Planejar configurações seguras para os recursos do Windows SharePoint Services
Artigo
Atualizado em: 2009-04-16
Neste artigo:
Recomendações para os recursos do Windows SharePoint Services
Use esse artigo para encontrar recomendações sobre como configurar e gerenciar recursos Windows SharePoint Services 3.0 de forma mais segura. Normalmente, você executará as configurações recomendadas na Administração Central e não na rede, no sistema operacional, no IIS (Serviço de Informações da Internet) ou no Microsoft .NET Framework. As recomendações desse artigo são apropriadas para os seguintes ambientes de segurança:
Recomendações para os recursos do Windows SharePoint Services
A tabela a seguir descreve as recomendações para ajudá-lo a proteger os recursos do Windows SharePoint Services 3.0.
Recurso ou área
Recomendação
Autenticação
Não use logon automático do cliente quando usar o site de Administração Central.
Permita que apenas computadores de servidor Web front-end efetuem a autenticação dos usuários. Não permita que contas ou grupos de usuários finais realizem autenticação no computador do servidor de banco de dados.
Autorização
Atribua permissões para grupos em vez de para contas individuais.
Níveis de permissão
Atribua aos usuários as permissões mínimas necessárias para que realizem suas tarefas.
Administração
Use permissões de acesso para proteger o site da Administração Central e permita que os administradores conectem-se ao site remotamente (em vez de habilitar o site da Administração Central apenas para uso em computadores locais). Isso minimiza o requisito para que os administradores façam logon localmente no computador que está hospedando a Administração Central. Configurar o acesso ao computador por Serviços de Terminal gera um risco maior à segurança do que deixar o site da Administração Central disponível para acesso remoto.
Integração de email
Configure o Windows SharePoint Services 3.0 para aceitar apenas emails que tenham sido retransmitidos por meio de um servidor de email dedicado, como o Microsoft Exchange Server, que filtra vírus e emails comerciais não solicitados e autentica o remetente do email.
Ao configurar as definições de fluxo de trabalho, o Windows SharePoint Services 3.0 permite habilitar os participantes sem direitos de acessar um documento em um site a receber o documento como anexo de email. Em um ambiente seguro, não selecione a opção Permitir que usuários externos participem no fluxo de trabalho enviando a eles uma cópia do documento. No Windows SharePoint Services 3.0, essa opção não é selecionada, por padrão.
Armazenamento e segurança de Web Parts
Certifique-se de implantar apenas códigos confiáveis no farm de servidores. Todos os códigos, XML ou ASP.NET implantados devem ser de fonte confiável, mesmo se você pretende aumentar a segurança depois da implantação com medidas de defesa detalhadas, como segurança de acesso a código.
Verifique se a lista SafeControl no arquivo Web.config contém o conjunto de controles e as Web Parts que deseja permitir.
Verifique se as Web Parts personalizadas que você deseja reforçar com medidas de defesa detalhadas estão instaladas no diretório bin do aplicativo Web (onde a confiança parcial está ativada), com permissões específicas para cada assembly.
Considere remover o Web Part do Editor de Conteúdo da lista SafeControl. Isso impedirá que os usuários adicionem JavaScript na página como um Web Part e usem JavaScript hospedado em servidores externos.
Certifique-se de que as pessoas apropriadas em sua organização tenham acesso aos níveis de permissão Design e Contribuir em seu site. Um usuário com o nível de permissão Contribuir pode carregar páginas com Extensão Active Server Page (ASPX) em uma biblioteca e adicionar Web Parts. Usuários com o nível de permissão Design, que têm permissão para adicionar Web Parts, podem modificar páginas, incluindo a home page do seu site (Default.aspx).
Pesquisar
A conta do serviço de Pesquisa do Windows SharePoint Services não pode ser membro do grupo Administradores de Farm; caso contrário, o serviço de Pesquisa do Windows SharePoint Services indexará versões não publicadas dos documentos.
Verifique se os IFilters adicionais e as quebras automáticas de palavras implantadas são confiáveis para sua equipe de IT.
Por padrão, o arquivo do índice de pesquisa está acessível somente para membros do grupo Administradores de Farm. Verifique se esse arquivo não está acessível a usuários que não pertencem a esse grupo.
Baixar este manual
Este tópico está incluído no seguinte manual baixável para facilitar a leitura e a impressão: