Sécurité et confidentialité pour les mises à jour logicielles dans System Center Configuration Manager

 

S'applique à: System Center Configuration Manager (current branch)

Cette rubrique contient des informations de sécurité et de confidentialité pour les mises à jour logicielles dans System Center Configuration Manager.

Utilisez ces meilleures pratiques de sécurité lorsque vous déployez des mises à jour logicielles vers des clients :

Meilleure pratique de sécuritéPlus d'informations
Ne modifiez pas les autorisations par défaut des packages de mises à jour logicielles.Par défaut, les packages de mises à jour logicielles sont définis pour permettre aux administrateurs d'avoir un Contrôle intégral et aux utilisateurs d'avoir un accès en Lecture. La modification de ces autorisations pourrait permettre à un attaquant d'ajouter, de retirer ou de supprimer des mises à jour logicielles.
Contrôlez l'accès à l'emplacement de téléchargement des mises à jour logicielles.Les comptes d'ordinateur pour le fournisseur SMS, le serveur de site et l'utilisateur administratif qui téléchargeront les mises à jour logicielles vers l'emplacement de téléchargement doivent avoir un accès en Écriture à cet emplacement. Limitez l'accès à l'emplacement de téléchargement pour éviter que des personnes malveillantes ne falsifient les fichiers sources des mises à jour logicielles.

En outre, si vous utilisez un partage UNC pour l'emplacement de téléchargement, sécurisez le canal réseau à l'aide d'une signature IPsec ou SMB pour éviter la falsification des fichiers sources des mises à jour logicielles lorsqu'ils sont transférés sur le réseau.
Utilisez le temps universel coordonné (UTC) pour évaluer les temps de déploiement.Si vous utilisez l'heure locale au lieu de l'heure UTC, les utilisateurs pourraient retarder l'installation des mises à jour logicielles en changeant le fuseau horaire sur leurs ordinateurs.
Activez SSL sur WSUS, puis suivez les meilleures pratiques pour la sécurisation de Windows Server Update Services (WSUS).Identifiez et suivez les meilleures pratiques de sécurité pour la version de WSUS que vous utilisez avec Configuration Manager. Important: Si vous configurez le point de mise à jour logicielle pour activer les communications SSL pour le serveur WSUS, vous devez configurer SSL pour les racines virtuelles sur le serveur WSUS.
Activez la vérification de la liste de révocation de certificats.Par défaut, Configuration Manager ne consulte pas la liste de révocation de certificats (CRL) pour vérifier la signature des mises à jour logicielles avant de les déployer sur les ordinateurs. La vérification de la liste de révocation de certificats à chaque utilisation d'un certificat est une sécurité supplémentaire qui permet de ne pas utiliser de certificat révoqué. Toutefois, elle implique un délai de connexion et un traitement supplémentaire sur l'ordinateur qui l'effectue.

Pour plus d'informations sur l'activation de la vérification de la liste de révocation des certificats pour les mises à jour logicielles, voir Comment activer la vérification de la liste de révocation de certificats pour les mises à jour logicielles dans System Center Configuration Manager.
Configurez WSUS pour utiliser un site Web personnalisé.Lorsque vous installez WSUS sur le point de mise à jour logicielle, vous avez la possibilité d'utiliser le site Web IIS par défaut existant ou créer un site Web WSUS personnalisé. Créez un site Web pour WSUS de sorte que l'IIS héberge les services WSUS sur un site Web virtuel dédié, au lieu de partager le même site Web que celui utilisé par d'autres systèmes de site Configuration Manager ou d'autres applications.

Pour plus d'informations, voir Configure WSUS to use a custom web site.
Protection d’accès réseau (NAP) : ne comptez pas sur la protection d’accès réseau pour protéger un réseau contre les utilisateurs malveillants.La protection d'accès réseau est conçue pour aider les administrateurs à préserver l'intégrité des ordinateurs sur le réseau, ce qui permet également de préserver l'intégrité du réseau dans sa totalité. Par exemple, si un ordinateur dispose de toutes les mises à jour logicielles requises par la stratégie NAP de Configuration Manager, l'ordinateur est considéré comme conforme, et il se verra attribuer l'accès approprié au réseau. La protection d'accès réseau n'empêche pas un utilisateur non autorisé doté d'un ordinateur conforme de télécharger un programme malveillant sur le réseau ou de désactiver l'agent NAP.

Les mises à jour logicielles analysent vos ordinateurs clients pour connaître les mises à jour requises et renvoient les informations à la base de données de site. Au cours du processus de mise à jour logicielle, Configuration Manager peut faire circuler, entre les clients et les serveurs, des informations qui permettent d'identifier les comptes d'ordinateurs et d'ouvertures de session.

Configuration Manager conserve les informations d'état relatives au processus de déploiement de logiciels. Les informations d'état ne sont pas chiffrées au cours de la transmission ou du stockage. Les informations d'état sont stockées dans la base de données Configuration Manager et sont supprimées par les tâches de maintenance de la base de données. Aucune information d'état n'est renvoyée à Microsoft.

L'utilisation des mises à jour logicielles Configuration Manager pour installer les mises à jour logicielles sur les ordinateurs clients peut être soumise à un contrat de licence indépendant du contrat de licence logiciel de System Center Configuration Manager. Consultez et acceptez toujours les termes du contrat de licence logicielle pour pouvoir installer les mises à jour logicielles à l'aide de Configuration Manager.

Configuration Manager n'implémente pas les mises à jour logicielles par défaut et requiert plusieurs étapes de configuration avant de collecter les informations.

Avant de configurer les mises à jour logicielles, réfléchissez à vos besoins en matière de confidentialité.

Déployer et gérer des mises à jour logicielles avec System Center Configuration Manager

Afficher: