsoft
no estado em que se encontra. Informaes e pontos de vista descritos nesse documento, incluindo todas as URLs e outras referncias a sites, podem ser alterados sem aviso prvio. Voc assume o risco de us-lo. Este documento no concede a voc quaisquer direitos legais sobre qualquer forma de propriedade intelectual relacionada a qualquer produto da Microsoft. Voc pode copiar e usar este documento para fins de referncia interna.
Contedo
Bem-vindo .................................................................................................................. 1 Como usar o Guia de atualizao de segurana da Microsoft ........................... 2 Introduo .................................................................................................................. 3 Gerenciamento de vulnerabilidades ...................................................................... 6 Finalidade deste guia ................................................................................................................ 7 Gerenciamento de vulnerabilidades na Microsoft ........................................................ 8 Gerenciamento de atualizaes de segurana usando Microsoft Solutions ... 9 Trs Abordagens para atualizaes de segurana ..................................................... 11 O processo de publicao de atualizao de segurana da Microsoft ........... 17 Como a Microsoft testa as atualizaes de segurana ............................................ 18 Testes de compatibilidade de aplicativos ................................................................... 19 Deteco de rootkit ............................................................................................................. 20 Passo de Teste de Segurana .......................................................................................... 20 Programa de Validao de Atualizao de Segurana .......................................... 22 Comunicaes de publicao de segurana da Microsoft ..................................... 22 Notificao Prvia do Boletim de Segurana ............................................................ 22 Resumo do boletim de segurana ................................................................................. 23 Boletim de segurana ......................................................................................................... 23 Atualizao de segurana ................................................................................................. 24 Artigos da Base de Dados de Conhecimento (KB) .................................................. 24 Alerta de segurana ............................................................................................................. 25 Processo previsvel de publicao de atualizao de segurana ...................... 25
ii
Notificaes fraudulentas direcionadas a atualizaes de segurana da Microsoft ..................................................................................................................................... 26 Estrutura de gerenciamento de riscos do cliente ....................................................... 27 Etapa 1: recebimento de comunicaes de publicao de segurana da Microsoft ..................................................................................................................29 Comunicaes de publicao de segurana Microsoft ............................................ 30 Recebimento de comunicaes de publicaes de segurana da Microsoft .. 31 Etapa 2: avaliao do risco .....................................................................................32 Determinaes na estrutura de gerenciamento de risco do cliente ................... 35 A sua organizao carece de um processo de gerenciamento de risco existente? .................................................................................................................................... 36 Identifique se a vulnerabilidade aplicvel .................................................................. 37 Coleta de informaes de vulnerabilidade de segurana .................................... 37 Determinao do risco de vulnerabilidade ................................................................... 40 O sistema de classificao de severidade da Microsoft ........................................ 41 Recursos da avaliao de risco ........................................................................................ 44 Exemplo: Aplicao da orientao da Microsoft para a avaliao de risco ...... 53 Exemplo: Aplicao das informaes para determinar a classificao de risco ........................................................................................................ 53 Consideraes sobre a implantao de atualizaes de segurana ................... 56 Etapa 3: avaliao de atenuao ...........................................................................62 Um controle de segurana a curto prazo vivel .......................................................... 64 Etapa 4: implantar atualizaes ............................................................................69 O guia Implantado o Microsoft Windows Server Update Services.......................... 72 Implantaes padro e urgentes ....................................................................................... 72 Processo de aplicativos de pacote padro .................................................................... 72
iii
Planejando a implantao .................................................................................................... 74 Exemplo: Planejando a implantao da atualizao de segurana .................. 75 H uma atualizao de segurana disponvel para download? ............................ 78 Obtendo os arquivos de atualizao de segurana necessrios de uma fonte confivel ...................................................................................................................................... 78 Criando pacotes de atualizaes....................................................................................... 80 Testando pacotes de atualizaes .................................................................................... 82 Ambiente de teste ................................................................................................................ 83 Implantao piloto ............................................................................................................... 85 Testar etapas de processo ................................................................................................ 85 Implantando pacotes de atualizaes............................................................................. 97 Envio de solicitao de alterao ................................................................................. 101 Comunicao da programao de implantao para a organizao ............ 101 Instalao da atualizao ................................................................................................. 102 Acelerao da implementao da atualizao de segurana .............................. 104 Criando pacotes de atualizaes .................................................................................. 104 Teste de pacotes ................................................................................................................. 104 Implantao de pacotes ................................................................................................... 105 Etapa 5: monitoramento dos sistemas .............................................................. 105 Implantao bem-sucedida da atualizao ................................................................ 107 Confirmao da instalao da atualizao ............................................................... 107 Desinstalao de atualizaes de segurana. ......................................................... 110 Anlise ps-implementao ........................................................................................... 113 Remoo de atenuao no curto prazo .................................................................... 113
iv
Etapa 6: uso de recursos da Microsoft para acompanhar os desenvolvimentos de segurana. ....................................................................... 114 Anlises principais e de menos importncia de alertas e de boletins de segurana ................................................................................................................................. 116 A ameaa constante de software mal-intencionado .............................................. 117 Outros recursos de segurana ......................................................................................... 119 Resumo .................................................................................................................. 119 Comentrios............................................................................................................................ 120 Apndice ................................................................................................................ 122 O diagrama do processo de implantao e publicao de segurana da Microsoft .................................................................................................................................. 122 Terminologia de atualizaes de segurana da Microsoft................................... 124 Atualizaes de segurana da Microsoft .................................................................. 125 Windows Update ou Microsoft Update? ..................................................................... 128 Poltica de atualizaes de segurana para software no genuno ............... 128 Glossrio e termos comumente usados ...................................................................... 129
Bem-vindo
Uma mensagem do Diretor geral da Trustworthy Computing Security, Matt Thomlinson
Bem-vindo ao Guia de atualizao de segurana da Microsoft, segunda edio. Nosso objetivo com o Guia ajudar voc a gerenciar o processo de implantao das atualizaes de segurana da Microsoft no seu ambiente. A Microsoft produz muitas informaes e orientaes sobre as atualizaes de segurana e o Guia descreve como usar esses recursos de maneira eficaz para ajudar a tornar seguro o ambiente de TI da sua organizao. Na Microsoft, ns sabemos que a implantao de atualizaes pode ser uma atividade demorada, e os testes de pr-implantao so uma parte crtica do processo. Para ajudar voc nessa tarefa, vital que ns testemos nossas atualizaes exaustivamente antes que sejam publicadas. Ns criamos atualizaes para mais de um bilho de sistemas em todo o mundo, por isso desenvolvemos processos extensivos para testar as atualizaes: Testes em todas as verses com suporte e service packs do software afetado, em todos os idiomas com suporte Extensos testes de compatibilidade de aplicativos, incluindo mais de 3.000 dos aplicativos de terceiros mais amplamente implantados O Programa de Validao de Atualizao de Segurana (SUVP), que permite aos clientes e parceiros selecionados testar a funcionalidade de uma atualizao antes da publicao Testes internos da Microsoft, incluindo a implantao ao vivo em mais de 24.000 dispositivos em toda a empresa Somente depois que uma atualizao passou por todos esses testes ela aprovada para publicao. Voc encontrar mais detalhes sobre esses processos de teste e orientaes atualizadas sobre como executar testes em seu prprio ambiente neste Guia. Eu espero que o Guia seja um recurso valioso de informaes detalhadas e ferramentas que ajudaro voc a proteger sua infraestrutura e criar um ambiente de computao e Internet mais seguro. Matt Thomlinson Diretor geral, Trustworthy Computing Security Trustworthy Computing Group
Introduo
As vulnerabilidades so pontos fracos de um software que podem permitir que um invasor comprometa a integridade, a disponibilidade ou a confidencialidade desse software. Algumas das piores vulnerabilidades permitem que invasores executem um cdigo arbitrrio no sistema comprometido. Uma divulgao de vulnerabilidades a revelao da existncia de uma vulnerabilidade para o pblico em geral. As divulgaes podem ter vrias origens, incluindo fornecedores de software, fornecedores de software de segurana, pesquisadores independentes de segurana e at mesmo criadores de softwares malintencionados (malware). Pesquisas no Security Intelligence Report (SIR)1 mostram que milhares de divulgaes de vulnerabilidades de gravidades variadas em todo o setor de software divulgadas a cada semestre a partir do segundo semestre de 2006 ao primeiro semestre de 2010.
Figura 1. divulgaes de vulnerabilidades em todo o setor por semestre, 2H06-1H10 4,000 3,500 3,000 2,500 2,000 1,500 1,000 500
2H06
1H07
2H07
1H08
2H08
1H09
2H09
1H10
www.microsoft.com/sir
Dessas divulgaes de vulnerabilidades, a maioria classificada como vulnerabilidades de alta ou mdia gravidade, de acordo com o padro do setor Common Vulnerability Scoring System (CVSS),2 embora somente uma minoria seja classificada com gravidade baixa, conforme indicado em Figura 2.
Figura 2. divulgaes de vulnerabilidades em todo o setor por severidade, 2H06-1H10
O CVSS tambm classifica vulnerabilidades pela complexidade de acesso, que mede o quo difcil para os invasores explorar a vulnerabilidade em questo. Assim como no caso da gravidade da vulnerabilidade, o quadro que emerge conforme indicado em Figura 3 no positivo. Na maioria dos perodos, a maioria das vulnerabilidades de baixa complexidade, o que significa que podem ser exploradas com relativa facilidade, sem a necessidade de condies de acesso especializadas.
Consulte www.first.org/cvss/cvss-guide.html para obter informaes sobre o CVSS e seus critrios para classificar a gravidade e a complexidade da vulnerabilidade.
As vulnerabilidades so um problema de todo o setor. H milhares de divulgaes de vulnerabilidades em todo o setor a cada ano, afetando softwares da Microsoft e de muitos outros fornecedores. Figura 4 mostra as vulnerabilidades de produtos da Microsoft e de outros fornecedores desde 2006.
Figura 4. divulgaes de vulnerabilidades de produtos Microsoft e de outros fornecedores, 2H061H10
Gerenciar Atualizaes de segurana vital. Uma explorao um cdigo mal-intencionado que se aproveita de vulnerabilidades de software. A pesquisa no SIR mostra que exploraes permanecem ativas por muito tempo depois que a atualizao de segurana para a vulnerabilidade disponibilizada porque alguns usurios instalam as atualizaes de forma espordica ou simplesmente no as instalam. Ainda hoje, existem exploraes para vulnerabilidades que foram resolvidas em 2003. Isso mostra que, quando os invasores entendem como explorar uma determinada vulnerabilidade, apesar da existncia de uma atualizao de segurana para ela, normalmente tentaro usar a explorao para comprometer sistemas que no receberam patches usando vrios mtodos de ataque nos anos seguintes. Alm disso, em um volume recente do SIR, a Microsoft analisou uma amostra de vrias centenas de arquivos em um determinado perodo que foram usados em ataques bem-sucedidos. A pesquisa mostrou que havia um nmero finito de exploraes para vulnerabilidades especficas e que havia atualizaes de segurana disponveis para todas as vulnerabilidades no momento do ataque. Os usurios afetados foram expostos por no terem aplicado as atualizaes. Aplicar novas atualizaes de segurana de maneira rpida e consistente teria evitado que todos esses ataques fossem bem-sucedidos em qualquer verso com suporte do aplicativo de software. Esse o cenrio no qual os administradores de TI e profissionais de segurana das empresas se encontram hoje. O processo de manuteno dos computadores desktop, servidores, mquinas virtuais e dispositivos mveis de uma organizao com as ltimas atualizaes de segurana do sistema operacional e dos aplicativos tornou-se uma parte central da metodologia de gerenciamento de risco de qualquer ambiente conectado Internet.
Gerenciamento de vulnerabilidades
Esta seo aborda:
A finalidade deste guia. Como a Microsoft gerencia vulnerabilidades em seus produtos.
3 4
Ainda assim, alguns observadores do setor de segurana e pesquisadores de segurana perguntam porque algumas atualizaes de segurana da Microsoft algumas vezes levam longos perodos de tempo para serem publicadas. As opinies no setor sobre o tpico de tempo para corrigir variam, mas a prioridade das atualizaes de segurana na Microsoft minimizar os inconvenientes para os clientes e para ajudar a proteger contra ataques criminosos online. A Microsoft usa uma abordagem mltipla para ajudar os clientes a gerenciar seus riscos. Essa abordagem inclui trs elementos principais: Atualizaes de segurana de alta qualidade Usar prticas de engenharia de classe internacional produz atualizaes de segurana de alta qualidade que os clientes podem implementar com segurana em centenas de milhes de sistemas diversos no ecossistema de computao e que ajudam os clientes a minimizar as perturbaes dos seus negcios. Defesa baseada em comunidade Os parceiros Microsoft com muitas outras partes ao investigar vulnerabilidades em potencial em softwares Microsoft. A Microsoft busca atenuar a explorao de vulnerabilidades por meio da fora colaborativa do setor e de parceiros, organizaes pblicas, clientes e pesquisadores de segurana. Essa abordagem ajuda a minimizar as perturbaes potenciais nos negcios dos nossos clientes. Processo de resposta de segurana abrangente Usar um processo de resposta de segurana abrangente ajuda a Microsoft a gerenciar de maneira eficiente os incidentes de segurana, proporcionando a previsibilidade e transparncia que os clientes precisam para minimizar as perturbaes dos seus negcios. Para obter mais informaes sobre essa abordagem, consulte Gerenciamento de vulnerabilidades de software na Microsoft em www.microsoft.com/downloads/details.aspx?FamilyID=3c87d741-8427456d-9bb3-2bdb2d0272e5 para obter uma explorao mais detalhada desses trs elementos.
3.
10
Necessidade
Vantagens e consideraes
11
Por meio do recurso de Atualizaes Automticas e quando os clientes aceitam o Microsoft Update, o Windows pode manter automaticamente o computador atualizado com as atualizaes de segurana mais recentes para todos os produtos Microsoft. Os usurios no precisam procurar por atualizaes e informaes, o Windows as envia diretamente ao computador. O Windows reconhece quando um sistema est online e usa a conexo com a Internet para procurar por downloads no site Microsoft Update.
Os usurios podem especificar como e quando o Windows deve atualizar o computador. Por exemplo, os usurios podem configurar o Windows para fazer download e instalar atualizaes automaticamente em um horrio especificado pelo usurio, conforme mostrado em Figura 6.
Figura 6. Configuraes de atualizao automtica no Windows 7
Essa abordagem recomendada para usurios individuais ou para usurios em ambientes de empresas de pequeno porte que no tm uma funo de suporte de
12
TI dedicado. Usando essa abordagem, os computadores podem se manter atualizados com o mnimo de know-how e com um nmero mnimo de interrupes no uso do computador. Se esse processo gerenciado automaticamente tudo o que sua organizao necessita, trate as informaes fornecidas no resto deste guia como para fins informativos. A maioria das fases no so aplicveis a essa abordagem de atualizao de segurana. Para verificar as configuraes atuais e as atualizaes mais recentes, consulte update.microsoft.com/microsoftupdate.
Processo de atualizao baseado no Windows Server Update Services (WSUS) Cliente-alvo Empresas de mdio ou grande porte (geralmente com 50 computadores ou mais). Gerenciar totalmente as configuraes de atualizao e controlar a distribuio de atualizaes para computadores em redes de clientes. O WSUS no oferece suporte implantao de atualizaes que no so da Microsoft. Opes configurveis permitem que os profissionais de TI coletem relatrios de inventrio de dispositivos gerenciados, determinem quais atualizaes se aplicam a um computador ou a um grupo de computadores, especifiquem a ao de atualizao necessria e instalem as atualizaes com base em uma programao flexvel, com pouca ou nenhuma interveno do usurio. O processo reduz o impacto perceptvel sobre a produtividade dos funcionrios e a funcionalidade da rede. Criar relatrios personalizados, como atualizaes de segurana exigidas por computadores especficos, fornecer notificaes e programar a distribuio automtica de atualizaes de segurana. Atingir ns especficos com uma atualizao de segurana. Gerenciar vrios servidores de um nico console para redes mais complexas com hierarquias de servidor. Preo Disponvel gratuitamente para usurios licenciados de verses com suporte do Windows Server.
Necessidade
Vantagens e consideraes
13
Para as organizaes que tm uma funo de suporte de TI dedicado e desejam um maior grau de controle sobre quando e como as atualizaes de segurana so distribudas aos clientes do Windows e servidores Windows da organizao, o WSUS (consulte technet.microsoft.com/ en-us/wsus/default) est disponvel gratuitamente para usurios que tenham uma licena vlida do Windows Server. O WSUS permite aos administradores controlar a implantao de atualizaes de segurana da Microsoft em produtos Microsoft que executam uma verso com suporte do servidor Windows ou produtos do cliente. Usando o WSUS, os administradores podem gerenciar melhor a distribuio de atualizaes publicadas por meio do Microsoft Update para os computadores em sua rede. Alguns recursos notveis do uso da abordagem de atualizao de segurana do WSUS incluem o seguinte: WSUS oferece suporte somente implantao de atualizaes da Microsoft. Especificar atualizaes por:
Produto ou famlia de produtos (por exemplo, Windows Server 2008 ou Microsoft Office).
Classificao da atualizao (por exemplo, atualizaes crticas e drivers). Idioma (por exemplo, somente ingls e japons). Programa a sincronizao para iniciar automaticamente, imponha um prazo e defina uma data e uma hora especficas para instalar ou desinstalar as atualizaes. O administrador pode impor um download imediato, definindo um prazo para uma hora no passado. Configure notificaes por email para novas atualizaes e funcionalidade de relatrio com base no status da atualizao, status do computador, status de conformidade do computador e status de conformidade de atualizao. Os administradores podem realizar tarefas de direcionamento, como: Implantar novas atualizaes para um grupo de computadores de teste e avaliar as atualizaes antes de distribu-las no ambiente de produo. Proteger computadores que executam aplicativos especficos. Por exemplo, se uma atualizao crtica incompatvel com um aplicativo usado em alguns computadores, um administrador pode garantir que a atualizao no seja distribuda para esses computadores. Atingir um melhor desempenho e otimizao da largura de banda.
Processo de atualizao baseado no System Center Configuration Manager 2007
14
Processo de atualizao baseado no System Center Configuration Manager 2007 Cliente-alvo Organizaes avanadas ou de grande porte (geralmente, as organizaes em vrios locais ou que apresentam requisitos de gerenciamento ou conformidade especficos). Avaliar, implantar e atualizar de maneira abrangente servidores, clientes e dispositivos em ambientes fsicos, virtuais, distribudos e mveis. Otimizado para o Windows e extensvel para alm, essa a melhor opo para aumentar o conhecimento e controle sobre os sistemas de TI de uma organizao que apresente uma infraestrutura de TI grande, complexa e heterognea. O processo oferece suporte ao gerenciamento e distribuio de atualizaes e aplicativos de software da Microsoft e que no so da Microsoft. O processo garante que os sistemas de TI da organizao estejam em conformidade com os estados de configurao desejados para melhorar a disponibilidade, a segurana e o desempenho dos sistemas em toda a rede. O processo oferece controle de administrador avanado e reconhecimento que o WSUS no inclui, como oferecer atualizaes para produtos Microsoft, outros aplicativos, aplicativos LOB internos personalizados, drivers de hardware e assim por diante. Implantar alteraes no sistema em servidores e computadores clientes em horrios e datas predeterminados usando janelas de manuteno. Gerenciar melhor a experincia do usurio, exibindo uma interface de usurio personalizvel e mantendo um controle sofisticado sobre as configuraes de imposio, como o reincio e a instalao. Preo Consulte www.microsoft.com/systemcenter/configurationmanager/en/us/ pricing-licensing.aspx ou, se voc estiver fora dos Estados Unidos, contate o seu representante ou parceiro Microsoft local.
Necessidade
Vantagens e consideraes
Para as organizaes que desejam adicionar outro nvel de funcionalidade e controle ao processo de atualizao de segurana, essa abordagem usa o Gerenciador de Configuraes 2007 para gerenciar o ambiente WSUS e permitir mtodos adicionais de controle e implantao de atualizao.
15
Se o WSUS gratuito, porque pagar por essa abordagem? Essa soluo oferece diversos recursos nas reas de controle avanado de administrador e reconhecimento que o WSUS no inclui. Em especial, os profissionais de TI podem oferecer atualizaes para produtos Microsoft, outros aplicativos, aplicativos LOB internos personalizados, drivers de hardware e sistemas BIOS para diversos dispositivos, incluindo computadores desktop, computadores portteis, servidores e dispositivos mveis. Os profissionais de TI podem habilitar o suporte a quarentena usando a Proteo de Acesso Rede (NAP) e criar colees com base em caractersticas de inventrio dos computadores. Isso permite que os administradores direcionem melhor suas atualizaes, alm de executar funes como: Gerenciar atualizaes da Microsoft e que no so da Microsoft. Os administradores podem usar um produto para todas as tarefas de gerenciamento em vez de uma ferramenta separada para gerenciamento de atualizaes. Implantar atualizaes com base em perodo de servio (anncio). Gerenciar melhor a experincia do usurio, exibindo uma interface de usurio personalizvel e mantendo um controle sofisticado sobre as configuraes de imposio, como o reincio e a instalao. Entender plenamente o estado de conformidade do ambiente por meio de informaes de inventrio e status detalhados sobre o estado do sistema dos computadores que gerenciam em relao implantao de atualizaes. Os profissionais de TI tambm podem estender os recursos do Gerenciador de Configuraes 2007 por meio de contribuies de Desired Configuration Management (DCM), seu software development kit (SDK) nativo e parceiro fornecedor independente de software (ISV). Usando o DCM, os profissionais de TI podem usar os conhecimentos de configurao da Microsoft e de outras prticas recomendadas para melhorar a definio e a manuteno de configurao. Para obter mais informaes sobre o Gerenciador de Configuraes 2007, consulte www.microsoft.com/systemcenter/configurationmanager/. Para obter mais informaes sobre como usar o Gerenciador de Configuraes 2007 para oferecer esses recursos aprimorados de atualizao, consulte Configurao de atualizaes de software em technet.microsoft.com/library/bb633119.aspx. No restante deste guia, o processo de atualizao baseado no WSUS debatido, pois esta abordagem apresenta uma prtica de base slida para uma estrutura de gerenciamento de riscos configurvel e porttil para as publicaes de atualizao de segurana da Microsoft.
16
Mensagens de email fraudulentas direcionadas a atualizaes de segurana. Uma estrutura de gerenciamento de riscos do cliente a ser iniciada aps o recebimento de uma publicao de segurana da Microsoft que envolve as seguintes etapas: Etapa 1: recebimento de comunicaes de publicao de segurana da Microsoft Etapa 2: avaliao do risco Etapa 3: avaliao de atenuao Etapa 4: usar a Linha do Tempo Padro de Implantao Etapa 5: monitoramento dos sistemas Etapa 6: uso de recursos da Microsoft para acompanhar os desenvolvimentos de segurana
17
Entender que a Microsoft no distribui atualizaes de segurana por anexos de email. Consulte support.microsoft.com/kb/959318 para obter mais informaes sobre isso. A Microsoft incentiva os profissionais de TI a obter as atualizaes de segurana da Microsoft usando os links neste guia, os boletins de segurana ou as ferramentas de implantao, como o Microsoft Update, Windows Update, WSUS ou Gerenciador de Configuraes 2007. Servio de Notificao Prvia do Boletim de Segurana da Microsoft. Consulte www.microsoft.com/technet/security/bulletin/advance.mspx. Resumos e webcasts de boletins de segurana. Consulte www.microsoft.com/technet/security/bulletin/summary.mspx. Boletins de segurana. Consulte www.microsoft.com/technet/security/current.aspx. Alertas de segurana. Consulte www.microsoft.com/technet/security/advisory/. Notificaes de segurana. Consulte technet.microsoft.com/security/dd252948.aspx. Artigos da Base de Dados de Conhecimento. Pesquise por nmero do artigo. Consulte www.microsoft.com/technet/security/current.aspx. Ferramentas de Remoo de Software Mal-Intencionado (MSRT). Consulte www.microsoft.com/security/malwareremove.
18
As atualizaes que no so devidamente testadas antes da publicao poderiam causar problemas para um grande nmero de computadores envolvidos em atividades de misso crtica. Para minimizar as chances de ocorrncia dessa situao, a Microsoft sujeita as atualizaes de segurana a um rigoroso processo de testes antes de liber-las ao pblico. Os esforos descritos a seguir tm ajudado a aumentar significativamente a qualidade das atualizaes de segurana da Microsoft nos ltimos cinco anos. Essas melhorias de qualidade permitiram que alguns clientes reduzam a quantidade de testes que realizam nas atualizaes de segurana da Microsoft, reduzindo os recursos e os custos associados ao trabalho nos seus ambientes de TI, e retornando oramento para financiar outros projetos ou reduzir as despesas operacionais para as suas empresas.
19
Diferentes service packs para Windows e hotfixes (QFEs) fazem parte da matriz de teste para atualizaes de segurana. As verses afetadas do Windows tambm so testadas em diversos idiomas (rabe, chins, alemo, japons, russo e outros). Como o Windows est disponvel para uma ampla variedade de arquiteturas de computao, todos os testes so concludos nas vrias arquiteturas (isto , x86, x64 e Itanium). Milhares dos aplicativos Windows mais usados do mundo so testados nessas arquiteturas, verses do Windows, nveis de service pack e idiomas. Essa forma de realizar grandes testes para abordar vrias arquiteturas, produtos e verses uma maneira fundamental pela qual a Microsoft minimiza as interrupes de clientes empresariais.
Deteco de rootkit
Em fevereiro de 2010, uma srie de computadores experimentaram repetidos erros de interrupo de tela azul aps a instalao do Boletim de Segurana da Microsoft MS10-015 . Esses problemas foram causados pela famlia de malware Win32/Alureon, da qual algumas variantes incluem um componente de rootkit que faz modificaes no autorizadas ao kernel de um computador infectado. Essas modificaes entraram em conflito com as alteraes do kernel introduzidas pela verso inicial da atualizao de segurana MS10-015, causando o erro de interrupo. O Microsoft Security Response Center (MSRC) abordou posteriormente o problema com uma verso revisada da atualizao. Para evitar que problemas como este voltem a acontecer, cada atualizao de segurana que modifica o kernel do Windows inclui agora um componente de deteco de rootkit, que verifica o estado do kernel antes da instalao da atualizao, para determinar se o kernel foi adulterado por malware. Se for detectada uma irregularidade, a instalao interrompida e o instalador exibe uma caixa de dilogo que direciona o usurio para um artigo da Base de dados de conhecimento da Microsoft com informaes sobre o problema e como resolvlo.
20
O Passo de Teste de Segurana envolve um grupo de cerca de 24.000 computadores usados pelos funcionrios da Microsoft em vrias capacidades. Esses computadores so selecionados para refletir a diversidade de cenrios de usurios que no podem ser fornecidos em um ambiente controlado em laboratrio. Cada atualizao dever ser testada em um nmero mnimo definido de computadores clientes e servidores de data center, e ser instalada junto com um nmero mnimo de aplicativos de linha de negcios. (Na prtica, isso significa implantar a atualizao de teste em um nmero muito maior de computadores do que o mnimo, j que nem todos os computadores precisaro da atualizao oferecida.) O processo do Passo de Teste de Segurana normalmente comea cerca de trs semanas antes da programao de liberao de uma atualizao de segurana, embora esse processo possa ser acelerado em caso de publicaes extraordinrias urgentes. A atualizao implantada silenciosamente nos computadores de teste de um grupo de servidores de atualizao interno. As implantaes muitas vezes caem em rodadas, de modo que a verso mais recente da atualizao pode ser implantada a qualquer momento. Cada atualizao submetida ao Passo do Teste de Segurana somente quando o desenvolvimento concludo e a equipe de produto acredita que a atualizao atingiu um nvel de qualidade adequado para a liberao ao pblico em geral. Portanto, de maneira ideal, os testadores no devem sofrer qualquer interrupo ao instalar atualizaes do passo do Teste de Segurana. A MSIT coleta de telemetria de instalaes do Passo do Teste de Segurana para descobrir problemas, conflitos ou problemas de interoperabilidade que possam surgir. Alm disso, os testadores so instrudos a relatar qualquer problema que encontram MSIT, que tem uma estrutura de suporte dedicado para usurios do Passo do Teste de Segurana. Se uma atualizao de segurana provocar problemas, a equipe de desenvolvimento do grupo de produto trabalhar diretamente com o cliente para determinar a causa raiz e desenvolver uma soluo imediata. A MSIT compila um relatrio dirio de progresso e problemas e o distribui aos participantes do Passo do Teste de Segurana.
21
22
Sempre que possvel, a Microsoft disponibiliza essa notificao trs dias teis antes da publicao de um boletim de segurana. A notificao prvia ajuda os profissionais de TI a planejar os recursos adequados para a iminente publicao da atualizao de segurana. Para obter mais informaes, consulte a pgina da Notificao Prvia do Boletim de Segurana da Microsoft em www.microsoft.com/technet/security/bulletin/advance.mspx. Ocasionalmente, alguns boletins de segurana so listados na notificao prvia do boletim de segurana, mas no so publicados quando o resumo do boletim de segurana substitui a notificao prvia do boletim de segurana. Isso ocorre porque a Microsoft testa a qualidade de suas atualizaes de segurana at que sejam publicadas. Se a Microsoft localiza um problema de qualidade entre o momento em que a notificao prvia do boletim de segurana publicado e o momento em que a Microsoft publica um boletim de segurana e a atualizao de segurana correspondente, a Microsoft pode atrasar a publicao do boletim de segurana e da atualizao de segurana. s vezes, dependendo do impacto do planejamento de atualizao de segurana de uma organizao, a Microsoft pode relanar a notificao prvia do boletim de segurana para refletir isso.
Boletim de segurana
O resumo do boletim de segurana inclui links para cada boletim de segurana includo na publicao, alm de qualquer artigo relacionado da Base de Dados de Conhecimento que fornea informaes tcnicas adicionais para ajudar os profissionais de TI na avaliao de riscos. Cada boletim de segurana contm orientaes e informaes detalhadas sobre a atualizao de segurana e a vulnerabilidade. Os boletins de segurana esto localizados em 19 idiomas e contm perguntas frequentes, informaes sobre vulnerabilidades, atenuaes e solues, alm de outras informaes de atualizao de segurana pertinentes. Para obter mais informaes, consulte a pgina de Pesquisa de Boletim de Segurana da Microsoft em www.microsoft.com/technet/security/current.aspx.
23
Atualizao de segurana
A atualizao de segurana o download que contm os arquivos que abordam as vulnerabilidades de segurana descritas pelo boletim de segurana. Esses arquivos so necessrios para aplicar a atualizao e podem ser testados e implantados nos computadores necessrios na organizao. H informaes posteriormente neste guia sobre como obter, testar e implantar as atualizaes de segurana. Uma nica atualizao de segurana muitas vezes resolve vrias vulnerabilidades do banco de dados Common Vulnerabilities and Exposures (CVE)5; cada uma delas est listada em um boletim de segurana da Microsoft correspondente, juntamente com outros problemas relevantes. Sempre que possvel, o MSRC consolida vrias vulnerabilidades que afetam um nico binrio ou componente e as aborda por meio de uma nica atualizao de segurana. Ao fazer isso, o MSRC pode maximizar a eficcia de cada atualizao, alm de minimizar a interrupo potencial que os profissionais de TI enfrentam com testes e integrao de atualizaes de segurana individuais em seus ambientes de computao.
cve.mitre.org/
24
Alerta de segurana
Os alertas de segurana da Microsoft, localizados em 19 idiomas, so comunicaes da Microsoft sobre as vulnerabilidades potenciais e outras informaes de segurana reais para a segurana geral dos profissionais de TI. Essas notificaes podem no exigir um boletim de segurana ou uma atualizao de segurana, mas ainda podem afetar a segurana geral dos clientes. Alguns alertas de segurana podem resultar na publicao de uma atualizao de segurana ou incluir orientaes para ajudar os profissionais de TI a reduzir a ameaa existente. Cada alerta de segurana acompanhado de um nico nmero de artigo da Base de Dados de Conhecimento que faz referncia a informaes adicionais. Alguns exemplos de tpicos que os alertas de segurana podem abordar incluem: Orientao e atenuaes que possam ser aplicveis s vulnerabilidades divulgadas publicamente. Informaes esclarecedoras sobre ameaas potenciais que so publicamente divulgadas.
25
geralmente incluem uma srie de outros recursos de suporte, orientao, ferramentas e assim por diante. Este guia examina os diversos recursos da Microsoft que esto disponveis durante todo o processo de gerenciamento de riscos. Figura 7 detalha as publicaes de segurana da Microsoft e a orientao certificada correspondente. As informaes includas posteriormente neste guia discutem os vrios outros recursos disponveis com as publicaes de segurana da Microsoft.
Figura 7. Publicaes de segurana da Microsoft e orientao e arquivos certificados correspondentes
Orientao correspondente
Arquivos correspondentes
Boletim(ns) de segurana
Atualizao(es) de segurana
Alerta de segurana
26
A Microsoft no distribui atualizaes de segurana usando anexos de email. Mensagens de email sobre notificaes de segurana da Microsoft sempre incentivam os profissionais de TI a obter as atualizaes de segurana da Microsoft usando os links neste documento, os boletins de segurana ou as ferramentas de implantao, como o Microsoft Update, Windows Update, WSUS ou Gerenciador de Configuraes 2007. (Esto includas posteriormente neste guia informaes adicionais sobre como obter atualizaes de segurana.) Se um anexo for aberto em uma dessas mensagens de email de boato, a Microsoft recomenda que os profissionais de TI executem uma verificao de antivrus completa no computador em que o arquivo foi aberto o mais rapidamente possvel para ajudar a garantir que nenhum software mal-intencionado tenha sido instalado. Alm disso, os profissionais de TI podem executar uma verificao de segurana do computador online gratuitamente. Para fazer isso, consulte safety.live.com. Para obter mais informaes sobre como reconhecer e evitar emails fraudulentos para clientes Microsoft, consulte www.microsoft.com/protect/yourself/phishing/msemail.mspx.
27
4. Criao, teste e implantao da atualizao de segurana em uma linha do tempo padro ou mais urgente 5. Monitoramento de sistemas
Figura 8. a estrutura de gerenciamento de riscos do cliente
Embora as etapas identificadas em Figura 8 paream simples, na prtica, as organizaes tm infraestruturas complexas com diferentes nveis de risco de segurana e diferentes nveis de gerenciamento e suporte. Por exemplo, algumas organizaes podem seguir uma linha do tempo de atualizao padro que pode ser reduzida ou acelerada no caso de uma atualizao de segurana urgente. O principal objetivo dessa estrutura articular onde os recursos de segurana e a orientao da Microsoft se encaixam em toda uma estrutura de gerenciamento de riscos para informar melhor os profissionais de TI em um documento de referncia inclusivo. Em relao ao exposto, importante que os profissionais de TI entendam vrios pontos principais: 1. O processo de atualizao de segurana pode ser complexo. Isso especialmente verdadeiro nas organizaes que oferecem suporte a muitos aplicativos de negcios e aplicativos LOB. No entanto, existem vrias solues que tornam acessvel um processo de atualizao de segurana bem sucedido. 2. Compreender as abordagens atualizao de segurana vital. Os profissionais de TI devem selecionar a abordagem mais adequada necessria para oferecer suporte a todos os aplicativos da organizao (incluindo atualizaes de terceiros e aplicativos LOB). 3. Os profissionais de TI precisam equilibrar o custo de implementao e o risco dos negcios. Esse um processo difcil. A inteno deste guia ajudar os profissionais de TI a entender as ferramentas, os servios e as informaes que a Microsoft disponibiliza para ajudar a oferecer suporte a esse processo de gerenciamento de riscos. 4. Voc deve personalizar qualquer estrutura e processo para se ajustar sua organizao. Os requisitos para cada organizao so diferentes, portanto, planeje para esses requisitos e personalize-os adequadamente.
28
Conforme este guia examina mais profundamente as etapas na estrutura de Publicao de segurana da Microsoft, os profissionais de TI devem observar como podem usar as informaes fornecidas pela Microsoft para tomar as melhores decises para suas organizaes. Se a sua organizao no apresentar nenhuma abordagem de gerenciamento de riscos atualmente, a seo Etapa 2: avaliao do risco neste guia oferece algumas opes.
29
30
Detalhes Os alertas abrangentes gratuitos fornecem notificao prvia de boletins de segurana futuros (e dessa forma, as atualizaes de segurana), alertas de segurana e notificao oportuna de qualquer alterao nos boletins e alertas de segurana da Microsoft que tenham sido liberados anteriormente. Essas notificaes so escritas para profissionais de TI, contm informaes tcnicas aprofundadas e as mensagens de email so assinadas digitalmente com Pretty Good Privacy (PGP): Email: edio abrangente do Servio de notificao de segurana RSS: alertas abrangentes Site: Security Bulletin Search em www.microsoft.com/technet/security/current.aspx
Voc pode acessar os recursos mencionados acima a partir de technet.microsoft.com/security/dd252948.aspx. Alertas do blog do Microsoft Security Response Center (MSRC) O blog do MSRC proporciona uma maneira em tempo real para que o MSRC se comunique com os profissionais de TI. O MSRC usa esse blog para difundir comunicados de segurana importantes e essenciais para auxiliar os profissionais de TI a compreender os esforos de resposta segurana da Microsoft, as atualizaes durante os estgios iniciais de incidentes de segurana e as publicaes regulares para o ciclo de lanamento do boletim: Twitter feed do MSRC RSS: blog do MSRC Alerta do Windows Live: blog do MSRC Site: blogs.technet.com/msrc
O MSRC usa uma conta do Twitter verificada em twitter.com/msftsecresponse para postar notificaes sucintas sobre boletins e alertas de segurana e outros problemas de segurana. Siga @msftsecresponse atravs da Web, RSS ou mensagens de texto SMS para ter um acesso rpido s informaes mais recentes.
31
Detalhes Essa pgina consolida e apresenta de forma dinmica os blogs do grupo Microsoft Trustworthy Computing (TwC): a equipe encarregada de trabalhar para fornecer experincias de computao mais seguras, confidenciais e confiveis. Leia sobre a viso e a estratgia a longo prazo da Microsoft para a privacidade e segurana da computao. Voc pode acessar o agregador de blogs sobre segurana e privacidade do Trustworthy Computing em www.microsoft.com/twc/blogs.
Quando a Microsoft disponibiliza uma nova publicao sobre segurana, vital que os profissionais de TI possam determinar rapidamente o risco que suas organizaes enfrentam em termos de segurana ou de vulnerabilidades relatadas pela publicao. Este guia fornece detalhes sobre alguns processos e decises que os profissionais de TI precisam adotar aplicados estrutura de gerenciamento de risco do cliente. As etapas deste guia enfocam somente as atualizaes e alertas de segurana da Microsoft. Existe a possibilidade das organizaes incorporarem algumas recomendaes nos processos de atualizao de manuteno para outros tipos de atualizao como service packs, atualizaes de drivers e outros.
Os recursos que a Microsoft disponibiliza para determinar o aplicativo e o risco da vulnerabilidade. Um exemplo de avaliao de risco que utilize recursos da Microsoft. Consideraes adicionais antes da implantao da atualizao de segurana.
32
Compreender os principais recursos da Microsoft para ajudar a determinar a aplicabilidade da vulnerabilidade em suas organizaes. Os recursos da Microsoft usados para reunir informaes incluem: O ciclo de vida de suporte do produto Microsoft. Os boletins de segurana, os alertas de segurana, o blog do MSRC, o blog do Microsoft Security Research & Defense e o webcast do boletim de segurana do TechNet.
Compreender os principais recursos da Microsoft para ajudar a determinar o nvel de risco na organizao. Isso inclui: Os boletins e os alertas de segurana. Os boletins de segurana e o sistema de classificao de severidade da Microsoft, e outras informaes de impacto da vulnerabilidade. O ndice de Explorabilidade, que revela o risco de vulnerabilidade se a atualizao de segurana no for aplicada.
Compreender outras consideraes importantes que sejam relevantes neste ponto da estrutura de gerenciamento de risco de uma organizao, como: Reviso de artigos da Base de Dados de Conhecimento. Avaliao da facilidade de desinstalao de uma atualizao de segurana e se necessria uma reinicializao forada.
33
Para obter outros recursos para formular ou modificar uma metodologia de gerenciamento de risco, consulte CERT OCTAVE: www.cert.org/octave/; National Institute of Standards and Technology (NIST - US): www.nist.gov/index.html; ISO27001 Security: www.iso27001security.com/; e muito mais.
34
35
Determinaes nessa etapa. Como a Figura 10 ilustra, os profissionais de TI precisam identificar duas questes nessa etapa:
1. A vulnerabilidade se aplica organizao? Ou perguntado de outra forma, a vulnerabilidade referenciada na publicao de segurana da Microsoft aplicvel organizao? 2. A vulnerabilidade representa um risco alto para a organizao? Ou perguntado de outra forma, que o risco a vulnerabilidade tratada na publicao de segurana da Microsoft representa para a organizao. As sees restantes desta etapa do guia incluem detalhes sobre consideraes importantes para ajudar os profissionais de TI a produzir respostas bem embasadas para essas perguntas que sejam apropriadas antes da implantao das atualizaes de segurana.
36
Detalhes A Microsoft notifica os profissionais de TI sobre os produtos que esto afetados pelas vulnerabilidade das seguintes formas: Os resumos dos boletins de segurana informam aos profissionais de TI sobre o produto ou a famlia de softwares afetada na seo Resumo executivo. Por exemplo, se o Windows estiver listado na seo Software afetado, isso pode significar que qualquer um dos sistemas operacionais Windows com suporte atualmente est afetado. Os resumos dos boletins de segurana permitem aos profissionais de TI avaliarem rapidamente se um boletim de segurana, e assim uma atualizao de segurana, aplicvel organizao deles. Outro exemplo, se os profissionais de TI no utilizam o Internet Explorer e vm um resumo de boletim de segurana que liste o Internet Explorer como software afetado, eles podem simplesmente descartar o boletim ou a atualizao de segurana relacionada. Os boletins e os alertas de segurana id entificam o produto ou software afetado de forma mais especfica do que o resumo de boletins de segurana (usando e exemplo do
37
Determinao
Detalhes Windows acima, entre outras verses do Windows, o Windows XP Service Pack 3 (SP3) poderia estar listado em Software afetado). Fontes para verificar os produtos afetados: Resumos de boletins de segurana, consulte www.microsoft.com/technet/security/bulletin/summary.ms px. Para rever os boletins de segurana, consulte www.microsoft.com/technet/security/current.aspx. Para rever os alertas de segurana, consulte www.microsoft.com/technet/security/advisory.
Outras organizaes tambm oferecem suas prprias anlises de atualizaes de segurana da Microsoft. Essas anlises devem ser tratadas com cuidado, j que a Microsoft a especialista definitiva sobre suas prprias atualizaes. Como localizar os produtos e os componentes afetados. No boletim ou no alerta de segurana, consulte a seo Software afetado para obter informaes mais especficas sobre o produto afetado. Cada novo boletim de segurana detalha o software afetado incluindo o software afetado e o no afetado (por exemplo, sistemas operacionais afetados: Windows XP SP3; software no afetado: Windows Vista SP1). Os alertas de segurana detalham o software afetado e o no afetado na seo Viso geral, como ilustra o exemplo de alerta de segurana a seguir.
Outra fonte til no boletim de segurana que identifica os fatores de atenuao a seo Informaes de vulnerabilidade. V para a seo Informaes de vulnerabilidade, expanda o identificador CVE tratado pelo boletim de segurana e, finalmente, expanda Fatores de atenuao para acessar outras informaes. Se o produto no estiver listado na seo Software afetado
38
Determinao
Detalhes ou na seo Viso geral, a vulnerabilidade no ser aplicvel e a atualizao de segurana ou uma contramedida adicional no necessria.
As organizaes podem estar executando verses de softwares que a Microsoft no d mais suporte. Como parte do processo de gerenciamento de risco de uma organizao, os profissionais de TI devem saber se os produtos no ambiente de TI no recebem mais suporte porque esses produtos podem ter vulnerabilidades que precisam ser atenuadas para reduzir o risco da organizao. Deve ser prioridade das organizaes que possuam verses mais antigas do software migrarem para verses com suporte para evitar possveis exposies s vulnerabilidades. Para obter mais informaes sobre o perodo de suporte de atualizao de segurana para essas verses ou edies de softwares, consulte support.microsoft.com/lifecycle/search/ e verifique se a Microsoft ainda d suporte ao produto. O software afetado que listado nos boletins de segurana da Microsoft foi testado com a atualizao de segurana para ajudar a assegurar a compatibilidade. Porm, as verses mais antigas de softwares cujos ciclos de vida de suporte j tenham expirado, no foram testadas. Para obter outras informaes, consulte Perguntas mais frequentes sobre o ciclo de vida do suporte ao produto do sistema operacional Windows em support.microsoft.com/gp/LifeWinFAQ. Se for necessrio um suporte personalizado s verses mais antigas de produtos Microsoft, entre em contato com o escritrio local da Microsoft. Por outro lado, se a organizao for uma proprietria Alliance, Premier ou Authorized Contract, entre em contato com o respectivo representante de equipe de contas Microsoft, com o gerente tcnico de contas ou com o representante parceiro Microsoft para obter opes de suporte personalizado. Para localizar o escritrio local da Microsoft:
3.
39
Detalhes Revise o blog do MSRC em blogs.technet.com/msrc/. Entre outras coisas, o blog do MSRC fornece: Recursos e orientaes adicionais no includos no boletim de segurana. Informaes importantes relativas a qualquer publicao de segurana. Informaes sobre qualquer problema com um publicao de segurana (por exemplo, problemas de compatibilidade). Informaes sobre incidentes ou vulnerabilidades de segurana que afetem os produtos Microsoft.
Aps os profissionais de TI terem coletado e revisado essas informaes, eles podero determinar se a vulnerabilidade de segurana aplicvel organizao.
Quando uma notificao de segurana da Microsoft contiver informaes sobre mais de um problema de segurana, os profissionais de TI devem verificar cada problema individualmente para avaliar os possveis riscos para a organizao.
40
O que um risco alto? Invariavelmente, os riscos da vulnerabilidade diferem de acordo com a organizao; e as organizaes normalmente tm limites diferentes para o que considerado risco alto e risco baixo e muitas outras classificaes de risco intermedirias. Como anteriormente mencionado, o Guia de gerenciamento de risco de segurana da Microsoft pode ajudar os profissionais de TI a determinar quais so os nveis de risco apropriados em uma organizao. Para se adequar a esse guia, a estrutura de gerenciamento de risco do cliente usa dois nveis de risco: alto e baixo. Como a sua organizao classifica isso depende de vrias informaes, das quais muitas esto descritas abaixo. O ponto importante que os profissionais de TI primeiro devem se concentrar em atenuar as vulnerabilidades mais severas, que esse guia define como de alto risco.
A Microsoft um membro ativo do CVSS-SIG e participa dos debates relacionados verso atual do CVSS.
41
A Microsoft acredita que a principal fonte de informaes de severidade de vulnerabilidade deve originar da necessidade do cliente e ser suprida pelo fornecedor do produto, especialmente pelo fato dos fornecedores conhecerem melhor seus prprios produtos e poder oferecer a orientao mais abalizada. Microsoft oferece aos clientes uma orientao confivel como atenuaes, solues alternativas e descries dos possveis vetores de ataque para ajudar os clientes a realizar suas prprias anlises e gerenciamentos de risco. Os clientes tm informado ao Microsoft Security Response Center que o sistema de classificao de severidade valioso para ajud-los a avaliar seus nveis de risco. Os clientes tambm informam Microsoft que os boletins e alertas de segurana, e o sistema de avaliao de severidade da Microsoft so valiosos para ajud-lo a avaliar seus nveis de risco. A Microsoft ainda adverte sobre o pior cenrio possvel ao classificar as vulnerabilidades que tenham uma severidade mxima de crtica, importante, moderada ou baixa. E quando lidamos com uma situao limtrofe de classificao, a nossa experincia tem demonstrado que prudente ter cautela de acordo com o pior caso do cenrio. O que significam as classificaes de severidade. As classificaes de severidade da Microsoft simplesmente exprimem o impacto potencial mximo do ataque. A Microsoft avalia cada problema e quantifica o impacto de um problema de forma objetiva em um nvel tcnico para as configuraes padro. Baseada nessa anlise e no impacto de segurana mximo, a Microsoft disponibiliza uma classificao no boletim de segurana. A Figura 12 define as quatro classificaes de severidade da Microsoft e seus impactos correspondentes.
Figura 12. Sistema de classificao de severidade da Microsoft
Classificao Crtica
Definio Uma vulnerabilidade cuja explorao pode permitir a propagao de um worm de Internet com pouca ou nenhuma ao do usurio. Uma vulnerabilidade cuja explorao pode resultar no comprometimento da confidencialidade, da integridade ou da disponibilidade dos dados do usurio, ou ainda, da integridade ou disponibilidade dos recursos de processamento. Uma vulnerabilidade cuja explorao atenuada em um grau significativo por fatores como configurao padro, auditoria ou dificuldade de explorao. Uma vulnerabilidade cuja explorao extremamente difcil ou cujo impacto mnimo.
Importante
Moderada
Baixa
42
Classificaes de severidade mxima e agregada. interessante notar que um resumo do boletim de segurana lista a classificao de segurana mxima para a famlia de produtos afetados, enquanto os boletins de segurana fornecer detalhes adicionais. Por exemplo, suponha que o Windows esteja listado como software afetado, o Windows XP SP3 esteja listado como crtico e o Windows Vista como importante. O resumo do boletim de segurana especificar que a classificao de severidade mxima para o respectivo boletim crtica; novamente aplicando a classificao de severidade mxima para o Windows. O boletim de segurana adicional detalha o impacto de segurana mximo e a classificao de severidade agregada para cada verso com suporte do software afetado. Consulte a Figura 13 e a Figura 14 para ver exemplos. Como mostrada na Figura 13 abaixo, a seo Informaes gerais de cada boletim de segurana da Microsoft contm uma tabela que lista cada produto e cada componente dos quais o boletim trata, o impacto de segurana mximo, a classificao de severidade agregada e os boletins de segurana que a atualizao substitui.
Figura 13. Classificaes de severidade agregada em um boletim de segurana da Microsoft
As classificaes de severidade, junto com outros recursos listados na Figura 15 (veja abaixo), ajudam a dar informaes materiais aos profissionais de TI que podem ser usadas para melhorar o gerenciamento do risco. Visto que alguns profissionais de TI podem precisar de detalhes tcnicos mais aprofundados sobre a vulnerabilidade de que trata uma atualizao de segurana, cada boletim de segurana contm mais informaes sobre a vulnerabilidade na seo intitulada Informaes da vulnerabilidade, como a Figura 14 ilustra. Entre outros detalhes, essa seo detalha a vulnerabilidade (como identificada pelo seu identificador CVE), as classificaes de severidade de vulnerabilidade individuais e o impacto de segurana mximo sobre o software afetado.
43
Variao de riscos de acordo com cada organizao. Antes de passar para a prxima etapa na estrutura de gerenciamento de risco, importante documentar o risco de uma forma que identifique claramente como ele se relaciona sua organizao. A seo a seguir fornece fontes e informaes que os profissionais de TI usam para gerar uma classificao de risco que seja personalizada para identificar o risco como ele se aplica sua organizao.
44
A principal mtrica para a avaliao do ndice de explorabilidade a confiabilidade do ndice como um prognosticador do possvel risco do cdigo de explorao funcional estar sendo desenvolvido; tambm, quando as previses provam posteriormente serem imprecisas, se elas falham com segurana e quando no induzem o cliente a no dar a devida prioridade a uma atualizao de segurana. Com o compartilhamento das classificaes de explorabilidade publicadas para as vulnerabilidades da Microsoft, juntamente com a identificao das vulnerabilidades da Microsoft com o cdigo de explorao publicado, os clientes obtm informaes valiosas sobre os riscos provveis e os nveis atuais de ameaa ao software Microsoft. Confiabilidade importante: Nenhum ndice de explorabilidade pode ser 100 por cento preciso, mas a Microsoft est comprometida com um engajamento contnuo com clientes, parceiros e a comunidade do setor de segurana para melhorar, validar e verificar a preciso do cdigo de explorabilidade. Embora a atividade de previso no ecossistema de segurana seja arriscada, esse ndice possivelmente tem um alto grau de confiabilidade pelas seguintes razes: 1. Metodologia comum. A metodologia usada pela Microsoft para fornecer informaes do ndice de explorabilidade para uma atualizao semelhante quela usada por muitos pesquisadores de segurana para criar e avaliar protees e para criar cdigos de explorao para testar essas protees. Essa metodologia envolve pesquisadores que analisam os boletins de segurana da Microsoft quando eles so publicados da mesma forma que os desenvolvedores da Microsoft analisam os boletins para determinar a natureza da vulnerabilidade e as condies que devem ser atendidas para uma explorao seja executada com xito. 2. Anlise da vulnerabilidade. A Microsoft analisa cuidadosamente cada vulnerabilidade resolvida por uma atualizao de segurana da Microsoft, que tenha fornecido importantes descobertas para dificultar a criao do cdigo de explorao que funcionar de forma consistente. Por exemplo, nem todas as vulnerabilidades resultam em um cdigo de explorao publicado; o Microsoft Security Intelligence Report (SIR)12 mostrou no passado que aproximadamente 30 por cento das vulnerabilidades que foram resolvidas nos boletins de segurana da Microsoft resultaram na publicao de um cdigo de explorao funcional. Embora haja muitos fatores sociais que possam determinar a publicao do cdigo de explorao, as diferenas tcnicas nas vulnerabilidades tornam a explorao ainda mais desafiadora. Por exemplo, a combinao de ASLR13 e DEP14 no Windows Vista e no Windows 7 torna algumas vulnerabilidades mais difceis de serem exploradas. Outras vulnerabilidades requerem sistemas com memria em um estado predeterminado para que um cdigo de explorao bem sucedido funcione.
45
3. Validaes de parceiros. A Microsoft est em parceria com fornecedores de software de segurana atravs do MAPP para ajudar a validar as previses de cada ms; a Microsoft acredita que esse tipo de aproximao com a comunidade e o compartilhamento de informaes garantir uma melhor preciso. A Figura 15 identifica etapas e os recursos da Microsoft que um profissional de TI deve considerar como parte de uma estrutura de gerenciamento de risco para ajudar a determinar o nvel de risco para a organizao.
Figura 15. Etapas da avaliao de risco
Etapas da avaliao de risco Determine se o software afetado listado na publicao de segurana da Microsoft est identificado como em risco e exiba a vulnerabilidade para a qual a atualizao est projetada.
Detalhes
Nem todas as vulnerabilidades representam o mesmo risco para todos os ambientes de TI; algumas vulnerabilidades dependem da configurao e dos cenrios de uso. Essa etapa requer que os profissionais de TI determinem se as instncias do produto ou do servio na organizao esto suscetveis a exibirem a vulnerabilidade medida que ele for implantado. Por exemplo, uma atualizao de segurana pode ser projetada para todos os sistemas operacionais Windows Server executando o Internet Information Services (IIS) com a opo Active Server Pages (ASP) ativada. Embora uma organizao possa conter vrios sistemas operacionais Windows Server, a atualizao de segurana provavelmente no ser relevante se a organizao no tiver a opo ASP ativada em algum servidor IIS. Os profissionais de TI devem verificar as sees Software afetado e Software no afetado no boletim de segurana. Em seguida, ler a entrada do identificador CVE na seo Informaes de vulnerabilidade do boletim de segurana, que inclui fatores de atenuao que podem reduzir a severidade da explorao de uma vulnerabilidade e do contedo associado.
46
Etapas da avaliao de risco Revise os blogs de segurana da Microsoft para obter informaes tcnicas adicionais sobre os boletins de segurana conforme aplicvel.
Detalhes
O blog do Microsoft Security Research & Defense (blogs.technet.com/srd) contm informaes sobre boletins, atualizaes e alertas de segurana especficos. Isso pode incluir informaes tcnicas adicionais sobre vulnerabilidades ou ataques ativos, atenuaes e solues alternativas adicionais e outras observaes para ajudar na avaliao de risco de um profissional de TI, que no esto includos nos boletins ou alertas de segurana. Os blogueiros no blog Security Research & Defense so pessoas da Microsoft que realizam anlises tcnicas aprofundadas de relatrios de vulnerabilidade, investigam e realizam pesquisas sobre novas vulnerabilidades, fornecem orientao tcnica para os boletins de segurana e asseguram que as atualizaes de segurana sejam eficientes na eliminao de vulnerabilidades de softwares.
O blog do MSRC (blogs.technet.com/msrc) fornece um resumo dos novos boletins e alertas de segurana medida que so publicados, com novas descobertas dos engenheiros de reposta segurana da Microsoft na forma de webcasts, anlises aprofundadas de vulnerabilidades individuais e indicadores para outras informaes. O MSRC tambm posta notificaes rpidas sobre novas entradas do blog e as ltimas informaes sobre o servio de mensagens do Twitter em twitter.com/msftsecresponse. O blog do Microsoft Malware Protection Center (MMPC) (blogs.technet.com/mmpc) fornece um mtodo em tempo real para o MMPC se comunicar com os clientes. Os tpicos incluem informaes do dia-a-dia e de bastidores sobre novas, emergentes e interessantes ameaas de malware, assim como outros tpicos de pesquisa no campo da segurana de informtica.
47
Etapas da avaliao de risco Participe ou assista aos webcasts dos boletins de segurana interativos da TechNet.
Detalhes
Registre-se para as prximos exibies de webcasts de boletins de segurana da TechNet ou para uma exibio anterior em www.microsoft.com/technet/security/bulletin/summary.mspx. Com cada publicao de boletim de segurana, a Microsoft hospeda um webcast de uma hora do boletim de segurana que normalmente comea 25 horas depois do lanamento das atualizaes de segurana. A sesso, organizada pelos especialistas em assuntos de segurana da Microsoft, comeam com uma breve viso geral tcnica dos ltimos boletins de segurana. A maior parte do tempo gasto tratando de questes e preocupaes de clientes em um frum online interativo de perguntas e respostas. Para o profissionais de TI que no possam participar desses webcasts ao vivo ou que desejem rever o material posteriormente, aps o webcast a Microsoft posta regularmente o roteiro de perguntas e respostas do webcast do boletim de segurana no blog do MSRC em blogs.technet.com/msrc/archive/tags/Security+Update+Webcast+ Q_2600_amp_3B00_A/default.aspx.
48
Etapas da avaliao de risco Antes de aplicar a atualizao aos sistemas, determine qual custo a vulnerabilidade representaria para a organizao caso ela fosse explorada.
Detalhes
importante compreender que h um risco associado no aplicao de uma atualizao. Se uma vulnerabilidade identificada levar a uma brecha de segurana ou instabilidade do sistema antes que os profissionais de TI instalem a atualizao de segurana (como parte do processo de atualizao padro), eles devero saber o que o possvel impacto acarretaria empresa. Os profissionais de TI devem priorizar a solicitaes de alterao baseadas no impacto potencial de um ataque em sistema que no recebeu o patch. Verifique a seo Informaes de vulnerabilidade do boletim de segurana, que detalha o impacto de segurana mximo da vulnerabilidade.
Depois, na seo Informaes de vulnerabilidade, leia as perguntas mais frequentes da respectiva vulnerabilidade que est detalhada no boletim. Normalmente, o MSRC aborda o impacto de segurana mximo com sua primeira pergunta frequente: Qual o escopo dessa vulnerabilidade?
49
Etapas da avaliao de risco Considere a probabilidade do cdigo de explorao funcional ser desenvolvido para a vulnerabilidade.
Detalhes
O cdigo de explorao um programa de software ou cdigo de amostra que, quando executado contra um sistema vulnervel, usa a vulnerabilidade para falsificar a identidade do invasor, manipular informaes do usurio ou do sistema, no reconhecer a ao do invasor, divulgar informaes do usurio ou do sistema, ou negar servio a usurios vlidos, ou elevar privilgios para o invasor. O cdigo de explorao funcional pode fazer com que ocorra o impacto de segurana mximo de uma vulnerabilidade. Por exemplo, se uma vulnerabilidade tivesse um impacto de segurana de execuo de cdigo remoto, o cdigo de explorao funcional poderia fazer com que a execuo do cdigo remoto ocorresse quando ele fosse executado em um sistema de destino. O ndice de explorabilidade da Microsoft fornece informaes adicionais para ajudar os profissionais de TI a melhor priorizar a implantao de atualizaes de segurana da Microsoft. Esse ndice oferece orientao aos profissionais de TI sobre a probabilidade do cdigo de explorao funcional estar sendo desenvolvido para as vulnerabilidades tratadas pela Microsoft para cada atualizao de segurana dentro dos primeiros 30 dias de seu lanamento. As vulnerabilidades para as quais haja uma probabilidade maior do cdigo de explorao funcional ser desenvolvido devem ter preferncia na implantao. Na seo Observaes importantes, a Microsoft detalha se a vulnerabilidade no boletim de segurana est sendo explorada atualmente na Internet. O ndice de explorabilidade est localizado no resumo do boletim de segurana na seo ndice de explorabilidade. Para obter mais informaes sobre o ndice de explorabilidade, consulte technet.microsoft.com/security/cc998259.aspx.
50
Detalhes
Em algumas situaes crticas, quando os clientes acreditarem estar em srio risco e uma atualizao de alta qualidade puder ser desenvolvida e lanada rapidamente, a Microsoft publica uma atualizao de segurana extraordinria (isto , uma publicao de atualizao de segurana que no obedece ao ciclo padro de publicao de atualizao de segurana da Microsoft). As atualizaes de segurana extraordinrias no so usuais e nem programadas, portanto, elas devem receber uma considerao e ateno extra como um alto risco potencial. Para assegurar que os profissionais de TI recebam notificaes sobre as atualizao de segurana extraordinrias da Microsoft, consulte a seo anterior, Etapa 1: Recebimento de publicaes de segurana da Microsoft. Alm disso, se os profissionais de TI no estiverem certos se uma atualizao de segurana da Microsoft extraordinria ou distribuda regularmente por meio do processo de atualizao de segurana mensal, eles podero verificar o blog do MSRC para obter informaes em tempo real em blogs.technet.com/msrc/.
Isso est relacionado principalmente aos alertas de segurana porque geralmente no contm binrios que forcem uma alterao de segurana em um produto. Como resultado, quando os profissionais de TI recebem um alerta de segurana da Microsoft, a Microsoft recomenda que eles leiam a seo Aes sugeridas e tomem as medidas conforme apropriado.
A combinao de todas as informaes de segurana da tabela acima ajuda os profissionais de TI a reunir um instantneo do risco que a vulnerabilidade apresenta, o que pode se parecer com o que apresentamos abaixo.
Figura 16. Exemplo de avaliao de risco
Identificador CVE
Comentrio
Observao
CVE-20YY-XXXX
51
Identificador CVE
Comentrio
Observao
CVE-20YY-XXXX
Cdigo de explorao consistente possvel. Potencial ECR. Cdigo de explorao consistente possvel. Potencial ECR.
CVE-20YY-XXXX
Crtica
Windows XP SP3, Windows Server 2003 SP2 DirectX 7, DirectX 8.1, DirectX 9.0/9.0a/9.0b/9.0c Abrir um arquivo QuickTime com habilidades especiais ou receber contedo por fluxo contnuo com habilidades especiais de um site ou de qualquer aplicativo que distribua contedo da Web. O contedo pode ser enviado atravs de email ou hospedado em um site. Contedo hospedado em um compartilhamento de rede. O simples fato de passar o mouse sobre o arquivo pode causar danos.
Impacto do ataque
O invasor pode obter os mesmos direitos como se estivesse conectado como o usurio. Assim, um invasor pode instalar programas, visualizar, alterar ou excluir dados, ou criar novas contas com todos os direitos do usurio. Um invasor no tem nenhuma forma de forar os usurios a visitar um site especialmente criado ou a abrir um arquivo com habilidades especiais. Todas as verses com suporte do Windows Vista, Windows 7 e Windows Server 2008 no esto afetadas.
Fatores de atenuao
Informaes adicionais
Outras abordagens? claro que h muitas abordagens para avaliar o risco apresentado por uma vulnerabilidade de segurana. Como exemplo, algumas organizaes sentem que o nvel de anlise mencionado acima necessrio para determina o risco da vulnerabilidade muito trabalhoso e contraproducente. Portanto, essas organizaes sentem que vale mais a pena omitir todas essas etapas e tratar todas as atualizaes de segurana de forma igual. Elas podem simplesmente passar para a prxima etapa ou partir para a criao, teste e implantao do pacote de atualizaes de segurana.
52
Boletim de segurana
Identificador de vulnerabilidade.
Classificao de risco
As classificaes de severidade dos boletins da Microsoft presumem o pior cenrio de ataque possvel. Baseado nessas informaes, os profissionais de TI podem decidir expedir as atualizaes MSYY-001, MSYY-002 e MSYY-005, e usar a linha do tempo padro de atualizao para implantar as atualizaes MSYY-003 e MSYY-004.
Boletim de segurana
Identificador de vulnerabilidade.
Classificao de risco
53
Boletim de segurana
Identificador de vulnerabilidade.
Classificao de risco
MSYY-001
CVE-20YY-AAAA
1 - Cdigo de explorao possivelmente consistente 1 - Cdigo de explorao possivelmente consistente 1 - Cdigo de explorao possivelmente consistente 2 - Cdigo de explorao possivelmente inconsistente 3 - Cdigo de explorao funcional improvvel
MSYY-002
CVE-20YY-BBBB
Crtica
MSYY-003
CVE-20YY-CCCC
Importante
MSYY-004
CVE-20YY-DDDD
Moderada
MSYY-005
CVE-20YY-EEEE
Crtica
54
Alm disso, outras consideraes que foram mencionadas na Figura 15 acima podem ser aplicadas aqui. Por exemplo, suponha que a atualizao MSYY-001 seja referente a uma execuo de cdigo remoto para o Microsoft Visio (2003 SP3, 2007 SP2 e 2010 RTM) e essa organizao s possua o Microsoft Office Visio Viewer, que o boletim de segurana lista como software no afetado. Nesse caso, os profissionais de TI devem determinar que a atualizao MSYY-001 no se aplica e cancelar a sua implantao (como mostrado na Figura 19). Portanto, quando os profissionais de TI levam em conta essas informaes adicionais para a avaliao de risco, eles podem optar por uma priorizao diferente para suas avaliaes.
Figura 19. Exemplo do sistema de classificao de risco
Boletim de segurana
Identificador de vulnerabilidade.
Classificao de risco
MSYY-001
CVE-20YY-AAAA
1 - Cdigo de explorao possivelmente consistente 1 - Cdigo de explorao possivelmente consistente 1 - Cdigo de explorao possivelmente consistente 2 - Cdigo de explorao possivelmente inconsistente 3 - Cdigo de explorao funcional improvvel
Alta
MSYY-002
CVE-20YY-BBBB
Crtica
Alta
MSYY-003
CVE-20YY-CCCC
Importante
Alta
MSYY-004
CVE-20YY-DDDD
Moderada
Baixa
MSYY-005
CVE-20YY-EEEE
Crtica
Baixa
55
O que mudou que a atualizao MSYY-001 foi eliminada completamente da classificao porque o cliente no possui o software afetado. Alm disso, MSYY-005 foi avaliada inicialmente como de alta prioridade porque ela foi classificada como Crtica, mas agora teve a prioridade rebaixada. Inversamente, a MSYY-003 tinha recebido uma baixa prioridade anteriormente, mas agora teve a prioridade elevada. Nesses casos, as alteraes refletem as informaes adicionais fornecidas nas etapas da Figura 15. O ndice de explorabilidade ajuda aqui porque, embora a MSYY-003 seja de severidade mais baixa do MSYY-005 (Importante x Crtica), o fato de MSYY-003 ser suscetvel a ter um cdigo de explorao consistente aumenta a sua prioridade global. Inversamente, o fato de MSYY-005 no ser suscetvel a ter um cdigo de explorao consistente diminui sua prioridade global. Se o resultado dessa reviso determinar que a publicao de segurana de baixo risco para a organizao, a atualizao poder ser passada para o processo da atualizao padro e implantada o teste necessrio e o processo de solicitao de alterao tive sido concludo. Este guia discutir detalhes dessas etapas mais tarde.
56
Considerao sobre a implantao de atualizaes de segurana Determine se h algum problema conhecido ou efeito colateral com a atualizao que possa retardar ou complicar a implantao.
Detalhes
A Microsoft submete todas as atualizaes de segurana a processos de pesquisa, desenvolvimento e de teste extensivos. As atualizaes de segurana s so liberadas quando atendem um nvel de qualidade apropriado. Porm, como parte do processo de avaliao de risco, os administradores geralmente desejam identificar algum problema conhecido. Revise a seo Problemas conhecidos do boletim de segurana, que est na seo Informaes gerais na parte superior da cada boletim de segurana. Normalmente, se houver um problema, ele indicar um artigo da Base de Dados de Conhecimento do boletim de segurana em support.microsoft.com. Os profissionais de TI tambm podem pesquisar artigos da Base de Dados de Conhecimento usando a guia Search By KB Article Number em www.microsoft.com/technet/security/current.aspx. Os artigos da Base de Dados de Conhecimento acompanham todos os boletins e alertas de segurana. Esses artigos incluem advertncias ou problemas com as atualizaes e, alm disso, os engenheiros de suporte documentam preocupaes comuns dos clientes. Os clientes tambm podem entrar em contato com o Atendimento Microsoft caso tenham dvidas sobre qualquer problema conhecido com atualizaes de segurana especficas.
Determine quantos sistemas precisam da atualizao de segurana e que funo esses computadores desempenham (isto , qual o nvel de importncia de cada um para a empresa).
O elemento significativo aqui no quantos computadores esto afetados, mas a importncia que cada um deles tem para a empresa. Os ativos principais devem ter prioridade no recebimento das atualizaes de segurana. Entre outras consideraes, responder a essa questo tambm ajuda a reduzir o impacto perceptvel para os usurios de certos sistemas empresariais crticos e a determinar o possvel impacto sobre a largura de banda da rede alm do potencial de carga sobre os servidores de atualizao.
57
Considerao sobre a implantao de atualizaes de segurana Determine se o tamanho da atualizao pode impactar a infraestrutura de rede.
Detalhes
A implantao de uma atualizao de software grande simultaneamente em muitos computadores pode degradar o desempenho da rede e afetar negativamente o funcionamento adequado dela. Os profissionais de TI devem revisar em detalhes toda a documentao da atualizao de segurana e estar cientes do tamanho da atualizao de segurana e do nmero de computadores que a receber. Essas informaes tambm podem auxiliar no agendamento apropriado da publicao. Os profissionais de TI podem encontrar o tamanho do arquivo das atualizaes de segurana usando o servio do catlogo do Microsoft Update em catalog.update.microsoft.com e executar uma consulta sobre o nmero do boletim de segurana.
58
Considerao sobre a implantao de atualizaes de segurana Verifique se h feriados da empresa ou eventos que possam dificultar a implantao da atualizao.
Detalhes
A pesquisa tem mostrado que alguns desenvolvedores de softwares mal intencionados tm iniciado os ataques um pouco antes dos principais feriados para aumentar a possibilidade de uma atualizao no ter sido instalada antes de poder ser explorada. Por essa razo, os profissionais de TI devem estar aptos a escalonar as implantaes de alto risco, mesmo que abranja perodos de feriados. Os profissionais de TI devem verificar o status atual da equipe de implantao e certificarem-se de que as pessoas necessrias possam ser reunidas para garantir que a atualizao seja concluda dentro das linhas de tempo exigidas.
Assegure que recursos suficientes estejam disponveis para a implantao da atualizao ou para lidar com qualquer problema que os usurios possam experimentar durante a implantao. Determine quais mecanismos de implantao sero necessrios para fazer a implantao em todos os destinos da atualizao.
Dependendo do escopo da atualizao, os profissionais de TI podem precisar usar vrios mecanismos para implantar a atualizao em todos os sistemas da organizao. Por exemplo, alguns profissionais de TI podem decidir que alguns servidores de funo crtica devem ser atualizados por alguma forma de processo manual que minimize ao mximo a interrupo do servio. Outros profissionais de TI podem determinar que os computadores clientes podem ser atualizados por um processo de implantao usando o WSUS. importante que todos os mecanismos necessrios sejam determinados nessa fase para assegurar que o impacto real do processo de atualizao seja avaliado. Observao: A abordagem de atualizao de segurana da organizao abrangendo vrias informaes j deve ter abordado a maior parte desta determinao. Porm, ainda til levar essa etapa novamente em considerao antes da implantao.
59
Considerao sobre a implantao de atualizaes de segurana As alteraes adicionais sero necessrias para dar suporte implantao da atualizao?
Detalhes
Se, por exemplo, a atualizao de segurana for aplicvel somente ao service pack atual e esse service pack no estiver instalado em certos sistemas de produo, pode no ser possvel proteger esses sistemas contra uma determinada vulnerabilidade de segurana. Nesse caso, o impacto e a categoria da solicitao de alterao seriam maiores porque o service pack e a atualizao de software precisariam ser implantadas.
60
Considerao sobre a implantao de atualizaes de segurana possvel desinstalar a atualizao aps ela ter sido instalada?
Detalhes
Isso ser discutido de forma mais detalhada posteriormente neste guia. Porm, ao avaliar uma atualizao, determine se ela pode ser desinstalada com facilidade caso cause problemas que no sejam identificados durante o teste. A funcionalidade para a desinstalao de atualizaes pode variar do suporte para desinstalao totalmente automatizada e de procedimento de desinstalao manual a nenhuma desinstalao. Se uma atualizao no puder ser desinstalada, a nica opo pode ser restaurar o computador a partir de um backup recente. Independentemente do mtodo de instalao que seja necessrio para uma atualizao, os profissionais de TI devem assegurar que haja um plano de reverso definido no caso da implantao no corresponder ao que foi obtido no ambiente de teste. Os profissionais de TI tambm podem querer verificar se h backups recentes de todos os computadores que sero atualizados e se esses sistemas podero ser restaurados se a atualizao no for removida com xito. pouco provvel que uma atualizao provoque falhas nos sistemas a ponto de precisarem ser completamente restaurados a partir de um backup, mas uma circunstncia para a qual os profissionais de TI devem estar preparados. A Microsoft fornece informaes sobre a remoo de atualizaes de segurana em cada boletim de segurana. V para a seo Implantao de atualizao de segurana do boletim de segurana e analise a linha Informaes de remoo na tabela relacionada ao software em questo. Consulte www.microsoft.com/technet/security/current.aspx.
61
Considerao sobre a implantao de atualizaes de segurana Qual ser o impacto no sistema ou na disponibilidade de servio?
Detalhes
Certos servios precisaro ser interrompidos, pausados ou fechados durante a instalao da atualizao? O sistema precisar ser reinicializado aps a atualizao? Caso positivo, isso pode afetar os servios crticos de uma organizao ou impedir que um usurio trabalhe no computador durante a instalao da atualizao.
Tambm importante que os profissionais de TI definam claramente os detalhes tcnicos da vulnerabilidade. Especificamente, o profissionais de TI precisam esclarecer quais sistemas operacionais, funes, recursos, servios e aplicativos do servidor sero afetados. Assim, a equipe de gerenciamento de sistema pode usar essas informaes para determinar o plano de implantao exato para toda a organizao. Aps terem considerado com xito todas essas etapas, os profissionais de TI devem estar em posio de determinar se a verso da atualizao precisa ser implantada. Caso precise, eles devem estar aptos a decidir se seguem a linha do tempo de atualizao padro para todos os sistemas ou se a situao suficientemente urgente para requerer uma linha do tempo acelerada (consulte Etapa 4: , comeando na pgina 69, para obter detalhes). A fase de implantao pode levar algum tempo, portanto, recomendamos que os profissionais de TI levem em considerao as opes para uma atenuao a curto prazo, que so discutidas na prxima etapa da estrutura de gerenciamento de risco do cliente.
62
ao nvel de rede ou de sistema para diminuir o risco que resulta de uma vulnerabilidade. Uma soluo alternativa uma modificao no comportamento ao nvel de usurio. Os boletins e os alertas de segurana da Microsoft referem-se s atenuaes como uma configurao, configurao comum ou prtica recomendada geral, que existe em um estado padro, que pode reduzir a severidade de explorao de uma vulnerabilidade. Os boletins e os alertas de segurana da Microsoft referem-se s solues alternativas como uma alterao de definio ou de configurao que no corrige a vulnerabilidade subjacente, mas ajuda a bloquear os vetores de ataques conhecidos antes da aplicao da atualizao.
Localizar os recursos da Microsoft que ajudam a determinar se implementa uma atenuao a curto prazo. Compreender que as atenuaes e as solues alternativas so defesas a curto prazo e que elas nunca se destinaram a substituir a implantao de atualizaes de segurana. Verifique a pgina de parceiro do MAPP para determinar se um membro do MAPP forneceu uma proteo atualizada durante a implantao das atualizaes de segurana da Microsoft. Lembre-se de que eles podem precisar remover a atenuao a curto prazo aps a implantao da atualizao de segurana da Microsoft.
63
64
antes que a atualizao de segurana associada seja aplicada. O mesmo fator ou definio pode ser um fator de atenuao para um cliente e requerer uma soluo alternativa para outro. Por exemplo, se a porta TCP mencionada no pargrafo anterior estiver aberta, o seu fechamento seria uma soluo alternativa. As solues alternativas podem no ser viveis para todo o mundo. Elas devem ser ponderadas e avaliadas em relao s funcionalidades e s consideraes operacionais que possam ser identificadas como no relevantes ou necessrias em um determinado ambiente informatizado. Alm de oferecer aos clientes informaes adicionais que podem ser usadas para avaliar o risco e priorizar a implantao da atualizao, as atenuaes e as solues alternativas tambm permitem que os clientes explorem alternativas temporrias para a implantao das atualizaes de segurana ou para fornecer proteo adicional enquanto o processo de atualizao e de implantao estiver em andamento. Quando mais atualizaes e solues alternativas os clientes tiverem disposio, mais opes e informaes eles podero aproveitar para atenuar o risco global. Em muitos casos, a Microsoft fornece uma soluo Fix-it automatizada que implementa automaticamente a atenuao ou a soluo alternativa. Essas Fix-its podem ser implantveis atravs de mecanismos como Diretiva de Grupo, permitindo que os administradores implantem as atenuaes de forma ampla em toda a empresa. Para obter mais informaes sobre os Fix-its, consulte support.microsoft.com/fixit. As atenuaes e as solues alternativas nunca substituem as atualizaes de segurana. O objetivo em fornecer informaes sobre atenuaes e solues alternativas para vulnerabilidades especficas nos boletins de segurana oferecer aos profissionais de TI uma opo para que possa ser usada para proteger o ambiente imediatamente; isto , enquanto a atualizao de segurana estiver passando pelos testes apropriados antes de ser amplamente implantada. Da mesma forma que as informaes sobre atenuaes nunca se destinam a justificar a no aplicao das atualizaes de segurana, as informaes sobre solues alternativas so fornecidas como uma medida temporria at que as atualizaes de segurana relevantes sejam aplicadas. Portanto, as atenuaes devem ser vistas como estando estritamente ligadas avaliao de risco e aos processos e procedimentos de implantao.
65
Os profissionais de TI devem cogitar a imediata implementao de atenuaes e solues alternativas para problemas identificados como de alto risco para o ambiente de forma que possam oferecer uma melhor proteo enquanto as atualizaes de segurana so aplicadas. Os problemas para os quais nenhuma atenuao ou soluo alternativa esteja disponvel, podem merecer uma priorizao maior para a implantao. A Figura 21 mostra um resumo das etapas que podem ser usadas para avaliar e implantar uma atenuao (ou soluo alternativa) a curto prazo em uma organizao.
Figura 21. Etapa de avaliao de atenuao
A etapa de avaliao de atenuao s tem uma considerao, que se possvel implementar uma atenuao a curto prazo eficiente mais rpido do que possvel implementar a atualizao de segurana. Caso haja uma atenuao a curto prazo que possa ser utilizada, isso dever ser documentado e implementado o mais rpido possvel. Para ajudar na determinao da possibilidade de usar uma atenuao, os profissionais de TI podem usar vrios recursos que esto documentados na Figura 22.
66
Recursos de avaliao de atenuao Revise o boletim ou alerta de segurana para determinar se h alguma atenuao ou soluo em sua organizao que possa aliviar o risco de curto prazo.
Detalhes
Em boletins de segurana, detalhes de atenuao e solues so fornecidos para cada vulnerabilidade especfica na seo Informaes sobre vulnerabilidade do boletim. Os profissionais de TI devem fazer referncia a duas reas em particular: Os fatores de atenuao referem-se a uma definio, configurao comum ou prtica recomendada geral, que existe em um estado padro e poderia reduzir a severidade da explorao de uma vulnerabilidade. Solues se referem a uma alterao de definio ou configurao que no corrige a vulnerabilidade subjacente, mas ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualizao. A Microsoft testou as solues listadas e tipicamente declara na discusso se uma soluo reduz a funcionalidade. Em alertas de segurana, a maioria contm uma seo Aes sugeridas, que, por sua vez, contm uma seo chamada Solues. Novamente, essas so solues que a Microsoft testou. Embora essas solues no corrijam a vulnerabilidade subjacente, elas ajudaro a bloquear vetores de ataque conhecidos. Quando uma soluo reduz a funcionalidade, ela identificada nessa seo.
67
Recursos de avaliao de atenuao Determine se h protees de segurana de software ativas que possam ser usadas para ajudar a reduzir a vulnerabilidade.
Detalhes
Microsoft Active Protections Program (MAPP) um programa de fornecedores de software de segurana. Os membros do MAPP recebem informaes de vulnerabilidade previamente para que possam fornecer protees atualizadas a profissionais de TI por meio de software e dispositivos de segurana, como software antivrus, sistemas de deteco de invaso com base na rede ou sistemas de preveno de invaso com base no host. No recebimento do resumo do boletim de segurana da Microsoft, ou quando estiverem realizando a anlise de risco, os profissionais de TI so incentivados a verificar a pgina de parceiro MAPP quanto a protees ativas atualizadas no endereo www.microsoft.com/security/msrc/mapp/partners.mspx. O programa MAPP inclui muitas organizaes globais cujos negcios englobam vrios segmentos de segurana (por exemplo, deteco de invaso, preveno de invaso, software antivrus, etc.). A pgina de parceiro MAPP inclui links para as protees ativas que devem ser aplicadas durante o processo de gerenciamento de risco. O resultado para profissionais de TI e organizaes so protees avanadas enquanto implantam atualizaes de segurana da Microsoft. Para obter mais informaes sobre protees de segurana de segurana de software, consulte www.microsoft.com/security/msrc/collaboration/mappfaq.aspx ou o Apndice.
