Práticas recomendadas de segurança para Surface Hubs que executam Salas do Microsoft Teams no Windows

Escopo

Introdução

Dependendo da postura de segurança da sua organização, você pode querer tomar outras medidas de segurança, conforme descrito neste artigo. No mínimo, recomendamos as seguintes medidas:

• Alterar a senha de administrador local padrão
• Definir uma senha UEFI
• Surface Hub 3 fisicamente seguro

Alterar a senha de administrador local padrão

A conta de administrador local padrão é um ponto de entrada bem conhecido para agentes mal-intencionados. Se a senha de administrador padrão permanecer inalterada após a primeira configuração, o dispositivo poderá ficar vulnerável a violações de dados, manipulação do sistema ou outro acesso não autorizado.

Para alterar a senha de administrador local no Surface Hub

1. Entre com as credenciais de administrador e vá para Configurações > Contas > Opções > de entrada Alteração de senha>.
2. Digite a senha padrão atual:sfb.
3. Crie uma nova senha, confirme a senha e adicione uma dica. Para saber mais, consulte Alterar ou redefinir sua senha do Windows.

Definir uma senha UEFI

A Unified Extensible Firmware Interface (UEFI) é uma interface de firmware avançada projetada para substituir o BIOS (Basic Input/Output System) tradicional, fornecendo recursos aprimorados, como segurança aprimorada, tempos de inicialização mais rápidos e suporte para discos rígidos maiores em sistemas operacionais Windows modernos. Ao definir uma senha UEFI, você adiciona uma camada extra de segurança, impedindo que usuários não autorizados alterem as configurações de firmware do dispositivo. Defina uma senha UEFI forte e armazene-a em um local seguro.

Use o Surface IT Toolkit para definir uma senha UEFI com o Surface Enterprise Management Mode (SEMM).

Registrar o Surface Hub no SEMM

Você precisa de uma unidade USB dedicada com pelo menos 50 MB de espaço de armazenamento.

1. Abra o Kit de ferramentas de TI, selecione Configurador> UEFIConfigurar dispositivos.

   

2. Em Escolher Build de Implantação, selecione DFI.

   

3. Em Proteção de Certificado de Importação, adicione seu certificado de Troca de Informações Pessoais (PFE) organizacional.

   

   Observação

   Este artigo pressupõe que você obtenha certificados de um provedor terceirizado ou que você já tenha experiência em serviços de certificados PKI e saiba como criar seus próprios. Para saber mais, consulte Requisitos de certificado SEMM e documentação da Arquitetura de Serviços de Certificado .

4. Em Tipo de Pacote DFI, selecione Pacote de Configuração. Para Dispositivo, selecione Surface Hub>,Surface Hub 3 e selecione Avançar.

   

5. Em Senha UEFI , selecione Definir ou Modificar Senha , insira e confirme sua senha. Selecione Avançar.

   

6. Opcionalmente, você pode definir componentes e configurações avançadas, conforme descrito na seção Gerenciar configurações de UEFI com SEMM, nesta página. Caso contrário, selecione Avançar.

7. Selecione sua unidade USB e escolha Criar.

   

8. Após a criação bem-sucedida do pacote, o Configurador exibe os dois últimos caracteres da impressão digital do certificado. Você precisará desses caracteres ao importar a configuração para o Surface Hub.

Surface Hub fisicamente seguro

A segurança física é uma ferramenta tão crucial quanto a segurança digital. Dispositivos como o Surface Hub em salas de conferência públicas podem ser suscetíveis a danos físicos ou adulteração. Para proteger o Surface Hub, considere as seguintes etapas:

• Selos invioláveis: Use selos invioláveis no dispositivo. Se alguém tentar abrir o dispositivo, o selo mostrará sinais de adulteração.
• Cabos e fechaduras de segurança: Use cabos de segurança e travas para prender o dispositivo a um objeto pesado ou imóvel, tornando difícil para alguém sair com ele.
• Vigilância: Dependendo do ambiente de trabalho, você pode optar por instalar câmeras de vigilância na sala de conferências. A mera presença de câmeras pode dissuadir potenciais infratores.

Diferenças com Windows 10 Team no Surface Hub & Surface Hub 2S

Os seguintes recursos de segurança não estão mais habilitados por padrão no Surface Hub executando as Salas do Teams no Windows:

• BitLocker
• Código de Integridade do Modo de Usuário (UMCI)

BitLocker

Você pode habilitar o BitLocker por meio do Intune quando ingressado no Microsoft Entra ID (Azure AD). Consulte Criptografar dispositivos Windows com o BitLocker no Intune para saber mais.

Para habilitar o BitLocker em um Surface Hub autônomo executando as Salas do Teams no Windows

1. Entre no Surface Hub com credenciais de administrador.

2. Selecione Iniciar, digite **Controle, e abra o Painel de Controle.

3. Selecione Sistema & Segurança> Criptografia > deUnidade de Disco BitLockerAtive o BitLocker.

   

Código de Integridade do Modo de Usuário (UMCI)

O UMCI impõe políticas de integridade de código e garante que apenas códigos confiáveis sejam executados no modo de usuário, ajudando a evitar a execução de códigos mal-intencionados ou não confiáveis. Você pode configurar o UMCI por meio da Política de Grupo quando o Hub 3 é ingressado em um domínio do Microsoft Entra ou usando cmdlets do PowerShell. O UMCI faz parte de um conjunto de recursos que você pode gerenciar com o Windows Defender Application Control (WDAC), que também inclui políticas de integridade de código configuráveis. Para saber mais, confira Entender as regras de arquivo e as regras de política do Windows Defender WDAC (Controle de Aplicativos).

Gerenciamento de Salas do Microsoft Teams Pro

É altamente recomendável utilizar a licença do portal de Gerenciamento das Salas do Microsoft Teams Pro. Essa plataforma de gerenciamento baseada em nuvem foi projetada para elevar a experiência da sala de reunião, oferecendo monitoramento e atualizações proativos para dispositivos das Salas do Microsoft Teams e seus periféricos. Destinado a organizações que buscam otimizar seus ambientes de reunião, esse serviço garante a supervisão e o gerenciamento em tempo real dos dispositivos de Salas do Microsoft Teams, incluindo o Surface Hub. Ao adotar essa solução, as organizações podem melhorar significativamente a usabilidade e a confiabilidade para os usuários finais, garantindo experiências de reunião perfeitas.

• Operações inteligentes: utiliza software e aprendizado de máquina para automatizar atualizações, detectar problemas e resolver problemas para as Salas do Microsoft Teams.
• Atualizações de segurança oportunas: o gerenciamento automatizado de atualizações garante que os patches de segurança sejam aplicados prontamente à medida que se tornam disponíveis, minimizando a janela de vulnerabilidade e protegendo os dispositivos contra ameaças de segurança conhecidas.
• Gerenciamento de atualizações: automatiza a orquestração de aplicativos de reunião e atualizações do Windows com base em anéis de implantação configuráveis pelo cliente.

Para saber mais, consulte Gerenciamento de Salas do Microsoft Teams Pro.

Gerenciamento empresarial do Surface Hub executando as Salas do Teams no Windows

Recomendamos que você ingresse no Surface Hub no Microsoft Entra ID (Azure AD) e gerencie o dispositivo usando o Microsoft Intune ou a solução de gerenciamento de dispositivo móvel (MDM) equivalente. A tabela a seguir descreve as opções de gerenciamento de configuração do Intune.

Gerenciar configurações de Política de Grupo em cenários ingressados no domínio

Ao integrar as Salas do Teams a um domínio, é imperativo estabelecer uma UO (Unidade Organizacional) separada e dedicada especificamente para as Salas do Teams. Essa abordagem permite a aplicação de exclusões de Política de Grupo Objeto (GPO) diretamente a essa UO, garantindo que apenas as políticas relevantes afetem Salas do Teams objetos.

• Desabilitar herança de GPO. É crucial desabilitar toda a herança de GPO dentro desta UO para evitar a aplicação de configurações de Política de Grupo sem suporte ou irrelevantes às Salas do Teams.

• Aplicar GPOs à UO antes de ingressar no domínio. Verifique se os objetos de computador para as Salas do Teams são criados dentro desta UO específica antes do ingresso no domínio. Essa etapa é essencial para evitar a aplicação inadvertida de políticas de UO de computador padrão às Salas do Teams e manter a configuração pretendida e a postura de segurança.

Para saber mais sobre como configurar a Política de Grupo em cenários ingressados no domínio, consulte os seguintes recursos:

• Configuração da Política de Grupo para as Salas do Microsoft Teams

• Referência de configurações da Política de Grupo

Gerenciar as configurações de UEFI com o SEMM

O SEMM permite que os administradores de TI bloqueiem recursos no nível do firmware que você pode implementar dependendo da postura de segurança do seu ambiente. Abra o Surface UEFI Configurator, conforme explicado anteriormente, e vá para as seguintes telas:

Para obter descrições de configurações, consulte Referência de configurações UEFI do SEMM.

Multi-Threading Simultâneo (SMT)

Comumente conhecido como hyperthreading em processadores Intel, o SMT permite que um único núcleo de CPU física execute vários threads simultaneamente. Isso pode melhorar o desempenho em aplicativos multithread. No entanto, há cenários específicos em que você pode querer controlar a configuração SMT. Algumas vulnerabilidades, como ataques de canal lateral de execução especulativa (por exemplo, Falha de Terminal L1, vulnerabilidades de MDS), podem explorar o SMT para acessar dados confidenciais. Desabilitar o SMT pode atenuar o risco associado a essas vulnerabilidades, embora ao custo de algum desempenho. O SMT está habilitado por padrão.

Inicialização de IPv6 para PXE

Se a infraestrutura de rede e os controles de segurança forem projetados principalmente em torno do IPv4 e ainda precisarem estar totalmente equipados para lidar com o tráfego IPv6 com segurança, habilitar o IPv6 para inicialização PXE poderá introduzir vulnerabilidades. Isso ocorre porque o IPv6 pode ignorar alguns dos controles de segurança existentes para o IPv4.

Embora a habilitação do IPv6 para inicialização PXE esteja alinhada com o movimento mais amplo do setor em direção à adoção do IPv6, é essencial garantir que a infraestrutura de rede, os controles de segurança e as práticas operacionais estejam todos equipados para lidar com o IPv6 com segurança. Caso contrário, talvez seja mais seguro manter a inicialização IPv6 para PXE desabilitada até que essas medidas estejam em vigor.

Inicialização alternativa & inicialização USB

A capacidade de inicializar de outra fonte, como um dispositivo USB ou Ethernet, fornece flexibilidade para a recuperação do sistema, mas também pode introduzir vulnerabilidades:

• Sistemas operacionais não autorizados: se a inicialização alternativa estiver habilitada, um invasor com acesso físico ao dispositivo poderá inicializar o sistema usando um sistema operacional não autorizado de uma unidade USB. Isso pode ignorar os controles de segurança do sistema operacional principal.
• Extração de dados: um invasor pode inicializar a partir de um dispositivo externo em um sistema que permita acesso direto ao armazenamento interno, potencialmente extraindo dados confidenciais.
• Instalação de malware: A inicialização de uma fonte não confiável pode introduzir malware, rootkits ou outro software malicioso no nível do sistema.

Dadas essas implicações, as organizações em ambientes de trabalho altamente seguros podem optar por desabilitar a inicialização alternativa e a inicialização USB para reduzir o risco de acesso não autorizado ou adulteração.

Bloqueio da ordem de inicialização

Habilitar o "Bloqueio de Ordem de Inicialização" aprimora a postura de segurança, garantindo que ele seja inicializado somente de fontes autorizadas. O Bloqueio da Ordem de Inicialização está desativado por padrão.

Saiba mais

• Proteger e gerenciar o Surface Hub com SEMM
• Visão geral da inicialização segura
• Visão geral do BitLocker
• Visão geral do controle de aplicativo
• Controle de Aplicativos do Windows Defender e proteção baseada em virtualização da integridade do código
• Ferramentas Surface para TI