Por Eduardo Petizme

Introdução

Esse artigo demonstra como configurar os alertas do ISA Server para notificar o Administrador por e-mail.

Com tantos afazeres, administradores de redes não têm muito tempo para ficar monitorando o perímetro da sua rede. Pensando nisso existe o serviço de alerta por e-mail no ISA Server. Assim quando, por exemplo, seu ISA detectar alguma tentativa de invasão o administrador pode ser avisado por e-mail, ao invés da estação como era feito na época do Windows NT.

Configurando Alerta

1. Abra o ‘ISA Server Management’, clique em ‘Monotoring’ e na guia ‘Alerts’.
   

2. No ‘Task Bar’ clique em ‘Configure Alert Definitions’.
   

3. Localize o alerta ‘Intrusion Detected’, por exemplo, e clique no botão ‘Edit’

4. Na tela ‘Intrusion detected Properties’ habilite a opção ‘Send e-mail’ para poder configurá-lo.
   

5. Configure os campos:

   • SMTP server: Endereço do seu servidor SMTP.

   • From: E-mail do ISA Server que chegará a caixa postal do destinatário.

   • To: E-mail principal de destino, exemplo: Administrador da Segurança

   • Cc: E-mail seundário de destino, exemplo: Administrador da Rede

6. Clique no botão ‘Test’ para testar a configuração.

7. Clique em ’0k’ para concluir de configurar o alerta.

8. Confira se o alerta está selecionado, isso significa que esta habilitado.
   

9. Clique em ’0k’ para concluir

10. Clique ‘Apply’ para salvar as alterações e atualizar a política do firewall.

11. Clique ’0k’ em ‘Apply New Configuration’.

Obs.: Existem vários tipos de alertas, verifique o que é necessário e o que é importante que o administrador seja avisado por e-mail e repita os passos 3 ao 11.

Referências:

Para informações adicionais procure em support.microsoft.com

Aplicavél a:

• Microsoft ISA 2004 Standard Edition

Fonte também utilizada: KB 840698

Até a próxima,

Eduardo Petizme

Olá pessoal!
Vamos continuar o artigo com dicas sobre scripts de logon, explicando mais sobre três assuntos relacionados: Sistema de Arquivos e Registro, Impressoras e Mensagens de aviso. No final, temos também uma lista de links úteis para este artigo.

Impressoras

Conectar usuários à impressoras de rede automaticamente é uma tarefa comum que pode (e deve) ser feita utilizando scripts de logon. A grande vantagem de instalar impressoras usando scripts de logon é o ganho de tempo: uma impressora nova pode ser instalada para todos os usuários da rede em poucos minutos. Quando uma impressora for desativada, pode ser facilmente removida da rede.

Outro ponto importante é que as conexões com impressoras de rede ficam armazenadas no perfil do usuário. Sem scripts de logon, o administrador precisaria instruir os usuários a conectar-se às impressoras de rede ou fazer o trabalho manualmente.

Para conectar-se à impressoras de rede, o WSH disponibiliza dois métodos: o AddWindowsPrinterConnection e AddPrinterConnection. A diferença entre os dois é o tipo de impressora: o primeiro serve para impressoras baseadas em Windows, enquanto o segundo é indicado para impressoras baseadas em MS-DOS. Veja um exemplo abaixo:

Set objNet = WScript.CreateObject("WScript.Network")
objNetwork.AddWindowsPrinterConnection "\printerserverprinterA"

Note que o script acima é bem semelhante ao que foi apresentado para mapeamento de unidades, e pode ser modificado da mesma forma. Você pode, por exemplo. mapear impressoras baseando-se nos grupos que um usuário pertence.

Existe um pequeno detalhe quanto à estes dois métodos. Nos sistemas operacionais Windows 9x, os primeiro método requer um parâmetro extra – o nome do driver – que deve ser previamente instalado no computador. Mais detalhes podem ser encontrados na documentação.

Mensagens de aviso

As mensagens de aviso são extremamente úteis para divulgar pequenas mudanças nos computadores e na rede em geral. Isto pode ser feito utilizando a função msgbox do VBScript, que foi apresentada no primeiro artigo. Abaixo, um pequeno exemplo do que pode ser feito:

strTitulo = "Seção Técnica de Informática"

strMensagem = _
"AVISO IMPORTANTE" & vbcrlf & vbcrlf & _
"mensagem de teste, mensagem de teste, mensagem de teste" & vbcrlf & _
"mensagem de teste, mensagem de teste, mensagem de teste" & vbcrlf & _
"e está sujeito à punição prevista no regimento interno."

msgbox strMensagem, 0 + 64, strTitulo

Sistema de Arquivos e Registro

Vale a pena comentar um pouco também sobre como manipular arquivos, pastas e chaves no registro com scripts de logon, pois há alguns detalhes importantes.

Como estamos usando scripts de logon, temos que ter em mente que ele será executado no contexto do usuário comum. Usuários comuns normalmente não têm permissão para acessar máquinas remotamente via rede usando WMI. Então, porque usar WMI para tarefas simples como copiar arquivos de um servidor, modificar valores no registro se as próprias ferramentas do Windows Scripting Host conseguem fazer isso? Veja abaixo alguns dos motivos do porque devemos dar preferência aos métodos e objetos do FSO aos do WMI:

• FSO é mais rápido do que o WMI ao trabalhar com arquivos e pastas. Isto porque o WMI foi desenvolvido para trabalhar em rede, e para trabalhar localmente ele precisa criar uma conexão com a máquina local antes de executar qualquer ação.

• WMI não vem instalado por padrão em todos os sistemas operacionais Microsoft, como o Windows 95, 98 e 98 SE. Se um dia você for utilizar um script destes em sistemas antigos, terá que fazer modificações.

• Para manipular o Registro você pode utilizar os métodos RegRead, RegWrite e RegDelete do objeto WScript.Shell. As vantagens são mesmas que foram citadas acima.

Manipulação de arquivos com FSO é uma área que pode ser mais aprofundada, e, portanto, teremos mais artigos específicos sobre este assunto. Os exemplos então serão dados posteriormente.

Links

Seguem links úteis com referência dos métodos utilizados neste artigo:

Item

Referência

Objeto WSHNetwork

http://msdn.microsoft.com/library/en-us/script56/html/438d1705-fb98-4a63-86e5-a8cc01f4ce16.asp

Método MapNetworkDrive

http://msdn.microsoft.com/library/en-us/script56/html/fef5a591-c633-4c18-91a3-848e72a36ca7.asp

Propriedade WSHNetwork.Username

http://msdn.microsoft.com/library/en-us/script56/html/a96adec2-4898-46c2-8154-9b02a49e52c3.asp

Interface IADsUser do ADSI, usada para obter os grupos a que um usuário pertence

http://msdn.microsoft.com/library/default.asp?url=/library/en-us/adsi/adsi/iadsuser.asp

Função InStr, que verifica se uma string está contida em outra

http://msdn.microsoft.com/library/en-us/script56/html/cf0c9b24-ea84-420b-9393-2dbe0c58d7d1.asp

Método AddWindowsPrinterConnection

http://msdn.microsoft.com/library/en-us/script56/html/999614b9-1d1e-4d7a-af43-e22ab22fb782.asp

Método AddPrinterConnection

http://msdn.microsoft.com/library/en-us/script56/html/672f0518-a698-44b9-9f94-2a0bb201e16a.asp

Função Msgbox

http://msdn.microsoft.com/library/en-us/script56/html/ae073d50-e4a4-4e23-8e46-0cb1369965e7.asp?frame=true

Objeto WSHShell

http://msdn.microsoft.com/library/en-us/script56/html/7b956233-c1aa-4b59-b36d-f3e97a9b02f0.asp

Objeto FilesystemObject

http://msdn.microsoft.com/library/en-us/script56/html/8b99eead-e2bd-45c6-9660-bbbfeec192f0.asp

Conclusões

A idéia principal deste artigo é ilustrar o que pode e o que não pode ser feito através de scripts de logon. Tenha em mente que um script de logon nada mais é do que uma rotina feita para ‘aliviar’ o trabalho do usuário, que automatiza algumas tarefas que ele mesmo poderia fazer.

Esta é uma das maiores dúvidas e reclamações nos grupos de discussão. Futuramente, escreverei mais sobre scripts e execução remota com WMI e scripts de inicialização, que são outras técnicas que confundem muitos administradores. E lembre-se: teste sempre seus scripts antes de aplicar alterações na sua rede.

Até mais!

Vinicius Canto

A princípio você deve pensar que gastará no mínimo 1 mês para terminar essa tarefa, mas se você estiver em ambiente Windows com Active Directory, essa tarefa não levará mais que alguns minutos através de um recurso chamado Group Policy(GPO).

A Group Policy(GPO), é capaz de mudar configurações, restringir ações ou até mesmo distribuir aplicações em seu ambiente de rede. As vantagens são muitas, e podem ser aplicadas em sites, domínios e organizational units(OUs). Se você criou uma OU para cada departamento da sua empresa, poderá então, fazer diferentes configurações de GPO para cada departamento.

O objetivo deste artigo é descrever os recursos das GPOs, em outros artigos vamos abordar passo-a-passo com se faz essas configurações.

As GPOs são baseadas em templates que possuem uma lista de opções configuráveis de forma amigável. A maioria dos itens de uma GPO tem 3 diferentes opções:

Enable: Especifica que aquele item será ativado.

Disable: Especifica que aquele item será desativado.

Not Configured:Deixa a opção neutra, nem ativa e nem desativa o item, ou seja, fica como está agora. Esta é a configuração padrão.

Vejamos um exemplo:

Você quer desabilitar o command prompt de todos os desktops da rede. Para isso existe um item chamado Disable the command prompt, a configuração default para esse item é Not Configured.

Se você configurar como Enabled, o command prompt será desativado e se você configurar como Disable, será ativado explicitamente.

Parece confuso o Enable desativar a opção, mas repare que a opção é “Desabilitar o prompt de comando”, o Enable neste caso está ativando a opção de “Desabilitar o prompt de comando”.

As configurações das GPOs podem ser aplicadas em dois tipos de objetos do Active Directory: Usuários e Computadores, desde que estejam em uma OU. Se houver algum conflito entre as configurações dos computadores e dos usuários, as configurações dos usuários vão prevalecer.

Os tipos de configurações que podem ser feitas estão descritas abaixo:

Software Settings: Nesta categoria, um administrador pode, por exemplo, distribuir aplicações para usuários finais.

Windows Settings: Permite ao administrador customizar as configurações do Windows. Estas opções são diferentes para usuários e computadores.

Por exemplo: Nos computadores, eu posso criar um script para ser executado no Startup e Shutdown. Nos usuários eu crio scripts para rodar no Logon e Logoff. Além disso, nos usuários posso mudar configurações do Internet Explorer, redirecionar pastas, etc.

Administrative Templates: Também são diferentes as opções para computadores e usuários.

Por exemplo: Nos computadores eu posso configurar itens do Sistema e nos usuários, posso configurar o Menu Iniciar e Barra de Tarefas.

Hierarquia das GPOs

Um outro conceito importe é saber a hierarquia das GPOs que podem ser aplicadas em 3 níveis diferentes: Sites, domínios e OUs

Sites: O mais alto nível. Todas as configurações feitas no site serão aplicadas a todos os domínios que fazem parte dele.

Domínios: É o segundo nível. Configurações feitas aqui, afetarão todos os usuários e grupos dentro do domínio.

OUs: O que se aplica nas OUs afetarão todos os usuários dentro dela.

É importante lembrar que as opções são cumulativas por padrão. Sendo assim, se eu sou um usuário da OU Engenharia, posso receber configurações que vem do Site, Domínio e da minha própria OU.

Exemplo:

No Site foi configurado uma GPO para os usuários mudarem a senha a cada 50 dias. No Domínio, foi configurada outra GPO desativando o prompt de Comando e na OU Engenharia, foi configurada outra GPO para especificar o papel de parede padrão do meu desktop.

Quando eu me logar será aplicada as três GPOs.

Heranças de Group Policy

Pegando o exemplo acima, o que aconteceria se fosse configurada uma GPO no Domínio para mudar a senha a cada 30 dias ? Haveria um conflito de GPOs, pois no Site está configurado para mudar a senha a cada 50 dias. Por isso é importante entender como ocorrem as heranças de GPOs.

Por default, quem está mais próximo do usuário tem preferência na aplicação da GPO sobre as configurações mais genéricas. No nosso exemplo, a GPO do Domínio será aplicada.

Entretando, o Administrador do Sistema pode alterar esse comportamento através de duas opções descritas abaixo:

Block Policy Inheritance ( Bloquear heranças de políticas)

Especifica que as configurações da GPO para um objeto não será herdada do nível superior. Isso é muito usado quando se tem uma OU dentro de outra e você quer aplicar uma configuração específica para aquela OU.

Force Policy Inheritance ( Forçar herança de políticas)

Especifica que você não permitirá que níveis filhos possam sobrescrever suas configurações de GPO. Por exemplo: Sou administrador de um site da minha empresa e criei uma política de senha forte através de GPO com 9 caracteres e não quero que o Administrador do Domínio e nem o das OUs dos domínios possam sobrescrever minha política. Neste caso eu crio minha GPO, aplico ao Site e marco a opção de Force Policy Inheritance.

Visão geral

Neste tutorial iremos mostrar como proteger o grupo Domain Admins utilizando a configuração de GPO Restricted Groups. Quando utilizamos o Restricted Groups, qualquer usuário que seja adicionado no grupo Domain Admins sem ser por meio da configuração de GPO Restricted Groups será removido automaticamente. Essa política de remoção inclui o usuário administrator.

Solução

No Domain Controller:

1. Ir em Start / Programs / Administrative Tools / Domain Controller Security Policy.

2. Na tela Default Domain Controller Security Settings clique com o botão direito do mouse em Restricted Groups e depois em Add Group…
   

3. Na tela Add Group no campo Group digite Domain Admins e clique em OK.
   

4. Na tela Domain Admins Properties em Members of this group clique em Add.
   

5. Na tela Add Member clique em Browse…
   

6. Na tela Select Users or Groups caixa Enter the object names to select digite Administrator clique em Check Names e depois em OK.
   

7. Na tela Add Member clique em Ok.

8. De volta na tela Domain Admins Properties observe na caixa Members of this group o usuário DOMINIOAdministrator. Clique em Apply e depois em OK.
   

9. Observe na tela Default Domain Controller Security Settings no painel direito o grupo Domain Admins.
   

10. Ir em Start / Run digite gpupdate /force e clique em OK.

OBS: Qualquer usuário existente no grupo Domain Admins será removido se não for explicitamente adicionado através da GPO Restricted Groups.

Conclusão

Neste tutorial mostramos como proteger o group Domain Admins utilizando a configuração de GPO Restricted Groups.

Agora que já estamos com o AD organizado, e com os grupos criados, vamos agora modificar as permissões das pastas do servidor para bloquear acessos dos setores.
Com esse manual você irá aprender a como bloquear a pasta do Financeiro para somente os usuários do setor acessar.

a

b

c

d

e

f

g

h

i

j

l

m

n

o

p

q

r

s

t

u

v

x

z

za

zb

zc

zd

Para que tudo funcione, primeiramente vamos organizar o AD e mover a pasta de INTERNET criada para o padrão da empresa.

