Compartilhar via

Segurança das Salas Microsoft Teams

  • Artigo
  • Aplica-se a:
    Microsoft Teams

Este artigo fornece orientações de segurança para dispositivos Microsoft Teams Rooms em dispositivos Windows e Android. Esta documentação de orientação inclui informações sobre hardware, software, rede e segurança da conta.

Selecione o separador Salas Teams no Windows ou Salas Teams para Android para obter mais informações sobre a segurança da Sala Teams no seu dispositivo.

A Microsoft trabalha com os nossos parceiros para fornecer uma solução segura e não requer ações adicionais para proteger as Salas Microsoft Teams no Windows. Esta secção aborda muitas das funcionalidades de segurança encontradas nas Salas Teams no Windows.

Para obter informações sobre segurança em Salas Teams em dispositivos Android, selecione o separador Salas Teams no Android .

Nota

As Salas Microsoft Teams não devem ser tratadas como uma estação de trabalho típica do utilizador final. Não só os casos de utilização são muito diferentes, como os perfis de segurança predefinidos também são muito diferentes, como recomendamos que os tratem como aplicações. A instalação de software adicional nos seus dispositivos de Salas Teams não é suportada pela Microsoft. Este artigo aplica-se a dispositivos Microsoft Teams Rooms em execução no Windows.

Os dados limitados do utilizador final são armazenados nas Salas Teams. Os dados do utilizador final podem ser armazenados nos ficheiros de registo apenas para resolução de problemas e suporte. Nenhum participante de uma reunião que utilize Salas Teams pode copiar ficheiros para o disco rígido ou iniciar sessão como eles próprios. Os dados do utilizador final não são transferidos ou acessíveis pelo dispositivo Salas Microsoft Teams.

Apesar de os utilizadores finais não poderem colocar ficheiros num disco rígido das Salas Teams, o Microsoft Defender continua ativado. O desempenho das Salas Teams é testado com o Microsoft Defender, incluindo a inscrição no portal do Defender para Endpoint. Desativar ou adicionar software de segurança de ponto final pode levar a resultados imprevisíveis e potencial degradação do sistema.

Segurança de hardware

Num ambiente de Salas Teams, existe um módulo de computação central que executa a edição Windows 10 ou 11 IoT Enterprise. Todos os módulos de computação certificados têm de ter uma solução de montagem segura, um bloco de bloqueio de segurança (por exemplo, bloqueio kensington) e medidas de segurança de acesso à porta de E/S para impedir a ligação de dispositivos não autorizados. Também pode desativar portas específicas através da configuração do UEFI (Extensible Firmware Interface) Unificado.

Todos os módulos de computação certificados têm de ser enviados com tecnologia compatível com o Trusted Platform Module (TPM) 2.0 ativada por predefinição. O TPM é utilizado para encriptar as informações de início de sessão da conta de recursos das Salas Teams.

O arranque seguro está ativado por predefinição. O arranque seguro é uma norma de segurança desenvolvida por membros da indústria de PC para ajudar a garantir que um dispositivo arranca utilizando apenas software fidedigno pelo Fabricante de Equipamento Original (OEM). Quando o PC é iniciado, o firmware verifica a assinatura de cada parte do software de arranque, incluindo controladores de firmware UEFI (também conhecidos como ROMs de Opção), aplicações EFI e o sistema operativo. Se as assinaturas forem válidas, o PC arranca e o firmware dá controlo ao sistema operativo. Para obter mais informações, veja Arranque seguro.

O acesso às definições de UEFI só é possível ao anexar um teclado físico e um rato, o que impede o acesso à UEFI através da consola tátil das Salas Teams ou de quaisquer outros ecrãs táteis ligados às Salas Teams.

A Proteção do Acesso Direto à Memória (DMA) do Kernel é uma definição do Windows que está ativada nas Salas Teams. Com esta funcionalidade, o SO e o firmware do sistema protegem o sistema contra ataques DMA maliciosos e não intencionais para todos os dispositivos compatíveis com DMA:

  • Durante o processo de arranque.

  • Contra DMA malicioso por dispositivos ligados a portas facilmente acessíveis com capacidade de DMA interna/externa, como ranhuras M.2 PCIe e Thunderbolt 3, durante o runtime do SO.

As Salas Teams também ativam a integridade do código protegido pelo Hipervisor (HVCI). Uma das funcionalidades fornecidas pelo HVCI é o Credential Guard. O Credential Guard fornece as seguintes vantagens:

  • Segurança de hardware O NTLM, o Kerberos e o Gestor de Credenciais tiram partido das funcionalidades de segurança da plataforma, incluindo o Arranque Seguro e a virtualização, para proteger as credenciais.

  • Segurança baseada em virtualização As credenciais derivadas do Windows NTLM e Kerberos e outros segredos são executados num ambiente protegido isolado do sistema operativo em execução.

  • Melhor proteção contra ameaças persistentes avançadas Quando as credenciais de domínio do Gestor de Credenciais, as credenciais derivadas de NTLM e Kerberos são protegidas através da segurança baseada na virtualização, as técnicas de ataque de roubo de credenciais e as ferramentas utilizadas em muitos ataques direcionados são bloqueadas. O software maligno em execução no sistema operativo com privilégios administrativos não consegue extrair segredos protegidos pela segurança baseada em virtualização.

Segurança de Software

Depois de o Microsoft Windows arrancar, as Salas Teams iniciam sessão automaticamente numa conta de utilizador do Windows local com o nome Skype. A conta Skype não tem palavra-passe. Para tornar a sessão da conta Skype segura, são seguidos os seguintes passos.

Importante

Não altere a palavra-passe nem edite a conta de utilizador do Skype local. Ao fazê-lo, pode impedir que as Salas Teams iniciem sessão automaticamente.

A aplicação Salas Microsoft Teams é executada com a funcionalidade Acesso Atribuído encontrada no Windows 10 1903 e posterior. O Acesso Atribuído é uma funcionalidade no Windows que limita os pontos de entrada da aplicação expostos ao utilizador e ativa o modo de quiosque de aplicação única. Com o Iniciador de Shell, as Salas Teams são configuradas como um dispositivo de quiosque que executa uma aplicação de ambiente de trabalho do Windows como a interface de utilizador. A aplicação Salas Microsoft Teams substitui a shell predefinida (explorer.exe) que normalmente é executada quando um utilizador inicia sessão. Por outras palavras, a shell do Explorador tradicional não é iniciada de todo, o que reduz significativamente a superfície de vulnerabilidade das Salas Microsoft Teams no Windows. Para obter mais informações, consulte Configurar quiosques e sinais digitais em edições de ambiente de trabalho do Windows.

Se decidir executar uma análise de segurança ou uma referência do Centro de Segurança da Internet (CIS) nas Salas Teams, a análise só pode ser executada no contexto de uma conta de administrador local, uma vez que a conta de utilizador do Skype não suporta a execução de aplicações que não a aplicação Salas Teams. Muitas das funcionalidades de segurança aplicadas ao contexto de utilizador do Skype não se aplicam a outros utilizadores locais e, como resultado, estas análises de segurança não apresentam o bloqueio de segurança total aplicado à conta Skype. Por conseguinte, não recomendamos a execução de uma análise local nas Salas Teams. No entanto, pode executar testes de penetração externos, se assim o desejar. Por este motivo, recomendamos que execute testes de penetração externos em dispositivos de Salas Teams em vez de executar análises locais.

Além disso, são aplicadas políticas de bloqueio para limitar a utilização de funcionalidades não administrativas. Um filtro de teclado está ativado para intercetar e bloquear combinações de teclado potencialmente inseguras que não são abrangidas pelas políticas de Acesso Atribuído. Apenas os utilizadores com direitos administrativos locais ou de domínio têm permissão para iniciar sessão no Windows para gerir as Salas Teams. Estas e outras políticas aplicadas ao Windows em dispositivos Microsoft Teams Rooms são continuamente avaliadas e testadas durante o ciclo de vida do produto.

O Microsoft Defender está ativado, a licença Teams Rooms Pro também inclui o Defender para Endpoint, que permite que os clientes inscrevam as respetivas Salas Teams no Defender para Endpoint para fornecer visibilidade às equipas de segurança sobre a postura de segurança da Sala Teams em dispositivos Windows a partir do portal do Defender. As Salas Teams no Windows podem ser inscritas ao seguir os passos para dispositivos Windows. Não recomendamos que modifique as Salas Teams com regras de proteção (ou outras políticas do Defender que efetuem alterações de configuração), uma vez que estas políticas podem afetar a funcionalidade das Salas Teams; no entanto, a funcionalidade de relatórios no portal é suportada.

Segurança da Conta

Os dispositivos das Salas Teams incluem uma conta administrativa denominada "Administrador" com uma palavra-passe predefinida. Recomendamos vivamente que altere a palavra-passe predefinida o mais rapidamente possível após concluir a configuração.

A conta de Administrador não é necessária para o funcionamento adequado de dispositivos de Salas Teams e pode ser renomeada ou mesmo eliminada. No entanto, antes de eliminar a conta de Administrador, certifique-se de que configurou uma conta de administrador local alternativa configurada antes de remover a que é fornecida com dispositivos Salas Teams. Para obter mais informações sobre como alterar uma palavra-passe de uma conta do Windows local com ferramentas incorporadas do Windows ou o PowerShell, consulte o seguinte:

Também pode importar contas de domínio para o grupo de Administradores do Windows local com o Intune. Para obter mais informações, veja Policy CSP – RestrictedGroups..

Nota

Se estiver a utilizar uma Sala Crestron Teams com uma consola ligada à rede, certifique-se de que segue as orientações da Crestron sobre como configurar a conta do Windows utilizada para emparelhamento.

Atenção

Se eliminar ou desativar a conta de Administrador antes de conceder permissões de Administrador local a outra conta local ou de domínio, poderá perder a capacidade de administrar o dispositivo Salas Teams. Se isto acontecer, terá de repor as definições originais do dispositivo e concluir novamente o processo de configuração.

Não conceda permissões de Administrador local à conta de utilizador do Skype.

O Windows Configuration Designer pode ser utilizado para criar pacotes de aprovisionamento do Windows. Além de alterar a palavra-passe de Administrador local, também pode fazer coisas como alterar o nome do computador e inscrever-se no Microsoft Entra ID. Para obter mais informações sobre como criar um pacote de aprovisionamento do Windows Configuration Designer, veja Provisioning packages for Windows 10 (Aprovisionar pacotes para o Windows 10).

Tem de criar uma conta de recurso para cada dispositivo de Salas Teams para que possa iniciar sessão no Teams. Não pode utilizar a autenticação interativa de dois fatores ou multifator do utilizador com esta conta. Exigir um segundo fator impediria que a conta pudesse iniciar sessão automaticamente na aplicação Salas Teams após um reinício. Além disso, as políticas de Acesso Condicional do Microsoft Entra e as Políticas de Conformidade do Intune podem ser implementadas para proteger a conta de recursos. Para obter mais informações, veja Acesso Condicional Suportado e Políticas de conformidade de dispositivos do Intune para Salas Microsoft Teams e Acesso Condicional e Conformidade do Intune para Salas Microsoft Teams.

Recomendamos que crie a conta de recurso no Microsoft Entra ID, se possível como uma conta apenas na cloud. Embora uma conta sincronizada possa funcionar com as Salas Teams em implementações híbridas, estas contas sincronizadas têm muitas vezes dificuldade em iniciar sessão nas Salas Teams e podem ser difíceis de resolver. Se optar por utilizar um serviço de federação de terceiros para autenticar as credenciais da conta de recurso, certifique-se de que o IDP de terceiros responde com o wsTrustResponse atributo definido como urn:oasis:names:tc:SAML:1.0:assertion. Se a sua organização não quiser utilizar o WS-Trust, utilize antes contas apenas na cloud.

Segurança de Rede

Geralmente, as Salas Teams têm os mesmos requisitos de rede que qualquer cliente do Microsoft Teams. O acesso através de firewalls e outros dispositivos de segurança é o mesmo para as Salas Teams que para qualquer outro cliente do Microsoft Teams. Específicas das Salas Teams, as categorias listadas como "necessárias" para o Teams têm de estar abertas na firewall. As Salas Teams também precisam de acesso ao Windows Update, à Microsoft Store e ao Microsoft Intune (se utilizar o Microsoft Intune para gerir os seus dispositivos). Para obter a lista completa de IPs e URLs necessários para as Salas Microsoft Teams, consulte:

Se estiver a utilizar o componente de serviços geridos de Salas Microsoft Teams do Microsoft Teams Rooms Pro, também tem de se certificar de que as Salas Teams podem aceder aos seguintes URLs:

  • agent.rooms.microsoft.com
  • global.azure-devices-provisioning.net
  • gj3ftstorage.blob.core.windows.net
  • mmrstgnoamiot.azure-devices.net
  • mmrstgnoamstor.blob.core.windows.net
  • mmrprodapaciot.azure-devices.net
  • mmrprodapacstor.blob.core.windows.net
  • mmrprodemeaiot.azure-devices.net
  • mmrprodemeastor.blob.core.windows.net
  • mmrprodnoamiot.azure-devices.net
  • mmrprodnoamstor.blob.core.windows.net

Os clientes GCC também terão de ativar os seguintes URLs:

  • mmrprodgcciot.azure-devices.net
  • mmrprodgccstor.blob.core.windows.net

As Salas Teams são configuradas para se manterem automaticamente corrigidas com as atualizações mais recentes do Windows, incluindo atualizações de segurança. As Salas Teams instalam todas as atualizações pendentes todos os dias a partir das 2:00 da manhã através de uma política local predefinida. Não é necessário utilizar outras ferramentas para implementar e aplicar Atualizações do Windows. A utilização de outras ferramentas para implementar e aplicar atualizações pode atrasar a instalação de patches do Windows e, assim, levar a uma implementação menos segura. A aplicação Salas Teams é implementada com a Microsoft Store.

Os dispositivos Salas Teams funcionam com a maioria dos protocolos de segurança 802.1X ou outros protocolos de segurança baseados na rede. No entanto, não conseguimos testar as Salas Teams em relação a todas as configurações de segurança de rede possíveis. Por conseguinte, se surgirem problemas de desempenho que possam ser relacionados com problemas de desempenho de rede, poderá ter de desativar estes protocolos.

Para um desempenho ideal do suporte de dados em tempo real, recomendamos vivamente que configure o tráfego de multimédia do Teams para ignorar servidores proxy e outros dispositivos de segurança de rede. O suporte de dados em tempo real é muito sensível à latência e os servidores proxy e os dispositivos de segurança de rede podem degradar significativamente a qualidade de áudio e vídeo dos utilizadores. Além disso, como o suporte de dados do Teams já está encriptado, não há qualquer benefício tangível de passar o tráfego através de um servidor proxy. Para obter mais informações, consulte Networking up (to the cloud)— O ponto de vista de um arquiteto, que aborda recomendações de rede para melhorar o desempenho dos suportes de dados com o Microsoft Teams e as Salas Microsoft Teams.

Importante

As Salas Teams não suportam servidores proxy autenticados.

Os dispositivos das Salas Teams não precisam de se ligar a uma LAN interna. Considere colocar as Salas Teams num segmento de rede isolado seguro com acesso direto à Internet. Se a LAN interna ficar comprometida, as oportunidades de vetor de ataque para as Salas Teams serão reduzidas.

Recomendamos vivamente que ligue os seus dispositivos de Salas Teams a uma rede com fios. A utilização de redes sem fios requer um planeamento e uma avaliação cuidadosos para obter a melhor experiência. Para obter mais informações, veja Considerações de rede sem fios.

As funcionalidades De Associação por Proximidade e outras Salas Teams dependem de Bluetooth. No entanto, a implementação bluetooth em dispositivos de Salas Teams não permite uma ligação de dispositivo externo a um dispositivo de Salas Teams. A utilização da tecnologia Bluetooth em dispositivos de Salas Teams está atualmente limitada a beacons publicitários e a ligações proximais solicitadas. O ADV_NONCONN_INT tipo de unidade de dados de protocolo (PDU) é utilizado no beacon de publicidade. Este tipo de PDU destina-se a dispositivos não ligados que publicitam informações ao dispositivo de escuta. Não existe um emparelhamento de dispositivos Bluetooth como parte destas funcionalidades. Pode encontrar detalhes adicionais sobre os protocolos Bluetooth no site do SIG Bluetooth.