Verifique o blog Microsoft Security Research & Defense para determinar se alguma informao adicional est disponvel para ajudar a reduzir a vulnerabilidade.
Conforme mencionado acima na seo Estgio 2: Avaliar risco deste guia, o blog Security Research & Defense contm informaes tcnicas especficas sobre atenuaes e solues adicionais que no esto contidas em boletins ou alertas de segurana. Esse blog est disponvel no endereo blogs.technet.com/srd/. Embora o blog MSRC seja um recurso de segurana da Microsoft valioso, ele no se concentra em fornecer aos profissionais de TI atenuaes ou solues. Em contaste, os blogueiros no blog Security Research & Defense so indivduos da Microsoft que realizam anlises tcnicas aprofundadas de relatrios de vulnerabilidade. Esses indivduos investigam e realizam pesquisas sobre novas vulnerabilidades e fornecem orientao tcnica para boletins de segurana, incluindo informaes sobre atenuaes e solues que so mencionados nos boletins. Eles tambm garantem que as atualizaes so eficazes na eliminao de vulnerabilidades de software.
68
determinada como alto risco, mas nenhuma atenuao eficaz for encontrada, a melhor medida ser iniciar uma atualizao urgente para todos os sistemas afetados na organizao. Remova a atenuao ou soluo de curto prazo. Quando a atenuao de curto prazo est completamente em vigor, os profissionais de TI podem usar o processo de atualizao padro para implantar a atualizao. Quando a implantao foi confirmada como parte do processo de monitoramento, a atenuao de curto prazo pode ser removida se for desejvel para ajudar a restaurar as operaes normais da organizao (a menos, claro, que essa seja uma proteo ativa do MAPP).
69
ligados por conexes de rede lentas ou no confiveis, pode ser baixada por esses links. Quando o download for concludo, a atualizao de segurana deve ser instalada com xito. A atualizao de segurana fornecida com uma rotina de desinstalao, que pode ser usada para remover com xito a atualizao, se necessrio. Sistemas e servios crticos para os negcios continuam sendo executados depois que a instalao de segurana foi instalada.
Publicao local. A API do WSUS permite que profissionais de TI criem e publiquem atualizaes, aplicativos e drivers de dispositivos personalizados para suas organizaes por meio de um processo chamado publicao local. A publicao local mais bem realizada por organizaes que tenham recursos de desenvolvimento e testes dedicados, porque planejamento, implementao, testes e implantao de atualizaes personalizadas so processos complexos e demorados. Observao: As APIs do WSUS so muito complexas para serem usadas por qualquer pessoa que no seja desenvolvedor profissional. Alm disso, importante compreender que o WSUS no d suporte a atualizaes que no sejam da Microsoft e para essa necessidade, a
70
Microsoft recomenda que profissionais de TI usem o Microsoft System Center Configuration Manager ou tenham desenvolvedores profissionais atualizados com as APIs pblicas do WSUS. O processo de publicao local dividido em sete etapas separadas na seguinte pgina da Web: msdn.microsoft.com/library/bb902470(VS.85).aspx.
Microsoft Download Center. Consulte www.microsoft.com/download/. Servio Catlogo Microsoft Update. Consulte catalog.update.microsoft.com/v7/site/Home.aspx. Microsoft Baseline Security Analyzer (MBSA)9. Essa ferramenta ajuda empresas pequenas e mdias a determinar o estado da segurana, de acordo com as recomendaes de segurana da Microsoft, e oferece orientaes especficas de correo. Use MBSA para detectar vulnerabilidades administrativas comuns e atualizaes de segurana ausentes em sistemas de computador. O MBSA no executa a instalao de atualizaes. Ele apenas varre em busca de atualizaes e tem a capacidade de configurar o computador para usar o Microsoft Update para gerenciamento de atualizaes. Consulte technet.microsoft.com/security/cc184924.aspx. Microsoft System Center Configuration Manager. Outra soluo da Microsoft que oferece recursos adicionais que o MBSA, WSUS e outros no fornecem. Consulte www.microsoft.com/systemcenter/configurationmanager/. Suporte e Atendimento ao Cliente Microsoft. Entre em contato com o Suporte e Atendimento ao Cliente Microsoft por meio dos contatos de suporte Microsoft existente na organizao ou ligando para (1) (866) PCSAFETY [(1) (866) 727-2338 nos Estados Unidos e no Canad.] Internacionalmente, os profissionais de TI devero entrar em contato com a subsidiria local da Microsoft. Consulte support.microsoft.com/common/international.aspx.
O MBSA foi localizado para quatro idiomas: ingls, alemo, francs e japons, mas a deteco subjacente varre, precisamente, computadores de destino em qualquer idioma a que o Microsoft Update e o WSUS ofeream suporte.
71
72
em um ambiente de produo de uma forma que minimize interrupes para usurios e servios da organizao. Ao mesmo tempo, ele deve garantir que as atualizaes de segurana de prioridade mais baixa so implantadas antes de a prxima rodada de atualizaes de segurana ser publicada. Isso geralmente define uma linha de tempo de processo de ponta a ponta mximo de um ms (a durao tpica do ciclo de lanamento de atualizao de segurana padro da Microsoft). Figura 23 mostra um resumo das etapas envolvidas na Linha de Tempo de Atualizao Padro.
Figura 23. Linha do tempo de atualizao padro
Seis etapas para implantar uma atualizao. Os profissionais de TI devem tomar seis medidas ao planejar a implantao de uma nova atualizao de segurana: 1. Planeje a implantao. 2. Determine se a atualizao de segurana est disponvel para download. 3. Obtenha os arquivos de atualizaes necessrios. 4. Crie o pacote de atualizao. 5. Teste o pacote. 6. Implante o pacote para sistemas que necessitam dele.
73
Planejando a implantao
A implantao o processo de implementao da proteo fornecida pela atualizao de segurana. A implantao o objetivo final do processo; portanto, entender os mtodos de implantao que esto disponveis e contabiliz-los em suas avaliaes to importante quanto a avaliao de risco de segurana. Nessa etapa, os profissionais de TI devem compreender os mtodos de implantao possveis e, assim, criar um plano para implantao das atualizaes de segurana. importante compreender como os mtodos de implantao possveis podem impactar uma programao e fazer quaisquer alteraes necessrias. Por exemplo, se o WSUS no der suporte a uma atualizao de segurana, e esse for um mtodo de implantao principal, pode ser determinado que ele levar dois dias a mais para implantar a atualizao do que originalmente planejado. Por outro lado, os profissionais de TI podem decidir implementar solues para fornecer as protees necessrias durante essa janela de implantao. Verifique o boletim de segurana. Informaes adicionais sobre os mtodos de implantao esto contidas no boletim de segurana na seo: Informaes de Segurana Ferramentas e Orientao de Deteco e Implantao. Durante essa etapa, til usar o recurso de relatrios incorporado no WSUS para verificar se os sistemas exigem alguma atualizao de segurana. Planeje a implantao em paralelo com as outras etapas. Durante a etapa de implantao do planejamento, algumas progresses so intricadamente relacionadas e no necessariamente lineares. Em algumas organizaes, as etapas ocorrem simultaneamente, enquanto em outras, elas so sequenciais. Os profissionais de TI devem decidir sobre a implementao dessas etapas com base nas polticas, necessidades e recursos de suas organizaes. A coisa mais importante para essas etapas no a estrutura e a ordem especficas, mas que essas etapas diferentes podem informar e responder uma outra. A chave para qualquer implementao permanecer flexvel e adaptvel, e determinar um plano de implantao atingvel (um exemplo mostrado em Figura 24 abaixo) que leva em considerao os requisitos das atualizaes e as limitaes da infraestrutura de TI. Usando as informaes que foram fornecidas na etapa de avaliao de risco, a equipe de implantao precisa determinar rapidamente qual sistema precisa ser atualizado e em que ordem. Implantao rpida versus teste completo. Os profissionais de TI podem tem um entendimento claro de quais atualizaes precisam ser realizadas rapidamente e quais podem ficar sujeitas a um processo de teste mais completo ou a distino pode ser menos clara. Os profissionais de TI precisam determinar exatamente quantos sistemas so afetados pelas atualizaes de segurana e definir uma linha de tempo para as atualizaes que atenda aos SLAs de organizao para cada sistema. recomendado que as organizaes tenham uma poltica que ajude a tratar esse problema. Para enfrentar esse desafio, os profissionais de TI devem realizar as atualizaes
74
de segurana com base na poltica da organizao referente necessidade de obter as atualizaes de segurana implantadas rapidamente com relao necessidade de test-las no ambiente, o que discutido adiante neste guia. Algumas organizaes dividem sistemas em grupos de destino baseados em como os profissionais de TI desejam implantar as atualizaes de segurana. Muitas organizaes usam grupos separados para computadores desktop e servidores. Muitos tambm criam um grupo de mquinas de teste para realizar testes de implantao iniciais de novas atualizaes de segurana. Em WSUS, a estrutura de agrupamento bastante flexvel, uma vez que os computadores podem pertencer a vrios grupos, como desktop e teste. Isso conclui a etapa de planejamento. A esta altura, os profissionais de TI devem ter uma agenda que reflete todos os elementos de avaliaes e planejamento referente ao risco de segurana, incluindo a classificao de risco das atualizaes de segurana, atenuaes e solues, bem como testes e implantao.
75
Categoria de sistema
Sistemas totais
Total em risco
Descrio Os computadores servidores que fornecem organizao servios crticos incluindo produo ou sistemas de arrecadao de receita. Computadores servidores que fornecem servios de infraestrutura e funes de suporte. Embora esses dispositivos sejam importantes, eles no contribuem diretamente para os fluxos de receita da organizao. Sistemas usados para funes na organizao que so determinados para ter uma importncia aumentada para a organizao. Isso pode se dever ao papel do usurio do computador ou ao sigilo dos dados e aplicativos armazenados nos sistemas. Sistemas que fornecem vrios servios organizao, mas no armazenam informaes sigilosas.
Servidores HV
50
20
Servidores gerais
200
180
Em Figura 24, observe que os sistemas clientes so tambm identificados pelo nmero de computadores portteis remotos includos. Essas informaes podem ser importantes para algumas vulnerabilidades porque os sistemas remotos pode ser expostos a ataques fora das protees (e possveis atenuaes) da extremidade da rede da organizao (por exemplo, um firewall de rede). Em casos como esse, pode ser necessrio para o plano de implantao priorizar os clientes gerais remotos acima dos sistemas fixos, se essa exposio adicional aumentar significativamente o risco de ataque.
76
Usando essas informaes, possvel criar um plano de implantao de exemplo que leva em considerao os recursos do mundo real da infraestrutura de implantao. Nessa organizao de exemplo, o SLA para uma atualizao urgente em todos os sistemas que a atualizao fornecida dentro de 24 horas, conforme mostrado em Figura 25.
Figura 25. Fases de implantao
Fase
Tempo
Categorias de sistema
Total
Descrio 20 servidores HV
08:0012:00
Servidores HV, servidores gerais e clientes HV (primeira fase) Clientes HV Clientes HV e clientes gerais (primeira fase)
500
2 3
12:0016:00 16:0020:00
500 500
500 clientes remotos HV 200 clientes HV restantes 300 clientes remotos gerais 300 clientes remotos gerais
4 5 6
500 200 clientes gerais restantes 500 100 500 clientes gerais 100 clientes gerais
Neste exemplo, o processo de implantao est em execuo muito prximo do seu mximo para esse nmero de sistemas com suporte. Se 500 sistemas adicionais precisaram de atualizaes de segurana, a organizao no seria capaz de atender ao SLA urgente para todos esses sistemas. Como parte do processo de gerenciamento de sistemas contnuo, importante que a equipe de implantao avalie os recursos de atualizao mximos de seu sistema de implantao e garanta que, na pior das hipteses, os SLAs da organizao sero atendidos para cada categoria de sistema.
77
78
distribuda por uma rede corporativa. O Microsoft Update d suporte a atualizaes como MSIs (MSPs ou MSUs includos), executveis update.exe e outros formatos de arquivo. A maioria das atualizaes de segurana incorporada em um arquivo .cab. Os profissionais de TI tambm usam o servio Catlogo do Microsoft Update como um local nico para encontrar atualizaes de software, drivers e correes da Microsoft. Para baixar atualizaes usando o servio Catlogo do Microsoft Update, siga estas etapas: Etapa 1: Acesse o servio Catlogo do Microsoft Update em catalog.update.microsoft.com. Para visualizar uma lista de perguntas frequentes sobre o Catlogo do Microsoft Update, consulte catalog.update.microsoft.com/v7/site/Faq.aspx. Etapa 2: Pesquise atualizaes no Catlogo do Microsoft Update: Na caixa Pesquisar, digite seus termos de pesquisa. Por exemplo, voc pode digitar Segurana do Windows 7 Clique em Pesquisar ou pressione Enter. Navegue na lista exibida para selecionar as atualizaes para baixar. Clique em Adicionar para cada seleo para adicion-la cesta de downloads. Para pesquisar atualizaes adicionais para baixar, repita as etapas acima. Etapa 3: Baixar atualizaes do Catlogo do Microsoft Update: Na caixa Pesquisar, clique em exibir cesta para exibir a cesta de download. Verifique sua lista de atualizaes e clique em Download. Observao: Se for solicitado, revise o contrato de licena e clique em Aceitar para aceitar. Na janela Opes de Download, na caixa Pasta, selecione o local onde deseja salvar as atualizaes. Digite o caminho completo da pasta ou clique em Procurar para localizar a pasta. Clique em Continuar para iniciar o download. Quando o download for concludo, clique em Fechar para fechar a janela Resultados de Download. Feche a janela do Catlogo do Microsoft Update. Localize o local da pasta que foi especificado anteriormente nesta etapa. Clique duas vezes em cada atualizao e siga as instrues para instalar a atualizao.
79
Observao: Se as atualizaes se destinarem a outro computador, copie as atualizaes para esse computador e clique duas vezes nas atualizaes para instal-las. Se todos os itens que foram adicionados cesta de download forem instalados com xito, essa etapa estar concluda. Usando esse site, os profissionais de TI podem pesquisar atualizaes e criar uma lista de atualizaes necessrias para cada sistema operacional ao qual precisem dar suporte. Os profissionais de TI podem em seguida baixar os arquivos necessrios e us-los para criar os pacotes de implantao para o processo de implantao.
80
Observao: A API do WSUS complexa para ser usada por qualquer pessoa que no seja um desenvolvedor profissional e no d suporte a atualizaes que no sejam da Microsoft. Para esse requisito, a Microsoft recomenda que profissionais de TI usem o System Center Configuration Manager ou contratem desenvolvedores profissionais para criar a funcionalidade equivalente com a API pblica do WSUS. Para obter mais informaes sobre publicao local, consulte msdn.microsoft.com/library/bb902470(VS.85).aspx. The local publishing process consists of seven steps: 1. Configure o servidor de atualizao e os clientes para confiar em atualizaes publicadas localmente. 2. Crie o binrio de atualizao (um pacote MSI ou MSP ou um arquivo executvel). 3. Crie o metadados de atualizao, especificando quando e como a atualizao deve ser instalada. 4. Publique a atualizao no servidor de atualizao. 5. Teste a atualizao implantando-a em um conjunto de clientes de teste. 6. Implante a atualizao em todos os clientes. 7. Revise a verso da atualizao. Para obter mais informaes sobre esse processo, consulte os seguintes tpicos: Setting Up the Trust Relationship (em ingls) em msdn.microsoft.com/library/bb902479(VS.85).aspx. Authoring Updates (em ingls) em msdn.microsoft.com/library/bb902477(VS.85).aspx. Publishing Updates (em ingls) em msdn.microsoft.com/library/bb902478(VS.85).aspx. Testing Updates (em ingls) em msdn.microsoft.com/library/bb902483(VS.85).aspx. Revising and Versioning Updates (em ingls) em msdn.microsoft.com/library/bb902492(VS.85).aspx. Scripts de amostra. A Microsoft tambm fornece scripts de amostra de WSUS. Para ver o repositrio de script de amostra do WSUS, consulte www.microsoft.com/technet/scriptcenter/scripts/sus/default.mspx?mfr=true.
81
Anncios usando o System Center Configuration Manager. Depois que profissionais de TI definiram programas para um pacote e os dados do pacote foram enviados para um ou mais pontos de distribuio, os profissionais de TI que estiverem usando o Configuration Manager para gerenciar o processo de implantao podero criar anncios que tornaro esses programas disponveis aos clientes da coleo especificada. Para obter mais informaes sobre anncios, consulte About Advertisements (em ingls) em technet.microsoft.com/library/bb694110.aspx.
82
No importa quantos testes sejam realizados, realizar a atualizao de segurana para produo frequentemente produz efeitos que talvez nunca sejam previstos ou replicados em um ambiente de laboratrio. Depois de aplicar uma atualizao ou um grupo de atualizaes a computadores de teste, teste todos os aplicativos e funcionalidades. A quantidade de tempo e as despesas que os profissionais de TI dedicam a testar a atualizao devem ser determinadas pelo dano potencial que uma implantao de atualizao problemtica causaria. Os profissionais de TI podem testar uma atualizao de duas formas: 1. Em um ambiente de teste. 2. Em uma implantao piloto.
Ambiente de teste
Um ambiente de teste pode consistir em um laboratrio de teste e incluir planos que detalham o que deve ser testado e casos para descrever como cada componente testado. As organizaes que tm os recursos para testar atualizaes em um ambiente de teste devem sempre faz-lo porque isso pode reduzir o nmero de problemas que a incompatibilidade da atualizao com aplicativos pode causar. Mesmo que uma organizao no tenha os recursos para testar as atualizaes de segurana, os profissionais de TI devem sempre testar pacotes de servio antes implant-los em computadores de produo. Benefcios de um ambiente de teste. O laboratrio de teste pode consistir em um nico laboratrio ou vrios laboratrios, cada um deles oferece suporte a testes sem apresentar riscos ao ambiente de produo. No ambiente de laboratrio de teste, os membros da equipe de teste podem verificar presunes de design de implantao, descobrir problemas de implantao e aprimorar o entendimento das alteraes que atualizaes especficas implementam. Essas atividades reduzem o risco de erros que ocorrem durante a implantao e permitem que membros da equipe de teste resolvam rapidamente problemas que talvez ocorram quando eles implantam uma atualizao ou depois que eles aplicam uma atualizao. Muitas organizaes dividem sua equipe de teste em dois grupos funcionais: a equipe de design e a equipe de implantao. A equipe de design coleta informaes vitais para o processo de implantao, identifica necessidades de teste imediatas e de longo prazo e prope um design de laboratrio de teste (ou recomenda melhorias para o laboratrio de teste existente). A equipe de implantao conclui o processo implementando as decises da equipe de design e testando novas atualizaes de uma forma contnua.
83
No incio do ambiente de teste de atualizao, a equipe de implantao testa o processo de implantao de atualizao para validar que o design funcional. Mais tarde, depois que os profissionais de TI identificaram uma atualizao para implantao, a equipe de implantao testa as atualizaes individuais para garantir que todas elas so compatveis com os aplicativos que a organizao usa. Representao igual. Um ambiente de teste de atualizao deve ter computadores que representam cada uma das funes de computador principais na organizao, como computadores desktop, computadores mveis e servidores. Se os computadores para cada funo tm sistemas operacionais diferentes, cada sistema operacional deve estar disponvel em computadores dedicados, em um nico computador com uma configurao de vrios boots, ou em um ambiente de desktop virtual. Depois que a equipe de implantao tiver um conjunto de computadores que representa cada tipo de computador na organizao, ela poder conect-los a uma rede privada. Os profissionais de TI precisam se conectar a verses de teste dos computadores de infraestrutura de atualizao. Por exemplo, se os profissionais de TI planejam implantar atualizaes usando WSUS, conecte um servidor WSUS rede do laboratrio. Os profissionais de TI devem carregar cada aplicativo que usado nos computadores do laboratrio e desenvolver um procedimento para testar a funcionalidade de cada aplicativo. Por exemplo, para testar a funcionalidade do Internet Explorer, os profissionais de TI poderiam visitor o site da Microsoft e um site da intranet. Posteriormente, quando os profissionais de TI estiverem testando atualizaes, eles repetiriam esse teste. Se um dos aplicativos falhar no teste, a atualizao que est sendo testada atualmente pode ter causado um problema. (As sees subsequentes deste guia tm mais informaes sobre as atualizaes de testes.) Se os profissionais de TI estiverem testando um grande nmero de aplicativos, scripts podem ser identificados para automatizar o teste de atualizaes.