Procure o icone Administrative Tools (Ferramentas Administrativas)

Procure o icone Active Directory Users and Computers (Gerenciamento de Usuários e Computadores)

Vai abrir o AD veja que o grupo INTERNET e o grupo REVENDA já estão configurados de acordo com o manual de organização do Active Directory. Se não estiver organize primeiramente o AD para depois poder mexer na organização dos grupos internet.

Clique com o Botão Direito do Mouse em INTERNET e depois escolha MOVE

Ira abrir uma caixa solicitando indicar aonde quer mover a pasta INTERNET, Escolha REVENDA, PERMISSOES e depois clique em OK

Pronto repare que a pasta (OU) foi movida para dentro de PERMISSOES, padronizando com isso todos os objetos de uso da revenda.

Após isso, vamos finalmente configurar os acessos a Internet dos usuários.
Clique na Pasta INTERNO dentro de REVENDA, você vai reparar que dentro da mesma já estão todos os usuários da revenda configurados. Caso não esteja acesse o manual como mover os usuários no Active Directory e depois volte a partir desse ponto.

Clique com o botão direito do mouse em cima do Usuário que você quer configurar e depois vá em Properties (Propriedades)

Vai abrir a caixa abaixo, primeiramente verifique se o usuário já digitado o Setor do usuário, se não tiver digite tudo em Maisculo

Após clique na aba ” Member Of  ”
Repare que o usuário deverá está no grupo Domain Users e no grupo do Seu setor, no nosso exemplo estamos trabalhando com um usuário do Setor Financeiro.
Se o seu não estiver assim, consulte o manual como organizar o Active Directory para poder padronizar os grupos por setor.
Clique no botão Add.

Vai abrir a tela abaixo:
Digite Internet e aperte a tecla ” Check Names ”

Vai abrir uma tela parecida com a tela abaixo.
Essa tela mostra os grupos de acesso a internet que existem criados na empresa.

Mantenha o botão ” CTRL ” do teclado pressionado e vá clicando nos grupos abaixo.
OBS: Esses grupos são padrão para qualquer usuário.
Se o usuário for do RH inclua também os acessos: CAT, TED e CONECTIVIDADE
Depois clique em OK

Repare que foi incluido os grupos abaixo. Aperte OK

Pronto, agora o usuário já pode acessar a internet.

Clique no Icone, Administrative Tools (Ferramentas Administrativas)

Clique no Icone, Active Directory Users and Computers (Gerenciamento de Usuários e Computadores)

Você irá ver uma tela semelhante com a de Baixo.

Abra a pasta dos usuários, no nosso caso os usuários da empresa estão criados dentro da pastas USERS

Procure o nome do usuário que você quer mover e clique com o botão direito do mouse em cima do nome dele e escolha MOVE

Vai abrir um caixa para você selecionar o local desejado. No nosso exemplo escolhemos a pasta(OU) INTERNO dentro da pasta(OU) REVENDA

Se você olhar depois dentro da pasta INTERNO vai notar que o usuário foi movido para dentro dela.

Faça isso com os demais usuários, mas somentes os usuários da revenda.

OBS: Não mover os seguintes usuários:
Administrator
Suporte
Servsql
Veritas

Primeiramente, vamos abrir o Active Directory (Vou chama-lo daqui para a frente de AD)

Clique em Start, Settings, Control Panel

Procure pelo icone Administrative Tools (Ferramentas Administrativas)

Procure pelo icone Active Directory Users and Computers (Gerenciamento de Usuários e Computadores)

Repare que vai abrir uma tela semelhante, a tela abaixo,

Clique com o botão direito do mouse em cima do dominio e depois escolha new (Novo) e depois organizational Unit (Unidade Organizacional)
OBS: ( Organizational Unit = Unidade Organizacional = OU )
Daqui para frente vou chamar somente de OU

Vai abrir a tela de New Object (Novo Objeto) digite o nome desejado para a sua empresa, vou criar a palavra Revenda

Depois damos OK e você verá que foi criado uma nova OU abaixo do Dominio XYZ.COM.BR

Repita o processo anterior, agora clicando com o botão direito em cima da OU que foi criada, no nosso caso, em cima de REVENDA e escolha NEW e depois organizational Unit vai abrir a tela abaixo, digite a palavra INTERNO

Repare que com isso criamos a OU Interno, abaixo da OU Revenda

Agora clique com o botão esquerdo do mouse, em cima de Revenda, depois clique com o botão direito do mouse em cima da OU Revenda e depois escolha new (Novo) e depois organizational Unit (Unidade Organizacional)

Agora digite a palavra Externo e depois dê OK

Repare que foi criado uma nova OU chamada EXTERNO, nota-se também que ficou Interno e Externo abaixo da Revenda.

Reparou que a criação é semelhante a criar pastas no Windows Explorer, ou seja, uma dentro da outra. Baseado nisso continue criando para ficar semelhante a figura abaixo.

Agora que você já organizou suas OU, e a mesma está semelhante a figura acima, vamos para o proximo passo, clique com o botão direito em cima de FILE SYS WORK e depois NEW e depois GROUP

Vai abrir a tela de criação de Group (Grupos) agora vamos padronizar os grupos da revenda.
Repare que estamos usando o seguinte padrão:
G= Group
XYZ= Sigla da Revenda
WORK= Tipo de Grupo
XXX = Setor da Revenda (Na imagem abaixo CPD)

Depois clique OK, abaixo eu mostro a imagem dos setores da empresa, e abaixo a imagem dos grupos que eu criei baseado nos setores da empresa.
OBS: Repare que não é preciso criar grupo para a pasta PUB (Publico)

Se você conseguiu chegar até aqui, parabéns, agora vamos para a 2º Parte.
- Como mover usuários no Active Directory

Clique no menu iniciar e depois Run

Digite “ dcpromo ”

Vai abrir a tela de apresentação do Assistente de instalação. Clique em ” Next ”

Essa mensagem significa a informação de compatibilidade, como trabalhamos com todas as máquinas clientes em XP, podemos clica em ” Next ” sem problema.

Nessa tela nós vamos manter selecionado a primeira opção, pois estamos instalando um novo dominio.
Depois clique em ” Next ”

Deixe selecionado a opção e depois clique em ” Next ”

Digite o nome do dominio e depois clique em ” Next ”

Ele irá mostrar como vai aparecer o dominio para os usuários, não mexa em nada apenas aperte ” Next ”

Ele informa onde vai guardar o backup de dados do Active Directory, não mexa em nada e clique em ” Next ”

Ele informa onde vai ficar a pasta padrão de compartilhamento do AD, não mexa em nada e clique em ” Next ”

Vai ocorrer esse erro, verifique que você tem que escolher uma opção para continuar.

Selecione a opção do meio, para que o proprio sistema carregue e configura o DNS. Depois clique em ” Next ”

Mantenha selecionado a segunda opção e depois clique em ” Next “.

Digite uma senha e guarde com cuidado, pois se precisar desistalar o AD você deverá informa-la. Depois clique em ” Next ”

Pronto, o sistema já reuniu todas as informações para iniciar a configuração. Clique em ” Next ”

Aguarde as configurações.

O sistema irá pedir o CD de instalação do Windows 2003 Server, coloque o mesmo no driver.

Aguarde a configuração dos componentes.

Pronto, após alguns minutos o sistema finalizará a instalação. Clique em ” Finish ”

O sistema solicitará a reinicialização da máquina.

Pronto o seu AD foi instalado corretamente.