Internet Explorer 8.0: Gestione centralizzata tramite Group Policy

Presentazione sul tema: "Internet Explorer 8.0: Gestione centralizzata tramite Group Policy"— Transcript della presentazione:

1 Internet Explorer 8.0: Gestione centralizzata tramite Group Policy
Renato Francesco Giorgini Evangelist IT Pro

2 Agenda Active Directory e Group Policy
Principali Group Policy Settings per Internet Explorer 8.0 Group Policy Preferences per Internet Explorer 8.0

3 Per quali piattaforme è disponibile IE 8?
Sistemi Operativi Client: Windows XP (SP2, SP3) Windows Vista (SP1, SP2) Windows 7 Sistemi Operativi Server: Windows Server 2003 (SP2) Windows Server 2008 (SP1, SP2) Windows Server 2008 R2

4 E’ necessario mettere in sicurezza il browser in Azienda?
E’ sufficiente il firewall/proxy aziendale? Cosa avviene se i siti autorizzati nel firewall/proxy vengono compromessi? I computer possono essere connessi ad altre reti? Che privilegi hanno gli utenti nei loro computer?

5 Active Directory e Group Policy

6 Active Directory e Group Policy
Le Group Policy mi permettono di fare l’enforcment di regole e configurazioni di sicurezza Sui client aziendali Sui server aziendali Sugli account utente Una policy, una volta configurata, si applica All’interno Dominio AD Al Site scelto Alla Organizational Unit Scelta Allo specifico gruppo di Utenti e/o di Computer Una volta applicata, la policy è valida anche quando i computer non sono connessi alla rete aziendale

7 Group Policy chain & inheritance
Data una struttura AD l’ordine di applicazione delle Group Policy è il seguente: Policy configurate localmente nel computer (gpedit.msc) Policy del Sito AD Policy del Domino AD Policy della Organizational Unit di livello più alto (Policy delle Organizational Units di livello intermedio) Policy della Organizational Unit che contiene gli account (Computer e User) Le GPO applicate per ultime prevalgono, ma vanno considerate: Eventuali policy “enforced” (ex “no-override”); Eventuali impostazioni di “block inheritance” Eventuali filtri WMI impostati Eventuali filtri su Utenti, Computer, Gruppi

8 Group Policy Settings: Computer e User
Ogni Group Policy ha due gruppi di impostazioni: Computer User I settings applicati al Computer Sono validi per qualsiasi utente che utilizzerà quel computer a cui è applicata la policy I settings applicati all’Utente Verranno applicati su ogni computer su cui farà logon l’utente a cui la policy si applica

9 Principali Group Policy Settings per Internet Explorer 8.0

10 I Group Policy Settings per Internet Explorer
1300 Settings complessivi 100 Nuovi Settings dedicati ad Internet Explorer 8.0

11 Internet Explorer Zones – 1
Zone Standard: Intranet Internet Trusted Sites Restricted Sites Local Machine Come configuro il mapping dei siti con le zone? Internet Control Panel > Security Page Site to Zone Assignment List Turn on automatic detection of the Intranet Intranet Sites: Include all network paths (UNCs) Intranet Sites: Include all Sites that bypass the proxy server

12 Internet Explorer Zones – Analisi URL
<protocol>://<IP,FQDN,…> URL callto: type=ip ftp://myftp

13 { Group Policy: Sites and Zones } Demo

14 Network Protocol Lockdown
Consente di limitare le funzionalità accessibili da alcuni protocolli di rete local:// file:// shell:// hcp:// ftp:// callto:// ldap:// … Le applicazioni installate possono estendere la lista dei protocolli attivi su ciascuna macchina

15 Internet Explorer Zones – 2
Per limitare le funzionalità di questi protocolli si utilizzano le Zone del Network Protocol Lockdown: Locked-Down Intranet Locked-Down Internet Locked-Down Trusted Sites Locked-Down Restricted Sites Locked-Down Local Machine

16 Mapping Network Protocol Lockdown
<protocol>://<IP,FQDN,…> URL Viene valutata la Zona a cui appartiene il Sito/IP/Indirizzo Internet Control Panel > Security Page > Site to Zone Assignment List Per quella Zona, viene analizzata la lista dei protocolli “Locked Down” Internet Control Panel > Security Features > Network Protocol Lockdown > Restricted Protocols per Security Zone Viene applicata la policy corrispondente Internet Control Panel > Security Page > Zone Locked-Down

17 { Network Protocol Lockdown } Demo

18 Informazioni di approfondimento
Per approfondire il Network Protocol Lockdown:

19 GPO Setting Principali - Computer
GPO > Computer Configuration > Administrative Templates > Windows Components > Internet Explorer Accellerators – disabled, enabled, add custom Compatibility View – choose default rendering mode Delete browsing History – block deleting IE history Internet Control Panel – locks down IE configuration Internet Control Panel > Security Page – detailed configuration of Zones (Internet, Intranet, Trusted Sites…) and Websites

20 GPO Setting Principali - Computer
Security Features > Add-On Management – Manage Add-ons and its configuration Security Features > Consistent Mime Handling Security Features > Mime Sniffing Safety Feature Security Features > Local Machine Zone Lockdown Sec. Security Features > Restrict ActiveX Install Security Features > Restrict File Download (non user initiated)

21 { Group Policy: Computer } Demo

22 GPO Setting Principali - Utente
GPO > User Configuration > Windows Settings > Internet Explorer Maintenance Connection > Proxy Settings Connection > User Agent String URLs > Favorites and Links: add custom favorites

23 GPO Setting Principali - Utente
GPO > User Configuration > Administrative Templates > Windows Components > Internet Explorer Accellerators – disabled, enabled, add custom Administrator Approved Controls – enable ActiveX Compatibility View – choose default rendering mode Delete browsing History – block deleting IE history Internet Control Panel – locks down IE configuration Internet Control Panel > Security Page – detailed configuration of Zones (Internet, Intranet, Trusted Sites…) and Websites

24 GPO Setting Principali - Utente
Security Features > Add-On Management – Manage Add-ons and its configuration Security Features > Consistent Mime Handling Security Features > Mime Sniffing Safety Feature Security Features > Local Machine Zone Lockdown Sec. Security Features > Restrict ActiveX Install Security Features > Restrict File Download (non user initiated)

25 { Group Policy: User } Demo

26 Group Policy Preferences per Internet Explorer 8.0

27 Cosa sono le Group Policy Preferences?
Sono delle impostazioni, configurabili nei computer degli utenti, di cui però non viene fatto l’enforcment Possono essere applicate una sola vota, senza refresh Sono utilizzabili ad esempio per sostituire gli script di logon nel mappare unità di rete o nel configurare la baseline del sistema operativo Possono essere utilizzate per la configurazione base di Internet Explorer

28 GP Preferences - Group Policy Settings
Group Policy Preferences Group Policy Settings Enforcement Preferences are not enforced. User interface is not disabled. Can be refreshed or applied once. Settings are enforced. User interface is disabled. Settings are refreshed. Flexibility Easily create preference items for registry settings and files. Import individual registry settings or entire registry branches. Adding requires application support and creating administrative templates. Cannot create policy settings to manage files or folders. Local Policy Not available in local Group Policy. Available in local Group Policy. Awareness Supports non-Group Policy–aware applications. Requires Group Policy–aware applications. Storage Original settings are overwritten. Removing the preference item does not restore the original setting. Original settings are not changed. Stored in registry policy branches. Removing setting restores original settings. Targeting and Filtering Targeting is granular, with a user interface for each type of targeting item. Supports targeting at the individual preference item level. Filtering is based on Windows Management Instrumentation (WMI) and requires writing WMI queries. Supports filtering at a GPO level. User Interface Provides a familiar, easy-to-use interface for configuring most settings. Provides an alternative user interface for most policy settings.

29 { Group Policy Preferences } Demo

30 In conclusione In ambito aziendale è possibile mettere in sicurezza in modo centralizzato la configurazione del browser e la navigazione in Internet Le Group Policy consentono di configurare le impostazioni del browser e dei controlli aggiuntivi per gli utenti e i computer aziendali L’enforcment delle policy avviene in qualsiasi momento, garantendo la sicurezza degli utenti dentro e fuori la rete aziendale

31 RenatoFrancesco.Giorgini@microsoft.com http://blogs.technet.com/italy
© 2009 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. MICROSOFT MAKES NO WARRANTIES, EXPRESS OR IMPLIED, IN THIS SUMMARY.