84
Implantao piloto
Alm de testar a implementao de uma atualizao, a conduo de uma implementao piloto fornece uma oportunidade de testar o plano de implantao da organizao e os processos de implantao. Ela ajuda os profissionais de TI a determinar quanto tempo necessrio para instalar a atualizao, e o pessoal e as ferramentas que so necessrios. Ela tambm fornece uma oportunidade de treinar pessoal de suporte e avaliar a reao do usurio ao processo de atualizao. Por exemplo, se uma atualizao determinada leva uma hora para um usurio de internet discada baixar, os profissionais de TI devem considerar a identificao de um mtodo alternativo para fornecer a atualizao para o usurio.
Etapas de processo de teste Para todas as atualizaes de software afetadas: instalao e desinstalao de atualizao de segurana de teste.
Detalhes Esses testes garantem que possvel implantar e instalar com xito o pacote de atualizao de segurana nos sistemas de destino. Verifique se os pacotes podem ser revertidos se um problema de compatibilidade for encontrado. Esses testes garantem que os servios locais necessrios em um sistema ainda esto disponveis e em funcionamento no nvel correto depois que a atualizao foi aplicada. Esses testes garantem que os servios remotos necessrios que so fornecidos para a rede por meio de um sistema de interface especfico ainda esto disponvel e em funcionamento no nvel necessrio depois que a atualizao foi aplicada.
Para atualizaes de cliente e servidor: teste a funcionalidade de sistema ps-atualizao. Para atualizaes de cliente e servidor: testar interfaces de rede.
85
Etapas de processo de teste Para outra atualizao de segurana (por exemplo, o sistema Microsoft Office, Internet Explorer, etc.): testar aplicativos de usurio.
Detalhes Em sistemas clientes, importante testar a funcionalidade dos aplicativos de negcios necessrios. Esses casos de teste so usados para exercitar um conjunto de funcionalidades para todos os aplicativos de usurio compatveis. Posteriormente, h dois testes de aplicativo de usurio para o sistema do Microsoft Office system e o Internet Explorer. Os profissionais de TI precisam identificar e desenvolver colees de testes repetveis para cada aplicativo de usurio comercial em sua organizao.
As prximas sees deste guia fornecem alguns casos de teste de usurio de teste que podem ser aplicados para testar a funcionalidade das etapas do processo de teste em Figura 26. Essas etapas so apenas uma linha de base para iniciar o processo de teste. Recomendamos que os profissionais de TI as modifiquem conforme necessrio para atender os requisitos especficos da organizao.
Instalao de atualizao de segurana de teste
Figura 27 descreve algumas etapas sugeridas para testar a instalao e desinstalao das atualizaes de segurana para todos os produtos afetados.
86
Detalhes
Confirme que a atualizao se aplica ao sistema, sistema operacional ou verso de aplicativo. Consulte Etapa 2: Avaliar risco neste guia para obter mais informaes. Garanta que no h avisos observados.
Instalao
Verifique se o processo de instalao executado e concludo com xito e certifique-se de que nenhum erro aparece durante esse processo. Revise o sistema e os logs do processo de atualizao (por exemplo, %systemroot%\KB[XXXXXX].log, onde KB[XXXXXX] se refere a um nmero de artigo do KB especfico, por exemplo KB973346) e certifique-se de que nenhum erro foi gravado. Verifique se a instalao da atualizao foi relatada corretamente. Dependendo da atualizao, isso pode envolver: A verificao da chave de instalao da atualizao do Registro para garantir que ela foi criada adequadamente. A verificao de que a instalao da atualizao foi relatada corretamente pelo sistema de monitoramento. A garantia de que a atualizao aparea no Painel de Controle, na pasta Adicionar ou Remover Programas. A verificao de que o diretrio de desinstalao existe e contm os arquivos binrios alterados. Testes de que o sistema no exibe comportamento no usual ou anormal.
87
Detalhes
Certifique-se de que nenhuma das alteraes especificadas foi revertida ou alterada. Assegure que o sistema no exibe comportamento no usual ou anormal. Reinicie o sistema, manualmente se necessrio.
Certifique-se de que a atualizao detecta se ela falhou (instalao parcial) anteriormente ou se a tentativa de reinstalar falhar. Certifique-se que nenhuma alterao existe nos parmetros ou binrios da desinstalao. Verifique se o processo de desinstalao executado e concludo com xito. Verifique se todas as alteraes foram revertidas configurao original checando chaves do Registro, binrios, arquivos de configurao, etc. Certifique-se de que nenhum erro postado no sistema ou em logs de processo de atualizao (por exemplo, %systemroot%\KB[XXXXXX].log). Verifique se a instalao da atualizao foi removida. Os sinais de sucesso incluem: A chave do Registro foi removida. A ferramenta de monitorao relatou corretamente que a atualizao est ausente. A atualizao no aparece no Painel de Controle, na pasta Adicionar ou Remover Programas. O diretrio Desinstalar removido.
Desinstalar
Consulte a seo Desinstalando atualizaes de segurana adiante para obter informaes adicionais sobre a desinstalao de atualizaes. Reinicializao ps-atualizao Certifique-se de que nenhuma das alteraes especificadas foi revertida ou alterada. Assegure que o sistema no exibe comportamento no usual ou anormal.
88
Repita testes de instalao e desinstalao com quaisquer comutadores de opo e parmetros necessrios. Por exemplo, teste com uma opo de reinicializao, uma opo silenciosa, etc..
Figura 28 e Figura 29 detalham algumas sugestes para testar a funcionalidade do sistema depois da instalao de atualizaes de segurana para servidores e clientes, respectivamente. Novamente, essas etapas so apenas uma linha de base para iniciar o processo de teste. Recomendamos que os profissionais de TI modifiquem essas sugestes para atender os requisitos especficos de suas organizaes.
Figura 28. Testes de funcionalidade de sistema ps-atualizao para servidores
Testes de usabilidade do servidor (Observao: ao final de cada teste, verifique os logs de evento quanto a erros relacionados operao) Teste se o sistema conclui uma inicializao (inicializao a frio) e reinicializao (inicializao a quente) com xito. Faa logon como administrador local e teste se o logon efetuado com xito. Garanta que todos os servios necessrios so iniciados corretamente. Rede iniciada adequadamente Verifique se as portas necessrias ainda esto habilitadas. Garanta que o endereo IP, a mscara de rede e outros parmetros de rede (por exemplo, gateway padro, DNS e WINS) so atribudos corretamente. Verifique se voc pode executar PING no localhost, em um host na rede local (por exemplo, o gateway padro) e em um host em um segmento de rede remoto (por exemplo, um servidor Web baseado na Internet). Se um proxy for necessrio, verifique o acesso e o host externo usando o proxy. Controlador de domnio Garanta que o controlador de domnio passe todos os testes do DCDIAG.EXE.
89
Testes de usabilidade do servidor (Observao: ao final de cada teste, verifique os logs de evento quanto a erros relacionados operao) Certifique-se de que os clientes possam detectar o controlador de domnio (por exemplo, o cliente pode executar PING no host e realizar nslookup depois do comando flushdns do ipconfig). Certifique-se de que a Replicao do Sistema de Arquivos Distribudos (DFS) e o Servio de Replicao de Arquivos (FRS) (se aplicvel) esto funcionando corretamente. Servidor DNS Certifique-se de que o servio DNS iniciado e concludo com xito tanto para consulta simples e tipos de teste recursivo. Certifique-se de que o servio de nomes resolve nomes adequadamente (por exemplo, o comando de nome de servidor de ping deve retornar o nome de servidor e o endereo IP). Servidor WINS Certifique-se de que o servio WINS seja iniciado em um estado de integridade. Teste se a verificao de consistncia de banco de dados concluda com xito. Garanta que os clientes WINS podem resolver e renovar nomes. Verifique os logs de evento de servidor para se certificar que eles no contenham erros relacionados s operaes de WINS. Servidor DHCP Teste se o servio DHCP iniciado adequadamente, se as estatsticas do servidor do snap-in do DHCP do Microsoft Management Console (MMC) mostram endereos que tenham sido concedidos. Garanta que os clientes DHCP possam obter endereos IP. Execute uma verificao de consistncia de banco de dados DHCP e garanta que ela seja concluda sem erros.
90
Testes de usabilidade do servidor (Observao: ao final de cada teste, verifique os logs de evento quanto a erros relacionados operao) Servidor IIS Garanta que o Servio IIS est em execuo, verifique os servios para ver se o servio de publicao WWW foi iniciado adequadamente e verifique os processos para garantir que o processo INETINFO.EXE est em execuo. Verifique se os servios IIS so iniciados aps a reinicializao. Certifique-se de que os nveis de autenticao e criptografia no servidor Web funcionam adequadamente (isto , os usurios podem acessar o contedo Web que eles so autorizados a acessar). Certifique-se de que o endereo IP e o nome de domnio no Gerenciamento IIS est definido adequadamente. Certifique-se de que a pasta Raiz e todos os arquivos Web necessrios esto presentes. Teste se os clientes podem acessar as pginas da Web estticas e ativas no servidor. Servidor de arquivo e impresso Teste se um administrador pode criar um novo compartilhamento de arquivo. Verifique se um administrador pode alterar com xito o acesso do usurio de domnio para compartilhar arquivos. Garanta que os sistemas clientes podem localizar o compartilhamento de arquivo depois que ele foi publicado no Active Directory. Faa logon como administrador e certifique-se de que voc pode adicionar com xito uma nova impressora. Garanta que os sistemas cliente podem acessar as impressoras depois que so publicados no Active Directory. De um sistema cliente, garanta que voc pode imprimir um documento com xito.
Testes de usabilidade de cliente (Observao: ao final de cada teste, verifique os logs de evento quanto a erros relacionados operao)
91
Testes de usabilidade de cliente (Observao: ao final de cada teste, verifique os logs de evento quanto a erros relacionados operao) Testes do administrador Certifique-se de que um usurio administrador de domnio pode se associar a uma estao de trabalho em um domnio filho. Garanta que um usurio administrador de domnio possa fazer logon, alterar uma senha, imprimir, ver e gerenciar filas de impresso, acessar arquivos em um compartilhamento remoto e liberar e renovar um endereo IP. Testes de usurio Certifique-se de que um usurio de domnio pode fazer logon, alterar sua senha, imprimir, exibir filas de impresso e acessar arquivos em um compartilhamento remoto. Testando interfaces de aplicativos
A prxima etapa na fase de teste garantir que os servios remotos e aplicativos necessrios que foram fornecidos para a rede por meio de uma interface especfica ainda esto disponveis e em execuo no nvel adequado depois que a atualizao foi aplicada. Figura 30 e Figura 31 listam vrios testes sugeridos que profissionais de TI podem usar para confirmar a funcionalidade correta do sistema aps a instalao das atualizaes de segurana. Novamente, essas etapas so apenas uma linha de base para iniciar o processo de teste. Recomendamos que os profissionais de TI modifiquem essas etapas para atender os requisitos especficos de suas organizaes.
Figura 30. Teste de aplicativo local
Interfaces de aplicativo local Servidor IIS Certifique-se de que voc pode autenticar com o servio IIS local. Faa logon na conta de administrador e certifique-se de que voc pode realizar os seguintes testes: Administre o servio IIS local. Recupere uma pgina esttica do servio IIS local. Recupere uma pgina ASP do servio IIS local.
92
Interfaces de aplicativo local SQL Server Certifique-se de que voc pode autenticar com o servio do SQL Server local. Faa logon na conta de administrador e certifique-se de que voc pode realizar os seguintes testes: Administre o servio SQL Server local. Consulte tabelas do SQL Server. Executar procedimentos armazenados
Interfaces de aplicativo remoto Garanta que cada aplicativo tem conectividade com um servio ou servidor de back-end conforme necessrio. Verifique se o sistema pode autenticar com qualquer servidor de back-end necessrio. Servidor terminal Tente iniciar uma sesso do protocolo RDP de um computador cliente. Certifique-se de que voc pode fazer logon como administrador local por meio da sesso RDP. Teste se a conta do administrador local pode acessar os consoles de administrao necessrios. Teste se a sesso RDP est protegida com o nvel de criptografia necessrio e se a autenticao do servidor foi bem-sucedida. Certifique-se de que voc pode fazer logon como administrador de domnio por meio da sesso RDP. Teste se a conta do administrador de domnio pode acessar os consoles de administrao necessrios. Teste se uma conta de usurio de Servidor terminal pode encerrar uma sesso RDP.
93
Interfaces de aplicativo remoto Certifique-se de que uma conta de usurio pode recuperar uma sesso desconectada. Servidor IIS Garanta que voc pode autenticar com o servio IIS em toda a rede. Autentique-se como uma conta de administrador local e certifique-se de que pode administar o servio IIS remoto. Certifique-se de que uma conta de administrador pode recuperar pginas estticas e ativas (por exemplo, ASP) do servio IIS remoto. Certifique-se de que as contas de usurio padro podem ser autenticadas com o servio IIS remoto. Certifique-se de que uma conta de usurio padro pode recuperar pginas estticas e ativas (por exemplo, ASP) do servio IIS remoto. Servidor SQL Certifique-se de que uma conta de administrador pode fazer logon com o servio SQL Server. Certifique-se de que uma conta de administrador pode realizar as seguintes tarefas: Consultar tabelas. Adicionar e configurar usurios (do SQL Server) locais. Adicionar e configurar usurios de domnio. Executar procedimentos armazenados. Criar e atualizar tabelas. Remover tabelas.
Certifique-se de que uma conta de usurio padro pode realizar as seguintes tarefas: Autenticar-se com o servio SQL Server. Consultar tabelas. Executar procedimentos armazenados. Atualizar tabelas.
Observaes
94
Interfaces de aplicativo remoto Testes de funcionalidade bsica (isto , conexo, autenticao, administrao e funcionalidade de leitura e gravao) aplicam-se igualmente a outras conexes back-end como Enfileiramento de mensagens (tambm conhecido como MSMQ), SNA Gateway, NFS (Network File System), etc.
Figura 32 e Figura 33 listam alguns processos sugeridos para testar qualquer atualizao de segurana para o Microsoft Office system e o Internet Explorer. Essa parte do processo de testes exige um conjunto de testes para todos os aplicativos comerciais compatveis na organizao. Para o Internet Explorer, os profissionais de TI devem testar para garantir que a pgina processada corretamente e o aplicativo funcional antes ou depois da instalao da atualizao. Novamente, essas etapas so apenas uma linha de base para iniciar o processo de teste. Recomendamos que os profissionais de TI as modifiquem para atender os requisitos especficos de suas organizaes.
Testando para o Microsoft Office System Garanta que o service pack compatvel com o Microsoft Office system est instalado no sistema. Realize operaes tpicas em aplicativos no Microsoft Office system, como abrir, salvar, editar e fechar arquivos. Verifique se voc pode salvar arquivos de documentos, planilhas e apresentaes em vrios formatos. Por exemplo, .docx, .doc, .html, .dot e .rtf no Microsoft Office Word; .xlsx, .xls, .html, .xml e vrios formatos de texto no Microsoft Office Excel. Execute documentos (incluindo pastas de trabalho e apresentaes) que tenham macros em diferentes nveis de segurana (baixo, mdio e alto). Execute aplicativos internos e outros no Microsoft Office system que usam aplicativos em Microsoft Visual Basic for Applications. Teste se os controles ActiveX incorporados em um arquivo so carregados sem problemas e se a adio de novos controles ActiveX funciona corretamente.
95
Testando para o Microsoft Office System Realize os testes acima com gerenciamento de direitos digitais (DRM) tambm. Garanta que a abertura, edio e salvamento de arquivos com DRM funcione.
Testes do Internet Explorer em servidor e estaes de trabalho Teste qualquer aplicativo Web LOB desenvolvido internamente. Teste aplicativos de Planejamento de Recursos Empresariais (ERP) e Gerenciamento de Relacionamento com o Cliente (CRM). Teste aplicativos que usam arquivos .css, por exemplo, Microsoft Visual Studio. Execute aplicativos que usam componentes do Internet Explorer para realizar operaes de protocol FTP. Certifique-se de que aplicativos Web que usam DHTML ainda podem usar: Objetos pop-up. O objeto window.location. O objeto window.opener. Eventos. A marca <object>. O objeto window.self. Controles ActiveX. Controles do Microsoft .NET. Visual Basic Scripting Edition (VBScipt) e JScript
Certifique-se de que aplicativos da Web podem usar folhas de estilos em cascata (CSS) e que elas so exibidas corretamente. Teste se os aplicativos da Web que usam pginas HTML que utilizam comportamentos binrios ainda se comportam como esperado. Certifique-se de que as pginas HTML que usam scripts externos ainda se comportam como esperado.
96
Testes do Internet Explorer em servidor e estaes de trabalho Teste a funcionalidade de aplicativos da Web que usam pginas HTML que usam a marca <script>. Teste a abertura de arquivos .mht. Verifique qualquer aplicativo que faa uso de urlmon.dll para downloads de arquivo. Teste do salvamento de pginas da Web. Teste pginas HTML que usam CSS. Certifique-se de que qualquer aplicativo que hospede o Internet Explorer como navegador, como o Microsoft Office 2003 (com barra de ferramentas Web), ainda exibe pginas corretamente.
Depois que os pacotes de atualizao necessrios tiverem passado pelo processo de teste, a prxima etapa ser pass-los para os mecanismos de implantao e implant-los na organizao.
97
segurana, de acordo com as recomendaes de segurana da Microsoft e oferece orientaes especficas de melhoria. Use MBSA para detectar vulnerabilidades administrativas comuns e atualizaes de segurana ausentes em sistemas de computador. Consulte technet.microsoft.com/security/cc184924.aspx. A ferramenta MBSA no instala atualizaes, ela apenas varre em busca de atualizaes e configura o computador para usar o Microsoft Update para gerenciamento de atualizaes. A ferramenta MBSA no substituta para uma ferramenta de inventrio de gerenciamento de sistemas completa, mas pode ser usada para ambientes onde nenhuma soluo de inventrio est em uso.
Organizaes empresariais maiores precisaro, provavelmente, de recursos adicionais, que a ferramenta MBSA no pode fornecer. O System Center Configuration Manager uma outra soluo que fornece recursos adicionais que a ferramenta MBSA e o WSUS no oferecem. Consulte www.microsoft.com/systemcenter/configurationmanager/. Vrios problemas e restries potenciais podem determinar as etapas que so necessrias para a implantao completa de atualizao de segurana para produo. Quando profissionais de TI recebem a tarefa de implantar uma atualizao de segurana, eles devem considerar as informaes em Figura 34.
Figura 34. Consideraes de implantao de pacote
Consideraes de implantao Considere como tratar as excees aos requisitos da linha do tempo.
Comentrios
A quantidade de tempo que os sistemas de destino tm antes de precisarem ser atualizados deve ser determinada como parte do processo de Avaliao de risco. Porm, alguns sistemas podem no atender a essas linhas de tempo. Portanto, importante que os profissionais de TI tenham um processo documentado a ser seguido de maneira que esses sistemas no deixem de receber atualizaes. Vrios fatores podem levar a essa situao incluindo a disponibilidade do sistema, funes e responsabilidades do usurio e a natureza da instabilidade vulnerabilidade do sistema que a atualizao foi projetada para tratar.
98
Consideraes de implantao Garanta que os sistemas atendam aos requisitos mnimos de instalao.
Comentrios
Se a atualizao exigir uma certa quantidade de espao em disco para ser instalada, ou voc deseje armazenar em cache a atualizao localmente antes da instalao, voc deve acionar uma verificao da quantidade de espao em disco livre para cada computador cliente da organizao. Alm disso, computadores cliente remoto podem levar algum tempo para baixar atualizaes grandes. Se a atualizao no for classificada como obrigatria, pode ser apropriado adiar a instalao em computadores cliente remoto at que eles sejam conectados fisicamente rede. Porm, depois que a atualizao se torna obrigatria, todos os computadores cliente devem ser forados a aplicar atualizaes, incluindo computadores clientes remotos. Computadores crticos para os negcios podem ter tempos especficos nos quais alteraes e reinicializaes de computador so permitidos (janelas de interrupo). Voc deve programar a implantao de uma atualizao de segurana e qualquer sistema necessrio reiniciado como um resultado dentro dessas janelas de interrupo. Pode tambm ser benfico para preparar a atualizao de modo que os clientes sejam atualizados em momentos diferentes. s vezes, usar fusos horrios pode ajudar a gerenciar essas implantaes. Os profissionais de TI que usam WSUS podem usar as configuraes de Diretiva de Grupo para forar computadores a instalar uma atualizao antes da janela de manuteno regularmente programada. Porm, antes de fazer isso, verifique se h replicao forada em algum servidor WSUS filho. Eles so normalmente agendados para sincronizao de atualizao em horrios tranquilos na rede, usando a opo Sincronizar Agora na pgina de administrao do servidor WSUS. Consulte o guia Deploying Microsoft Windows Server Update Services para obter mais informaes: technet.microsoft.com/library/cc720507(WS.10).aspx.
