S é rie de Compatibilidades Aplicativos (XP SP2 e W2k3 SP1) Parte 1

1. Série de Compatibilidades Aplicativos (XP SP2 e W2k3 SP1) Parte 1 Rodrigo Vallim Products Expert Microsoft

2. Agenda • Objetivos do Application Compatibility Toolkit • Desafios em Compatibilidade de Aplicações • ACT 4.0 em Detalhes • Características • Abordagem em 3 fases • Avalie os problemas de compatibilidade de aplicações • Corrija os problemas de compatibilidade • Implemente soluções para os problemas • Arquitetura e Características • Áreas de Investimento Contínuo • Apêndice • 7 Passos para Trabalhar com o ACT 4.0 • 10 Principais Razões para Implementar o Microsoft Windows XP SP2

3. Objetivos • Aumentar a adoção do Windows através da eliminação dos problemas de compatibilidade • Fornecer um sistema unificado para endereçar problemas de aplicações • Ferramentas para Avaliação • Ferramentas para Correção • Ferramentas para Implementação • Ouvir, aprender e responder a problemas de compatibilidade de aplicações corporativas • Fornecer um serviço de reclamação web seguro e privado para os clientes compartilharem problemas e soluções de aplicações com a Microsoft

4. Desafios (Windows XP) • Mudanças no código base do Microsoft Windows XP • 9x foi mais “relaxado” no gerenciamento de pilhas • Alterações sutis nas API’s Win32 • Alterações de valores no registro • Alterações na localização de pastas • Documents & Settings • My Documents • Aplicações com drivers específicos de plataforma • Comum em antivírus, backup e software de particionamento • Aplicações hard-coded para trabalhar em versões específicas de SO

5. Desafios (Windows XP SP2) • Microsoft Internet Explorer • Comportameno binário, travamento da zona local machine, mime handling & sniffing, elevação de zona, restrições no Windows, bloqueio de download • DCOM & RPC • Permissões de carregamento e ativação, acesso remoto anônimo • Windows Firewall • Portas fechadas por padrão • Data Execution Prevention (DEP) • Violações de acesso para aplicações que não trabalham com NX

6. Características – Visão Geral Criado Sobre a Tecnologia da Versão 3.0 Ferramentas de Avaliação Melhoradas Ferramentas de Correção Melhoradas Ferramentas de Implementação Melhoradas Interfaces Baseadas em Tarefas

7. Abordagem em 3 Fases Avaliação Correção Implementação Aplicações de Inventário Cria e Testa Soluções Soluções de Implementação Coleta Problemas de Aplicações Soluções de Pacotes

8. Fase de Avaliação - Arquitetura Agentes de Avaliação de Compatibilidade Distribui agentes para • Coleta inventário de aplicações • Avalia versões de aplicações Collector Collector Collector Collector Collector Collector Collector Collector Collector DCOM DCOM DCOM Configura agentes para coletar dados específicos • Nome do departamento • Nome de usuário, Nome de Máquina, IP Vendas Suporte Windows Firewall Windows Firewall Windows Firewall Distribui via • SMS • Log on scripts RH Servidores IE IE Ambiente de Produção Executa ferramenta de teste do IE • Detect SP2 compatibility issues Cliente Ambiente de Teste

9. Avaliação de AplicaçãoFerramenta: Application Analyzer Collector Collector Collector Collector DCOM Collector Collector Network Share Network Share DCOM Windows Firewall Network Share Windows Firewall Collector Report Viewer (Analyzer) Vendas Suporte DCOM SQL Server Collector Windows Firewall Servidor RH Cliente Ambiente de Produção Windows Firewall Web Service Collector Servidores MSFT Online DB

10. Navegue na Internet ou Intranet com o “logging enabled” do Internet Explorer Avaliação de Aplicação WebFerramenta: Internet Explorer Compatibility Evaluator Windows XP SP2 Cliente (Máquina de Teste) Visualize o Log de erros Salve os logs • Avalie problemas relacionados com: • Bloqueio Automático de Downloads • Bloqueio de Certificados ActiveX • Local Machine Zone Lockdown (LMZL) • Restrições MIME • Bloqueio de Protocolo MK • Proteção de Cache de Objeto • Bloqueio de Pop-up • Restrições de Janelas • Restrições de Elevação de Zonas Altere as Configs. de segurança do IE

11. Destaques da Avaliação • Agente de inventário de aplicação automatizado • Ferramenta leve • Dados coletados sobre aplicações instaladas e configuração de máquina • Avaliadores de compatibilidade do Windows XP SP2 • Checa se uma aplicação usa interfaces DCOM que serão bloqueadas pelo SP2 • Avalia e monitora portas do firewall e reporta o que o Windows Firewall não permitirá (por padrão) • Detecta violações para as novas características de segurança do Internet Explorer • Ferramenta para relatórios e análises muito rica • Filtro de dados mais rápido e fácil • Relatórios podem ser compartilhados • Aplicação gerenciada (requer .NET Framework 1.1) • Dados armazenados no SQL Server 2000 • Criptografia segura de dados para o Microsoft online Web services

12. Fase de Correção - Arquitetura Busca Arq.  .ADQ (Lista de Aplicações com DCOM e Firewall) Ferramenta de criação da solução Ambiente de Teste Arquivo do Compatibility Administrator  .SDB (Base de dados com correções Win32) Um pacote de solução para aplicações Ambiente de Teste Ferramenta de linha de comando que pode gerar um único EXE

13. Chama “GetVersion” setup.exe kernel32.dll Retorna 5.1.2600 kernel32.dll Correção de Compatibilidade Correção da Aplicação Ferramenta: Compatibility Administrator Sem Correções de Compatibilidade: Mensagem de erro no Windows XP Com Correções de Compatibilidade: Setup Continua no Windows XP Chama “GetVersion” setup.exe Retorna 4.0.950 Centenas de Correções: Conta de Usuário Limitada, Chaves do Registro, Caminhos de Arquivos, Tela

14. Navegue na Internet ou Intranet com o “logging enabled” do Internet Explorer Correção de Aplicação WebFerramenta: Internet Explorer Compatibility Evaluator Windows XP SP2 Cliente (Máquina de Teste) Pacote do registro (.REG) Para o Internet Explorer Visualize Logs de erros Altere as Configs. de segurança do IE

15. Destaques da Correção • Possibilita soluções específicas por aplicação minimizando o impacto no ambiente de segurança • Um único pacote de solução para aplicações • Para correções de DCOM e Firewall • Aplicações são adicionadas à lista de exceções • Para correções de compatibilidade Win32 • Base de dados instaladas na máquina destino • Opção de desinstalação disponível • Pacote de registro para o Internet Explorer • Pode ser implementado via log on script ou SMS • Alterações no registro também podem ser feitas via GPO

16. Arquitetura de Implementação Log On Scripts Network Share Pacote de Avaliação Vendas Suporte System Management Server Pacote de Correção RH Servidores Cliente Servidor Ambiente de Produção Opção 1. Log on Scripts Distribui agentes de avaliação ou pacotes de correção Opção 2. Systems Management Server Distribui agentes de avaliação ou pacotes de correção

17. Destaques de Implementação • Fácil para distribuir e instalar • Executável de auto-instalação • Pode ser implementado via logon scripts ou SMS • Integração SMS • Estende as capacidades existentes do SMS • Implementação de agentes de avaliação • Implementação de pacotes de correção • Consolidação de soluções de correção • Um pacote de correção por aplicação, incluindo todas as soluções • Correções no registro para o Internet Explorer

18. Novas Características do ACT 4.0

19. Troca de Informações Arquitetura Estensível Mais Ferramentas e Guias Interf. Baseadas em Tarefas Áreas de Investimento Contínuo

20. Apêndices • 7 Passos Para Iniciar o ACT 4.0 • 10 Razões para instalar o Windows XP SP2

21. Passo 1: Familiarize-se com o ACT 4.0 • Efetue o download • http://www.microsoft.com/windows/appcompatibility/act4.mspx • Instale o ACT 4.0 • Sistemas Operacionais recomendados: • Microsoft Windows XP Professional • Microsoft Windows Server 2003 Nota: Alguns componentes são suportados dependendo do SO.

22. Passo 1: Familiarize-se com o ACT 4.0

23. Passo 1: Familiarize-se com o ACT 4.0 • Revise o guia de uso do ACT • Tarefas passo a passo divididos em 3 fases • Rastreie seu progresso de implementação na lista de tarefas • Documentação de ajuda no contexto

24. Passo 2: Configure o Application Analyzer • Carregue o Application Analyzer • Vá até a tela de configuração • Configure o Analyzer SQL DB • Especifique o nome do servidor SQLe clique em “Refresh” • Digite o nome da nova base de dados para criar e clique em “Create New” (NOTA: você precisa ser um membro do SQL Server admin)

25. Passo 2: Configure o Application Analyzer • Configure o Collector • Configure os compartilhamentos para coletar dados • Dados de aplicação serão coletados com Collect.exe • Os dados de problemas de aplicação serão coletados com DCOMCE.exe e WFCE.exe • Adicione os caminhos dos logs para a lista • Configure o Merger Service • No Service Control Manager encontre o serviço “merger” • Configure-o para logar com uma conta de usuário que tenha privilégios na Analyzer SQL DB.

26. Passo 2: Configure o Application Analyzer • Configure as Permissões do Merger no Analyzer SQL DB • No SQL Enterprise Manager expanda o Analyzer SQL DB e clique em “Users”. • Encontre o usuário que você adicionou para o serviço de Merger e atribua a ele o papel de db_AnalyzerMerger

27. Passo 2: Configure o Application Analyzer • Configure as Permissões do Solution Builder no Analyzer SQL DB • No SQL Enterprise Manager expanda o Analyzer SQL DB e clique em “Users”. • Identifique o usuário que você usurá para criar soluções (pacote de correção) e adicione-o ao papel de db_SolutionBuilder

28. Passo 3: Colete Dados de Aplicações e Problemas • Inventário de Aplicações • Execute Collect.exe • Localizado em C:\Program Files\Microsoft Application Compatibility Toolkit 4\Application Analyzer • Opções de linha de comando comuns • Exemplo: collect.exe /o c:\TestLogs • /o define o caminho de saída para os logs • O nome padrão de arquivo é o nome da máquina

29. Passo 3: Colete Dados de Aplicações e Problemas • Colete Problemas de Compatibilidade do DCOM e Windows Firewall • Rode DCOMCE.exe • Localizado em C:\Program Files\Microsoft Application Compatibility Toolkit\Application Analyzer\CEAgents • Opções de linha de comando • Examplo: DCOMCE.exe /o c:\TestLogs • /o define o caminho de saída para os logs • O nome padrão do arquivo é MachineName.Issue.GUID • Rode WFCE.exe • Localizado em C:\Program Files\Microsoft Application Compatibility Toolkit\Application Analyzer\CEAgents • Copiado para um diretório onde usuários comuns não tem acesso de escrita (Ex. c:\Windows\System32) • Opções de linha de comando • Examplo: WFCE.exe /o c:\TestLogs • /o define um caminho de saída • O nome padrão de arquivo é MachineName.Issue.GUID

30. Passo 3: Colete Dados de Aplicações e Problemas • Collector e o Compatibility Evaluator Agents podem ser distribuídos via o SMS Deployment Wizard

31. Passo 3: Colete Dados de Aplicações e Problemas • Colete os problemas de compatibilidade do IE • Rode o Internet Explorer Compatibility Evaluator (IECE) • Atualize o IE com o test logging infrastructure • Rode os testes nas aplicações de web críticas sobre o Windows XP SP2

32. Passo 4: Processe os Dados • Mescle os dados coletados para o Analyzer SQL DB • Carregue Application Analyzer • Vá para a tela de informação • Clique em “Log Processing” • Clique em “Start Log Processing”

33. Passo 4: Processe os Dados • Pegue os últimos dados de problemas a partir da Microsoft • Conecte via conexão segura

34. Passo 5: Analise os Dados • Analize os dados de problema de compatibilidade de aplicação • Carregue o Application Analyzer • Vá para Reports • Três possibilidades de visualização de dados: Aplicações, Máquinas ou Problemas

35. Passo 5: Analise os Dados • Clique para ver os detalhes de uma aplicação específica

36. Passo 5: Analise os Dados • Clique para ver os detalhes de um problema

37. Passo 5: Analise os Dados • Analise os dados de problemas de compatibilidade de aplicações Web • Visualize os logs dos problemas relatados • Clique sobre o problema para descobrir mais sobre, incluindo possíveis soluções

38. Passo 6: Correção de Problemas de Compatibilidade • Corrija problemas de compatibilidade de aplicações legadas • Rode o Compatibility Administrator • Aplique “Layers” e “Fixes” como apropriado • Camadas de compatibilidade são desenhadas para “enganar” Win32 APIs e emular comportamentos anteriores • Exemplos • Caminhos hard-coding para pastas especiais  “CorrectFilePaths” • Número de Versão de SO  Correção de Compatibilidade de Versão • Gere uma base de dados personalizada de correções (chamado de custom SDB) • Instale o custom SDB para aplicá-lo

39. Corria Problemas de Compatibilidade do Internet Explorer Opção 1 - Exporte a correção do IECE para um arquivo .REG (Binary Behaviors, Pop-up Blocking , Windows Restrictions) Opção 2 – Altere as configurações de segurança globais do IE Opção 3 - Altere o problema diretamente no código Passo 6: Correção de Problemas de Compatibilidade

40. Passo 6: Correção de Problemas de Compatibilidade • Corrija os problemas de compatibilidade do DCOM e Windows Firewall (WF) • Carregue o Application Analyzer • Filtre o relatório para exibir os problemas de DCOM e WF que você quer corrigir • Salve o relatório como um arquivo ADQ • Copie os arquivos FixPack.Exe, FixInst.Exe, dbapi.dll, mtadq.dll e sdbproxy.dll para o local onde o arquivo ADQ foi salvo • Rode o Solution Builder para gerar um pacote executável das correções do DCOM e WF

41. Passo 7: Implementação • Um pacote EXE para facilitar a implementação • Correções DCOM e Firewall • Correções de compatibilidade Win 32 • Um pacote de registro para correções do Internet Explorer • Pode também ser configurado via Group Policies

42. IntroduçãoService Packs • Atualizações de Produto • Melhorias de Confiabilidade • Melhorias de Compatibilidade • Melhorias de Segurança support.microsoft.com/sp

43. Confiabilidade Integridade Segurança Privacidade Computação Confiável

44. Produto Lançado Vulnerabilidade descoberta Fix disponível Fix instalado pelo cliente IntroduçãoQuando as ameaças ocorrem? A maioria dos ataques acontece aqui

45. Invasão 331 180 151 Produto Lançado Vulnerabilidade descoberta Fix disponível Fix instalado pelo cliente 25 14 Nimda SQL Slammer Welchia/ Nachi Blaster Sasser IntroduçãoTempo para a invasão diminuindo O tempo (em dias) entre a disponibilização da correção e a invasão tem diminuído, portanto a aplicação de “patches” não pode ser a única defesa em grandes empresas

46. XP SP2 e Server 2003 SP1Metas de Segurança

47. Melhorias de Segurança no Sistema – SP1Post Setup Security Updates (PSSU) • Proteção do servidor entre a instalação do sistema operacional e a instalação das últimas atualizações • Windows Firewall é habilitado se não for explicitamente configurado durante a instalação

48. Melhorias de Segurança no Sistema – SP1Post Setup Security Updates (PSSU) • Invocado após: • Atualização do Windows NT4 para o Windows Server 2003 SP1 • Instalação combinada do Windows Server 2003 e SP1 • Não invocado após: • Atualização do Windows 2000 para o Windows Server 2003 SP1 • Atualização do Windows Server 2003 para SP1

49. Melhorias de Segurança no Sistema Security Configuration Wizard • Identifica portas abertas • O assistente deve ser executado com as aplicações e serviços requeridos rodando • Seleciona os papéis do servidor na base de dados de configuração • Configura os serviços requeridos • Configura portas para o Windows Firewall • Configura segurança para LDAP e SMB • Configura uma política de auditoria • Configura detalhes específicos ao papel executado pelo servidor

50. Windows Server 2003 SP1 e Exchange Considerações • O mecanismo preferencial para aumentar a segurança em servidores Exchange é seguindo as recomendações do Exchange Hardening Guide • SCW foi testado pela equipe do Exchange • O Exchange Hardening Guide possui informações mais detalhadas e específicas para o Exchange • SCW faz uso de templates do Hardening Guide