Se computadores cliente so bloqueados de usar certas configuraes de Poltica de Grupo, isso pode afetar a capacidade de as atualizaes de segurana serem instaladas corretamente.
99
Consideraes de implantao Determine se qualquer das atualizaes exige acesso aos arquivos de instalao originais. Verifique se qualquer aplicativo de usurio foi instalado numa base por usurio. Planeje restries de largura de banda de rede.
Comentrios
Se o produto a ser atualizado foi implantado usando o Windows Installer, o Windows Installer pode exigir acesso a arquivos de instalao originais. Se uma instalao silenciosa da atualizao de segurana realizada, esses arquivos precisam estar no mesmo local que estavam quando o produto foi instalado originalmente. Se o produto foi originalmente instalado da mdia fsica uma unidade de CD, por exemplo o Windows Installer tentar encontrar os arquivos originais no CD inserido atualmente. Se qualquer aplicativo tiver sido instalado em uma base por usurio, em vez de uma base por computador para todos os usurios, os profissionais de TI devem reinstalar o aplicativo em uma base por computador e aplicar a atualizao de segurana na nova instalao.
H muitas razes convincentes para aplicar a atualizao de segurana a computadores que esto em risco de uma vulnerabilidade de segurana ou instabilidade de sistema potencial e, em seguida, depois que esses computadores forem atualizados, continuar a distribuio nos outros lugares. Por exemplo, a implantao de atualizaes de segurana atualiza para sites remotos provavelmente levar mais tempo do que a dos sites locais por causa das restries de largura de banda de rede. Nesses casos, pode ser ideal considerar a implantao local primeiro para obter o mximo nmero de sistemas atualizados no menor perodo de tempo. Voc pode implantar a atualizao de segurana em sites remotos depois que a janela de tempo de implantao local foi concluda.
Algumas dessas consideraes podem exigir profissionais de TI para fazer modificaes no plano de implantao original. Se esse o caso, importante verificar os SLAs Se a implantao no puder atender aos requisitos de SLA, isso deve ser comunicado aos indivduos apropriados de forma que eles possam avaliar os riscos que isso representa para a organizao.
100
101
Comentrios Um usurio conectado com direitos de administrador local precisar selecionar a opo para fazer download da atualizao sempre que a notificao Nova atualizao disponvel para download aparecer na barra de tarefas. Para concluir a instalao, o usurio precisar instalar a atualizao do software quando a notificao Nova atualizao disponvel para instalao aparecer. O cliente Atualizaes automtica faz download automaticamente de atualizaes recm-aprovadas que se aplicam ao computador do cliente. Para instalar as atualizaes, um usurio conectado com direitos de administrador local precisar selecionar a opo para instalar a atualizao do software quando a notificao Nova atualizao de software disponvel para instalao aparecer. Um usurio conectado com direitos de administrador local pode instalar uma atualizao antes do horrio programado para a atualizao ou atrasar a reinicializao (se ela for necessria) depois que a instalao tiver sido concluda. Para usurios sem direitos de administrador local, a atualizao ser instalada em segundo plano no horrio programado. Esses usurios podem atrasar a reinicializao de um computador apenas se a configurao de poltica Nenhuma reinicializao automtica para instalaes de atualizaes automticas estiver ativada.
Para obter informaes detalhadas sobre como usar WUS na fase de implantao, consulte a Biblioteca TechNet Servios de atualizao do Windows Server (WSUS) em technet.microsoft.com/library/cc706995(WS.10).aspx.
Instalao da atualizao
Quando um plano de publicao existe e comunicado, o prximo estgio do processo de implantao instalar a atualizao necessria nos sistemas. As tarefas e as atividades que precisa realizar aqui dependem, principalmente, dos requisitos do mecanismo de implantao da organizao. Essa etapa pode exigir vrios mecanismos para atingir todos os sistemas. Por exemplo, possvel usar o processo Linha de tempo da implantao da atualizao padro para sistemas clientes. No entanto, para servidores Hyper-V, os administradores do sistema provavelmente realizao a atualizao manualmente, para que possam observla de perto e colocar o servidor de volta em um estado completamente operacional o mais rpido possvel.
102
Organizaes maiores provavelmente tero camada adicional de complexidade que requer que os profissionais de TI equilibrem a carga de trabalho da atualizao em vrios servidores de atualizao e coloque as atualizaes nesses servidores da organizao para ajudar a garantir que o nmero de atualizaes do cliente no sobrecarregue nenhum dos servidores. De maneira ideal, os profissionais de TI devem publicar atualizaes de segurana por meio de uma implantao faseada, conforme discutido anteriormente neste estgio. Isso minimiza o impacto de quaisquer falhas ou efeitos adversos que possam ocorrer durante a distribuio inicial de uma atualizao de segurana. As etapas desse processo dependem dos produtos de gerenciamento de infraestrutura que os profissionais de TI usam para implantar a atualizao. No entanto, deixando as ferramentas de lado, certos estgios so normalmente necessrios e eles incluem: A ativao das atualizaes necessrias nos servidores de implantao. Copie as atualizaes necessrias nos servidores de implantao prontos para anunci-las para os clientes de atualizao. Distribuio do pacote de atualizao para os clientes necessrios. Como os profissionais de TI gerenciam esse estgio depende muito do nmero de clientes includos no processo de atualizao e dos recursos do servio de atualizao da organizao. Se os profissionais de TI oferecerem suporte a um grande nmero de clientes, o processo de distribuio provavelmente envolver a ativao do pacote de atualizao em vrios servidores para ajudar a distribuir a carga de trabalho ou a execuo da implantao de uma atualizao em que a base de clientes atualizada durante um perodo de tempo, de modo que um limite mximo aceitvel seja mantido no servidor de atualizao. Execuo do pacote de atualizao. Novamente, a maneira como o pacote executado depender das ferramentas de gerenciamento, mas os profissionais de TI tm duas opes bsicas: Automtico ou manual. Aprovao da atualizao no WSUS. Se uma implantao faseada no for necessria, os profissionais de TI precisam apenas aprovar a atualizao no servidor pai do WSUS para que ela seja disponibilizada para os clientes. Os clientes do WSUS comearo, em seguida, a fazer download da atualizao recm-aprovada, no prximo ciclo de deteco ou quando solicitados pelo administrador local (se o cliente de atualizaes automticas tiver sido configurado para notificar o administrador local quando novas atualizaes estiverem disponveis). No entanto, se tiver que haver uma implantao faseada, os profissionais de TI devero aprovar, primeiro, a atualizao apenas no servidor WSUS. Em seguida, depois que tiverem implantado a atualizao com xito em computadores clientes suportados por esse servidor, devero ativar a sincronizao da lista de aprovaes no servidor filho do WSUS que oferece suporte a computadores clientes na prxima fase da implantao.
103
Teste de pacotes
O processo de teste completo de uma atualizao requer um investimento significativo para garantir que todas as configuraes suportadas do sistema sejam testadas. Para algumas organizaes, esse ciclo completo de testes apresenta um atraso inaceitvel no processo de implantao da atualizao. Nesses casos, uma opo de teste de campo limitada pode ajudar a fornecer um processo de implantao mais rpido. Por exemplo, algumas organizaes testaro uma atualizao urgente diretamente em um grupo seleto de sistemas de produo como ambiente de teste beta, em vez de usar um ambiente de laboratrio. Se a instalao inicial for bem-sucedida, a implantao completa ser imposta e possivelmente at mesmo automatizada, para ocorrer assim que um sistema desatualizado tentar se conectar novamente rede da organizao. Para atualizaes do servidor, esse processo poderia comear em servidores no de produo e ser implantado nos servidores de produo apenas depois que as atualizaes tiverem sido validadas nesses servidores de menor prioridade.
104
Implantao de pacotes
Para implantaes urgentes, o momento entre a oferta da primeira atualizao e o momento em que a atualizao muda de opcional para obrigatria ser, provavelmente, muito mais curto do que para implantaes normais. Em vez de ter dias ou semanas para aplicar a atualizao, mais provvel que os usurios e administradores do sistema tero apenas horas, antes que a atualizao seja obrigatria. Isso levar, provavelmente, a uma situao em que os sistemas no estaro on-line durante esse perodo de tempo e tero, portanto, que ser atualizados assim que estiverem conectados novamente. Para lidar com essa situao, importante que os profissionais de TI monitorem o processo de implantao e controlem o status dos clientes que ainda precisam da atualizao. Esse o foco do estgio final da estrutura de gerenciamento de risco do cliente.
Entenda os recursos e os mtodos para desinstalao de uma atualizao de segurana. Entenda as etapas gerais para uma anlise ps-implementao.
105
O estgio Monitorar sistemas ajuda a garantir que as atualizaes de segurana atuais sejam implementadas com xito e que ciclos futuros de atualizaes continuem a ocorrer sem problemas. O Figura 36 mostra um resumo das etapas necessrias durante esse estgio.
10
O MBSA foi localizado para quatro idiomas: ingls, alemo, francs e japons, mas a deteco subjacente varre, precisamente, computadores de destino em qualquer idioma a que o Microsoft Update e o WSUS ofeream suporte.
106
107
Consultas de script remotas. Dependendo da variedade de sistemas operacionais na organizao, os profissionais de TI podem conseguir usar um ambiente de script, como o Windows Script Host (WSH) ou o Windows PowerShell para consultar os computadores com relao ao seu status. Para que esse mtodo seja bem-sucedido, importante que todos os sistemas a ser verificados ofeream suporte ao ambiente de script e capacidade de consulta remota. Para obter mais informaes sobre o WSH e o Windows PowerShell, consulte o Microsoft Script Center em www.microsoft.com/technet/scriptcenter. Para um script do Windows PowerShell que os profissionais de TI possam usar, consulte www.microsoft.com/technet/scriptcenter/scripts/msh/srvpacks/ spms01.mspx. Microsoft Baseline Security Analyzer (MBSA)11. Essa ferramenta fornece outro excelente mtodo para confirmar se uma atualizao de segurana foi instalada com xito. possvel configurar essa ferramenta para consultar, remotamente, um computador para determinar o status da sua atualizao de segurana. Para fazer download da verso mais recente da ferramenta MBSA e para obter mais informaes, consulte technet.microsoft.com/security/cc184923.aspx.
11
O MBSA foi localizado para quatro idiomas (ingls, alemo, francs e japons), mas a deteco subjacente varre, precisamente, os computadores de destino em qualquer idioma que o Microsoft Update e o WSUS oferecerem suporte.
108
A ferramenta MBSA oferece suporte para execuo da parte da atualizao de segurana de uma varredura com relao ao servidor de servios de atualizao ao qual cada computador varrido atribudo. Alm disso, executa uma varredura independente para organizaes que no tm um servidor Servios de atualizao. Os administradores podem selecionar opes na ferramenta MBSA para ignorar ou observar, de maneira exclusiva, a lista aprovada de atualizaes no servidor Servios de atualizao. No entanto, por padro, a varredura de segurana ocorre com relao lista de atualizaes de segurana aprovadas no servidor Servios de atualizao e com relao a uma lista completa de atualizaes de segurana disponveis no catlogo do Microsoft Update. Os itens no aprovados no servidor Servios de atualizao do computador varrido recebem uma pontuao apenas informativa e no contam com relao pontuao da avaliao de segurana cumulativa. Os itens que so aprovados, mas no esto listados no computador de destino, recebem um aviso adequado e so considerados riscos de segurana. A ferramenta MBSA fornece uma opo Servios avanados de atualizao para ativar computadores de destino que no tm um servidor Servios de atualizao atribudos para informar um erro, de modo que o help desk possa identific-los claramente. Em um prompt de comando, isso fornecido pela opo /wa (aprovado pelo WSUS). Outras ferramentas de instalao e deteco. H vrias outras ferramentas de implantao e deteco de atualizaes de segurana que tambm podem ser usadas para confirmar se um sistema foi atualizado. Recomendamos que os profissionais de TI usem ferramentas que confirmem a instalao da atualizao de segurana, e no aquelas que executam testes de vulnerabilidade especficos. Verificao de verso do arquivo. Se a ferramenta MBSA ou outra ferramenta no for uma opo para os profissionais de TI, a Microsoft tambm fornecer informaes para o respectivo pacote no artigo e boletim de segurana da Base de Dados de Conhecimento na seo Verificao da verso do arquivo. H vrias verses e edies do Windows e, portanto, as etapas a seguir podem ser diferentes. Se forem, consulte a documentao do produto para concluir essas etapas. No entanto, geralmente, a verificao da verso do arquivo segue estas etapas: 1. Clique em Iniciar (no Windows Vista e Windows 7, Iniciar representado pelo cone a seguir), clique em Iniciar Pesquisa e, em seguida, digite um nome de arquivo de atualizao.
109
3. Na guia Geral, compare o tamanho do arquivo com as tabelas de informaes do arquivo fornecidas no artigo ou boletim de segurana da Base de dados de conhecimento. 4. Tambm possvel clicar na guia Detalhes e comparar informaes, como a verso do arquivo e a data de modificao, com as tabelas de informaes do arquivo fornecidas no artigo ou boletim de segurana da Base de dados de conhecimento. 5. Finalmente, voc pode clicar na guia Verses Anteriores e comparar informaes da verso anterior do arquivo com as informaes da verso nova ou atualizada do arquivo. Alguns aplicativos no tm nenhuma ferramenta suportada. Portanto, a verificao da verso do arquivo o nico mtodo para confirmar a instalao bem-sucedida. System Center Configuration Manager. Como mencionado anteriormente, organizaes empresariais maiores precisaro, provavelmente, de recursos adicionais, que a ferramenta MBSA no pode fornecer. Portanto, o Microsoft System Center Configuration Manager uma outra soluo que fornece recursos adicionais que a ferramenta MBSA e o WSUS no fornecem. Consulte www.microsoft.com/systemcenter/configurationmanager/. Mesmo depois de um sistema de concludo, com xito, uma atualizao, recomendamos alocar tempo para monitorar quaisquer problemas ps atualizao no identificados que possam provocar perda de funcionalidade ou degradao de desempenho. Embora seja raro aparecer problemas como esse depois de um conjunto bem-sucedido de testes de aceitao, ele possvel, especialmente em computadores clientes que possam estar executando configuraes ou aplicativos de sistema no padro.
110
Windows XP e Windows Server 2003 (todas as edies) Use a pasta Adicionar ou Remover Programas no Painel de Controle ou o utilitrio Spuninst.exe que est localizado na pasta %Windir%\$NTUninstallKB[XXXXXX]$\Spuninst.
Windows Vista, Windows Server 2008 e Windows 7 (todas as edies) O Wusa.exe no oferece suporte para a desinstalao de atualizaes. Para desinstalar uma atualizao fornecida pelo Wusa.exe, clique em Painel de Controle e em Segurana. Em Windows Update, clique em Visualizar atualizaes instaladas e selecione a atualizao que precisa ser removida da lista que aparece.
Figura 38. Instrues para a remoo de uma atualizao do sistema Microsoft Office
Microsoft Office XP e Microsoft Office 2003 (todas as edies) Use a pasta Adicionar ou Remover Programas no Painel de Controle.
Microsoft Office 2007 e Microsoft Office 2010 (todas as edies) Use a pasta Adicionar ou Remover Programas no Painel de Controle.
Observao: Ao remover essa atualizao, pode ser solicitado que voc insira o CD do Microsoft Office. Alm disso, voc pode no ter a opo de desinstalar a atualizao da pasta Adicionar ou Remover Programas no Painel de Controle. H vrias causas possveis para esse problema. Para obter mais informaes sobre a remoo, consulte o artigo 828451 da Base de dados de conhecimento da Microsoft (support.microsoft.com/kb/828451)
111
Internet Explorer 6, Internet Explorer 7 e Internet Explorer 8 no Windows XP e Windows Server 2003 Para o Internet Explorer 6, use a pasta Adicionar ou Remover Programas no Painel de Controle ou o utilitrio Spuninst.exe. Para o Windows Internet Explorer 6, use a pasta Adicionar ou Remover Programas no Painel de Controle ou o utilitrio Spuninst.exe localizado na pasta %Windir%\$NTUninstallKB[XXXXXX]$\Spuninst. Para o Internet Explorer 7, use a pasta Adicionar ou Remover Programas no Painel de Controle ou o utilitrio Spuninst.exe localizado na pasta %Windir%\ie7updates\KB[XXXXXX]IE7\spuninst. Para o Internet Explorer 8, use a pasta Adicionar ou Remover Programas no Painel de Controle ou o utilitrio Spuninst.exe localizado na pasta %Windir%\ie8updates\KB[XXXXXXIE8\spuninst
Internet Explorer no Windows Vista, Windows 7 e Windows Server 2008 O Wusa.exe no oferece suporte para a desinstalao de atualizaes. Para desinstalar uma atualizao instalada pelo Wusa.exe, clique em Painel de Controle e em Segurana. Em Windows Update, clique em Visualizar atualizaes instaladas e selecione na lista de atualizaes.
Se os profissionais de TI tiverem consultado o boletim de segurana e o artigo associado da Base de dados de conhecimento, mas ainda no puderem desinstalar a atualizao de segurana, devero entrar em contato com o CSS por meio dos contatos de suporte Microsoft existentes ou ligando para (1) (866) PC-SAFETY [(1) (866) 727-2338 nos Estados Unidos e no Canad.] Internacionalmente, os profissionais de TI devero entrar em contato com a subsidiria local da Microsoft. Consulte support.microsoft.com/common/international.aspx. A equipe poder coletar informaes especficas do caso para ajudar a avaliar o problema e a ajudar na identificao de uma resoluo.
112
Anlise ps-implementao
A anlise ps-implementao dever ser realizada, normalmente, no prazo de uma a quatro semanas depois da implantao de uma verso para identificar melhorias que devero ser feitas no processo de gerenciamento de atualizao. Normalmente, os principais membros da implantao da atualizao de segurana e as equipes de suporte realizam essa anlise. Os tpicos recomendados da pauta de uma anlise incluem: Verifique se as vulnerabilidades so adicionadas a relatrios de varredura de vulnerabilidades e a padres de polticas de segurana. Verifique se os arquivos de construo de imagens e quaisquer arquivos de drive de mquina virtual foram atualizados para incluir as ltimas atualizaes de segurana depois da implantao. Discuta os resultados planejados com relao aos resultados reais. Discuta os riscos associados publicao. Analise o desempenho da organizao durante o incidente. Aproveite essa oportunidade para melhorar o plano de resposta da organizao para incluir qualquer lio aprendida. Discuta as alteraes em quaisquer janelas de servio. Determine se o sistema de atualizao ainda est atendendo aos requisitos da organizao. Avalie qualquer dano incidental e custos, incluindo os custos com o tempo ocioso e de recuperao. Crie uma outra linha de base ou atualize a linha de base existente do seu ambiente. O objetivo geral disso garantir que todas as lies aprendidas durante o processo de atualizao sejam comunicadas e incorporadas em ciclos futuros de atualizao.
113
O Microsoft Malware Protection Center (MMPC) a voz global certificada da Microsoft sobre pesquisa, proteo e orientao anti malware na plataforma Windows. O MMPC tem muitos recursos e solues que incluem: O Microsoft Security Intelligence Report. O blog Microsoft Malware Protection Center Blog e o Portal de Segurana. A ferramenta de remoo de software mal-intencionado do Microsoft Windows. Windows Defender.
114
O blog Microsoft Malware Protection Center (MMPC). Esse blog inclui comunicao em tempo real dos especialistas em no assunto do MMPC sobre tpicos que abrangem ameaas de software mal-intencionado novas, emergentes e notveis e outros tpicos de pesquisa no campo de segurana de computador. Consulte blogs.technet.com/mmpc/. A ferramenta de remoo de software mal-intencionado do Microsoft Windows (MSRT). A MSRT verifica se os computadores que executam sistemas operacionais Windows suportados esto infectados com software mal-intencionado prevalente especfico e ajuda a remover qualquer infeco encontrada. Consulte www.microsoft.com/security/malwareremove/ . Windows Defender. Esse software ajuda a proteger os computadores contra janelas pop-up, desempenho lento e ameaas de segurana que spyware e outros tipos de software potencialmente indesejados possam causar. Consulte www.microsoft.com/windows/products/winfamily/defender. Agregador de blogs sobre segurana e privacidade do Trustworthy Computing (TwC). Essa pgina consolida e apresenta de forma dinmica os blogs de privacidade e segurana. Consulte www.microsoft.com/twc/blogs. Aceleradores de soluo e segurana. Um conjunto gratuito de ferramentas e orientaes para ajudar os profissionais de TI a planejar, integrar e operar ativamente sua infraestrutura de segurana. Consulte www.microsoft.com/ssa. Guia de gerenciamento de risco segurana. Uma soluo de tecnologia agnstica que fornece uma abordagem em quatro etapas ao gerenciamento do risco. O guia faz referncia a muitos padres aceitos pelo setor de gerenciamento de risco segurana e incorpora experincias do mundo real da rea de TI e de parceiros da Microsoft. Consulte go.microsoft.com/fwlink/?linkid=30794. Guia de modelagem de ameaa da infraestrutura de TI. Um mtodo para desenvolvimento de modelos de ameaas que ajuda a priorizar investimentos na segurana da infraestrutura de TI. Esse guia descreve e considera a ampla metodologia que existe para a modelagem de ameaas SDL e a usa para estabelecer um processo de modelagem de ameaa para a infraestrutura de TI. Consulte go.microsoft.com/fwlink/?LinkId=154010.
Infelizmente, a implantao bem-sucedida de atualizaes de segurana no encerram os deveres da gerncia de segurana. No cenrio de ameaas em constante evoluo de hoje, imperativo sempre permanecer alerta. Conforme discutido no Estgio 1: Receber comunicaes da publicao de segurana da Microsoft, anteriormente visto neste guia, as notificaes de segurana tcnica da Microsoft e os alertas do blog MSRC fornecem atualizaes sobre quaisquer notcias ou comunicaes da Microsoft relacionadas postura de segurana da sua organizao.
115
116
Todos os boletins e alertas de segurana so inicialmente publicados como 1.0. Uma reviso menos importante tem um aumento de X.1 e uma reviso importante tem um aumento de 1.X. Portanto, um boletim ou alerta de segurana que rotulado como 2.3 passou por uma anlise importante e trs anlises menos importantes.
117
O Microsoft Malware Protection Center (MMPC) a voz global certificada da Microsoft sobre pesquisa, proteo e orientao anti malware na plataforma Windows. Entre outras coisas, esse grupo um contribuinte importante para o Microsoft Security Intelligence Report (SIR) (Consulte www.microsoft.com/sir), que fornece uma perspective detalhada sobre o cenrio de ameaas constantemente em alterao. O SIR inclui anlise detalhada de divulgaes das tendncias de vulnerabilidades e exploraes do software, de brechas de segurana e de privacidade, de software mal-intencionado e de software potencialmente indesejado e de tendncias de phising, de e-mail e de spam. Cada relatrio se concentra em dados e tendncias que foram observados na primeira ou segunda metade de cada ano civil e usa dados histricos para fornecer contexto. O objetivo do SIR manter os profissionais de TI informados das principais tendncias no cenrio das ameaas e fornecer insights e orientaes de segurana valiosos que ajudam os profissionais de TI a melhorar sua postura de segurana em face dessas ameaas. Durante as operaes normais da sua organizao, necessrio tomar medidas para garantir que voc esteja atualizado sobre qualquer software malintencionado que explore vulnerabilidades. Se a ajuda for necessria, consulte os seguintes recursos teis de software mal-intencionado: Portal de segurana MMPC. um site da Web abrangente que contm detalhes das principais ameaas, uma enciclopdia detalhada de software mal-intencionado, ferramentas e recursos de software mal-intencionado e um mecanismo de envio de amostra de software mal-intencionado. Consulte www.microsoft.com/security/portal. Blog do MMPC. Fornece um mtodo em tempo real para que os especialistas do MMPC no assunto se comuniquem com os clientes. Os tpicos incluem informaes dos bastidores sobre ameaas novas e emergentes de software mal-intencionado emergente e notvel. Alm de outras pesquisas no campo de segurana do computador. Consulte blogs.technet.com/mmpc/. A ferramenta de remoo de software mal-intencionado do Microsoft Windows (MSRT). Essa uma ferramenta gratuita para ajudar a identificar e remover famlias de softwares mal-intencionados prevalentes de computadores dos clientes. A MSRT publicado como uma atualizao importante por meio do Windows Update e do Microsoft Update. Uma verso da ferramenta tambm est disponvel no Microsoft Download Center. A MSRT ajuda a remover software mal-intencionado prevalente especfico de computadores que executam Windows 7, Windows Vista, Windows XP, Windows Server 2008, Windows Server 2003 e Windows 2000. A partir de fevereiro de 2011, a ferramenta detecta e remove 155 famlias de softwares mal-intencionados, sendo a maioria deles atualmente prevalente ou que foi prevalente no momento em que foram adicionados. Quando o processo de deteco e de remoo estiver concludo, a ferramenta exibir um relatrio que descreve o resultado, incluindo, se houver, qual software mal-intencionado foi detectado e removido. Consulte www.microsoft.com/security/malwareremove/. Observao: A MSRT no uma substituio para uma soluo antivrus, pois no tem proteo em tempo real e usa apenas a parte do banco de dados de assinatura antivrus da Microsoft que permite que ele se dedique a
118
software mal-intencionado prevalente especificamente selecionado. Windows Defender. Esse software ajuda a proteger seu computador contra janelas pop-up, desempenho lento e ameaas de segurana que spyware e outros tipos de software potencialmente indesejados possam causar. Ele faz isso detectando e removendo spywares conhecidos do computador. O Windows Defender tem proteo em tempo real, um sistema de monitoramento que recomenda aes contra spyware quando ele detectado, minimize interrupes e ajuda os usurios a permanecerem produtivos. Consulte www.microsoft.com/windows/products/winfamily/defender.
Resumo
O processo de implantao da atualizao de segurana se tornou uma parte necessria da rotina de gerenciamento dos sistemas para qualquer ambiente conectado Internet. Os criminosos esto agora direcionando seu software malintencionado para sistemas operacionais e aplicativos de vrios fornecedores, no apenas a Microsoft. Portanto, a falha em manter os sistemas e aplicativos da sua
119
organizao atualizados pode colocar os usurios em risco srio de ataque de criminosos e do software mal-intencionado que eles desenvolvem. O diagrama de processo de implantao e publicao da atualizao completa de segurana da Microsoft est no Apndice deste guia. A Microsoft se compromete a fornecer uma resposta eficaz e imediata a qualquer vulnerabilidade em seu software. Ela est trabalhando com muitos parceiros do setor para garantir que os clientes recebam nveis lderes do setor de proteo para contra-atacar os criminosos que tentam atacar seus computadores. As informaes fornecidas pela Microsoft neste guia foram criadas para oferecer suporte s suas decises de gerenciamento de risco. Este guia foi criado para ajudar os profissionais de TI a entender, utilizar e maximizar todas as comunicaes, orientaes, programas e servios de atendente Microsoft que ajudam a implantar as atualizaes de segurana na organizao rapidamente e com uma quantidade mnima de interrupo da produtividade. Para obter as ltimas informaes sobre este e outros tpicos relacionados segurana, consulte www.microsoft.com/security/msrc ou www.microsoft.com/technet/security.
Comentrios
Obrigado por ler este guia. Os autores deste guia esto interessados nos comentrios e opinies sobre como suas necessidades podem ser mais bem atendidas. Sinta-se vontade para compartilhar seus comentrios ou opinies sobre como voc acha que a Microsoft pode ajud-lo a melhorar esse contedo. Envie seus comentrios para a equipe do Guia de atualizaes de segurana do Trustworthy Computing em twcsecfb@microsoft.com.
120
Apndice
O diagrama do processo de implantao e publicao de segurana da Microsoft
122
123
124
Microsoft Update. Esse um servio gratuito incorporado includo no Windows. Ele oferece um nico local para obter atualizaes e programar atualizaes automticas. Alm disso, os clientes podem obter atualizaes de segurana e que no so de segurana para software Microsoft, como o sistema Microsoft Office e a rede Windows Live de servios da Internet. Consulte update.microsoft.com/microsoftupdate. Microsoft Update Solution Center. Contm ajuda e suporte, incluindo solues para os problemas mais comuns com o uso do Windows Update e explicaes de mensagens de erro. Consulte support.microsoft.com/ph/6527#tab3.
A Microsoft faz uma distino clara entre as atualizaes de segurana e as atualizaes de software comuns. As atualizaes de software da Microsoft incluem muitos tipos diferentes de alteraes e incluses no sistema operacional, nos programas e outros softwares, como uma verso mais recente de um driver de dispositivo ou uma melhoria de um aplicativo. Uma atualizao de segurana da Microsoft uma atualizao de software que aborda uma vulnerabilidade de segurana informada por um pesquisador de segurana. Este guia foca, unicamente, nas atualizaes de segurana da Microsoft Visite technet.microsoft.com/updatemanagement para obter informaes gerais sobre atualizaes de software e manuteno de sistemas Microsoft. A seguir esto algumas das classificaes de atualizao usadas pelos servios de
125
atualizao da Microsoft, incluindo Windows Update, Microsoft Update e Windows Server Update Services (WSUS): Atualizaes de segurana: Uma correo amplamente publicada para uma vulnerabilidade relacionada segurana especfica do produto. As vulnerabilidades de segurana so classificadas com base em sua severidade, que atribuda pelo MSRC e indicada no boletim de segurana da Microsoft como crtica, importante, moderada ou baixa (as classificaes de gravidade sero discutidas mais detalhadamente mais tarde). Atualizaes crticas: Uma correo amplamente publicada para um problema especfico que aborda um bug crtico relacionado a questes de segurana ou no relacionadas segurana. Um exemplo de uma atualizao crtica uma atualizao do Microsoft Windows Ferramenta de remoo de software mal-intencionado (MSRT). As classificaes de atualizao podem sobrepormuitas atualizaes de segurana e tambm atualizaes crticas. Atualizaes de definio: Uma atualizao de software amplamente publicada e freqente que contm incluses ao banco de dados de definies do produto. Os bancos de dados de definio so usados por produtos de segurana, como o Microsoft Security Essentials e a linha Microsoft Forefront de produtos. Eles so normalmente usados para detectar objetos com atributos especficos, como cdigo mal-intencionado, sites de phishing na Web ou junk mail. Update Rollups: Um conjunto testado e cumulativo de correes, atualizaes de segurana, atualizaes crticas e atualizaes que vem juntas para fcil implantao. Uma implantao geralmente objetiva uma rea especfica, como segurana, ou um componente de um produto. Entre outros, um exemplo de implantao de uma atualizao um service pack. Service Packs: Um conjunto testado e cumulativo de correes, atualizaes de segurana, atualizaes crticas e atualizaes, alm de correes adicionais de problemas encontrados internamente desde a publicao do produto. Os service packs podem tambm conter um nmero limitado de alteraes ou recursos de design solicitados pelo cliente. Pacotes de recursos: Nova funcionalidade do produto, normalmente includa na prxima publicao completa do produto. Os pacotes de recursos podem incluir novos recursos e melhorias de segurana. Correes: Uma correo um cdigo que corrige um bug em um produto. As correes so, algumas vezes, enviadas como um conjunto de correes chamadas de correo combinada ou service pack. Independentemente da classificao, da perspectiva do sistema operacional do lado do cliente, todas as atualizaes da Microsoft so designadas como Importante, Recomendada ou Opcional: As atualizaes com o status Importante (ou Alta prioridade no Windows XP) oferecem benefcios significativos, como melhor segurana, privacidade
126
e confiabilidade. As atualizaes importantes devem ser instaladas assim que se tornam disponveis. As atualizaes com o status de Recomendada (ou Opcional no Windows XP) abordam problemas no crticos ou aprimora as experincias computacionais do cliente. Embora essas atualizaes no abordem questes fundamentais do sistema, elas podem oferecer melhorias significativas, como compatibilidade melhorada do aplicativo, melhorias de recursos e muito mais. Atualizaes com o status de Opcional podem incluir atualizaes, drivers ou novos aplicativos da Microsoft ou seus parceiros para melhorar as experincias computacionais dos clientes. Essas atualizaes precisam ser instaladas manualmente, ou seja, o download das atualizaes opcionais no feito automaticamente e elas no so instaladas automaticamente, mas o Windows Update as fornece para anlise. Fazer download e instalar as atualizaes de software mais recentes, particularmente atualizaes com o status de Importante e de Recomendada de maneira rpida e consistente no seu computador vital para ajudar a manter sua segurana e funcionamento adequados. Para os profissionais de TI, aplicar atualizaes em computadores da organizao, qualquer que seja seu tamanho, vital para ajudar a manter os sistemas seguros e funcionando adequadamente. Pode-se baixar as atualizaes de segurana individualmente do Microsoft Download Center (www.microsoft.com/download). No entanto, muitos departamentos de TI usam um servio ou produto do Microsoft Update para automatizar as implantaes das atualizaes em uma organizao. Windows Update, um service incorporado gratuito includo no Microsoft Windows, ajuda as organizaes a manter os computadores mais seguros e confiveis e tambm compatveis com dispositivos e aplicativos. Ele oferece um nico local para recuperar atualizaes e programar atualizaes automticas. O cliente do Windows Update (e o cliente do Automatic Updates no Windows XP) procuraro, por padro, apenas atualizaes do Windows. Para obter atualizaes do Windows e de outro software da Microsoft, os profissionais de TI devero configurar o Windows Update para procurar atualizaes usando o service Microsoft Update. O Microsoft Update recomendado para todos os computadores que executam o sistema operacional Windows para garantir que o usurio seja informado sobre quaisquer atualizaes de software e de segurana disponveis da Microsoft. Para usar o Microsoft Update, consulte update.microsoft.com/microsoftupdate. O Windows Update tem configuraes um pouco diferentes nos sistemas operacionais Windows Vista, Windows 7 e Windows XP. Para obter mais informaes sobre o Windows Update e seus recursos, consulte www.microsoft.com/windows/downloads/windowsupdate/.
127
Para obter ajuda e suporte, incluindo solues para os problemas mais comuns do Windows Update e explicaes sobre mensagens de erro, consulte o Microsoft Update Solution Center em support.microsoft.com/ph/6527#tab3. Embora alguns dos servios e processos descritos neste guia possam ser usados para instalar atualizaes no relacionadas segurana, esse no o foco, pois essas atualizaes geralmente no so necessrias para finalidades de segurana. Para obter informaes sobre manuteno de sistemas com todos os outros tipos de atualizaes, consulte technet.microsoft.com/updatemanagement/.
128
de segurana para o Windows e outros softwares da Microsoft para computadores Windows genunos e no genunos 12. Sistemas Windows no genunos tambm podem instalar service packs, implantaes de atualizaes e importantes atualizaes de compatibilidade e confiabilidade de aplicativos para o Windows e outros softwares Microsoft. Essa abordagem ajuda a manter todo o ecossistema do computador mais seguro, pois mais sistemas so protegidos, independentemente se so genunos ou no. No entanto, a Microsoft pode decidir bloquear outras atualizaes e softwares de valor agregado para sistemas no genunos. No Windows 7 e no Windows Vista, um sistema Windows no genuno pode acessar atualizaes disponveis por meio do Painel de Controle do Windows Update. No Windows XP, um sistema Windows no genuno pode acessar as atualizaes de segurana apenas por meio do Automatic Updates.
12
www.microsoft.com/genuine
129
controle Um meio organizacional, procedimental ou tecnolgico de gerenciamento de risco. Um sinnimo de salvaguarda ou contramedida. contramedida Configuraes de software, hardware ou procedimentos que reduzem o risco no ambiente de um computador. Tambm chamado de salvaguarda ou atenuao. atualizao crtica Uma correo amplamente publicada para um problema especfico que aborda um bug crtico relacionado a questes de segurana ou no relacionado segurana. Observao: h atualizaes crticas e atualizaes de segurana classificadas como crticas (em um boletim de segurana da Microsoft). Essas duas so diferentes tipos de atualizaes da Microsoft. Para obter mais informaes sobre as diferenas, consulte a seo acima. Terminologia de atualizaes de software da Microsoft. defesa aprofundada A abordagem do uso de vrias camadas de segurana para proteger contra falhas de um nico componente de segurana. negao de servio Uma tentativa explcita de evitar que usurios legtimos usem um servio ou sistema. elevao de privilgio Onde um usurio sem privilgios fanha acesso com privilgios. Um exemplo de elevao de privilgio seria um usurio sem privilgios que consegue uma maneira de ser adicionado ao grupo Administradores. cdigo de explorao Um programa de software ou cdigo de amostra que, quando executado contra um sistema vulnervel, usa a vulnerabilidade para falsificar a identidade do invasor, manipular informaes do usurio ou do sistema, no reconhecer a ao do invasor, divulgar informaes do usurio ou do sistema, ou negar servio a usurios vlidos, ou elevar privilgios para o invasor. pacote de recursos Uma nova funcionalidade do produto, normalmente includa na prxima publicao completa do produto. Os pacotes de recursos podem incluir novos recursos e melhorias de segurana.
130
cdigo de explorao de funcionamento Cdigo de explorao que pode produzir o mximo impacto de segurana de uma vulnerabilidade. Por exemplo, se uma vulnerabilidade tivesse um impacto de segurana de execuo de cdigo remoto, o cdigo de explorao em funcionamento poderia fazer com que ocorresse a execuo do cdigo remoto contra um sistema de destino. correo Um nico pacote composto de um ou mais arquivos usados para abordar um problema em um produto. As correes abordam a situao de um cliente especfico e esto disponveis apenas por meio de um relacionamento de suporte com a Microsoft e no podem ser distribudas fora da organizao do cliente sem consentimento legal por escrito da Microsoft. Os termos QFE (atualizao Quick Fix Engineering, Engenharia de correo rpida), patch e atualizao tm sido usados no passado como sinnimo para correo. impacto A perda geral de negcios esperada quando uma ameaa explora uma vulnerabilidade contra um ativo. atualizao no relacionada com segurana Qualquer atualizao de software no relacionada segurana. A Microsoft chama, especificamente, atualizaes no relacionadas segurana durante o ciclo de publicao de atualizaes de segurana regular, pois algumas atualizaes no relacionadas segurana, como a atualizao Microsoft Outlook Junk Email Filter (Filtro de junk mail do Microsoft Outlook). atualizaes opcionais Atualizaes com o status de Opcional podem incluir atualizaes, drivers ou novos aplicativos da Microsoft ou seus parceiros para melhorar as experincias computacionais dos clientes. Essas atualizaes precisam ser instaladas manualmente, ou seja, o download das atualizaes opcionais no feito automaticamente e elas no so instaladas automaticamente, mas o Windows Update as fornece para anlise. atualizao de segurana Uma correo amplamente publicada para uma vulnerabilidade relacionada segurana especfica do produto. As vulnerabilidades de segurana so classificadas com base em sua severidade, que atribuda pelo MSRC e indicada no boletim de segurana da Microsoft como crtica, importante, moderada ou baixa (as classificaes de gravidade foram discutidas mais detalhadamente anteriormente neste guia). service pack Um conjunto testado e cumulativo de correes, atualizaes de segurana,
131
atualizaes crticas e atualizaes, alm de correes adicionais de problemas encontrados internamente desde a publicao do produto. Os service packs podem tambm conter um nmero limitado de alteraes ou recursos de design solicitados pelo cliente. classificao de severidade Um rtulo que a Microsoft atribui a cada vulnerabilidade e que ajuda os clientes a avaliar os riscos impostos s suas organizaes e a comparar cada vulnerabilidade com relao a outras vulnerabilidades ao priorizar implantaes. As vulnerabilidades podem ser designadas como Crtica, Importante, Moderada ou Baixa. atualizao de software Uma atualizao de software qualquer atualizao, implantao de atualizao, service pack, pacote de recursos, atualizao crtica, atualizao de segurana ou correo que usada para melhorar ou corrigir um produto de software que publicado pela Microsoft Corporation. substituio Esse termo descreve quando uma nova atualizao de segurana no boletim de segurana substitui uma outra atualizao de segurana em um boletim de segurana mais antigo. No caso de substituio, os binrios na atualizao de segurana mais recente contm a correo para a vulnerabilidade de segurana atual, alm da correo para a atualizao de segurana mais antiga. No passado, atualizaes de segurana novas e anteriormente publicadas, que continham a mesma correo, podem ter sido marcadas como obrigatrias, quando a que era necessria era apenas a atualizao de segurana mais nova. update rollup Um conjunto testado e cumulativo de correes, atualizaes de segurana, atualizaes crticas e atualizaes que vem juntas para fcil implantao. Uma implantao geralmente objetiva uma rea especfica, como segurana, ou um componente de um produto. Entre outros, um bom exemplo de implantao de uma atualizao um Service Pack. update rollup Um conjunto testado e cumulativo de correes, atualizaes de segurana, atualizaes crticas e atualizaes que vem juntas para fcil implantao. Uma implantao geralmente objetiva uma rea especfica, como segurana, ou um componente de um produto. Entre outros, um bom exemplo de implantao de uma atualizao um service pack. Windows Update Agent (WUA) O API do Windows Update Agent (WUA) um conjunto de interfaces COM que permitem que administradores de sistema e programadores acessem o Windows
132
Update e o Windows Server Update Services (WSUS). possvel escrever scripts e programas para examinar quais atualizaes esto atualmente disponveis para um computador e depois instalar ou desinstalar atualizaes. solues A seo Solues alternativas inclui informaes sobre as solues alternativas que a Microsoft testou, para ajudar a reduzir a ameaa, at que voc tenha atualizado seu ambiente. necessrio ler esta seo como parte da avaliao de risco.
133