Windows XP Service Pack 2 en Entreprise 3/26/2017 3:54 PM Windows XP Service Pack 2 en Entreprise Pascal Sauliere Consultant Principal Sécurité, CISSP Microsoft France http://microsoft.com/france/securite ©2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

Objectifs et points clés Objectifs de la session Revue des composants principaux du SP2 Projet de déploiement Compatibilité des applications Mécanismes de déploiement Principes de l’administration Points clés Le déploiement de XP SP2 est un événement majeur Traitez-le comme un mini déploiement d’OS Testez, testez, testez ! Les utilisateurs seront impactés Formation et communication Profitez de SMS 2003 pour minimiser l’impact du déploiement Profitez d’Active Directory pour l’administration

Agenda Fonctionnalités de Windows XP SP2 Projet de déploiement Méthodes de déploiement Administration

Fonctionnalités du SP2

Vous nous avez dit… Nos actions… « Réduisez l’impact du code malveillant » Isolation et résilience « Simplifiez la maintenance » Amélioration des mises à jour « Développez du code fiable et sécurisé » Excellence de l’engineering « Donnez-nous un bon contrôle d’accès » Authentification, Autorisation, Contrôle d’accès « Donnez-nous de meilleurs conseils » Fournir des guides prescriptifs, des outils, de bonnes réponses

Notre réponse : les tâches de Microsoft Isolation et Résilience Réduire le risque d’arrêt de l’activité Amélioration des mises à jour Diminuer le coût du maintien à jour er augmenter l’efficacité Authentification, Autorisation et Contrôle d’Accès Simplifier l’adoption de la gestion de la sécurité Excellence en ingénierie Élever le niveau de la sécurité des logiciels Guides, Outils et Réponse Accélérer l’adoption des meilleures pratiques

Fonctionnalités du SP2 Résumé audacieux Centre de sécurité Windows : paramètres de sécurité de votre ordinateur à partir d'un emplacement unique (hors domaine) Pare-feu Windows : installé et activé par défaut Protection du téléchargement pour Internet Explorer Gestionnaire de pièces jointes : Outlook Express, Windows Messenger et Internet Explorer Bloqueur de fenêtres publicitaires intempestives (pop-up blocker) dans Internet Explorer Windows Movie Maker 2.1 Modifications apportées au Lecteur Windows Media Microsoft (mis à jour vers Windows Media Série 9)

Isolation et Résilience Réduction des modes d’attaque Protection réseau Mail et IM plus sûrs Navigation Web plus sûre Protection contre les Buffer Overflow Communiquer et collaborer de manière plus sécurisée sans sacrifier la productivité des collaborateurs

Projet de déploiement

Projet de déploiement Microsoft Solutions Framework Compatibilité des applications Revue et mise à jour de la politique de sécurité Éducation et formation des utilisateurs Déploiement en phases

Projet de déploiement Équipes : Compatibilité, tests Déploiement Sécurité Formation et communication Phases : Microsoft Solutions Framework

Projet de déploiement Phase Vision Définir les paramètres du projet Objectifs Équipes Calendriers Identifier les applications et cas d’usage Applications critiques Top 10 installations Applications Web / sites Web Identifier le matériel Drivers critiques Drivers les plus courants

Projet de déploiement Phase Planification 1/3 Équipe compatibilité, tests Identifier les applications et cas d’usage (applications critiques, applications web) Identifier le matériel à tester Équipe déploiement Identifier les machines avec ressources suffisantes Identifier les machines dial-up (OU, nom, IP, « tag ») Déterminer les besoins et l’impact réseau Développer une méthodologie de déploiement en phases Définir des ensembles selon des critères raisonnables Phases pilote, volontaire, obligatoire Évaluer les options d’installation Installateur compressé / fichiers d’installation décompressés Distribution : logiciel ou patch Slispstreaming Identifier les pré requis (correctifs SMS 2003 ou SMS 2003 SP1)

Projet de déploiement Phase Planification 2/3 Équipe formation et communication Évaluer l’impact sur les « utilisateurs anxieux » : déploiement de correctifs de compatibilité, utilisateurs pilotes, formateurs internes Équipe sécurité Évaluer les paramètres d’IE et du Windows Firewall Analyser et évaluer les méthodes de configuration Group Policies – documentation en ligne Outils ligne de commande Utilisation du fichier .inf du firewall unattend.txt – personnalisation de l’installation Scripting

Projet de déploiement Phase Planification 3/3 Équipe sécurité Déterminer la configuration idéale (IE et WF) Évaluer les compromis possibles Évaluer l’impact et le support des machines hors domaine Nécessite une approche par script ou ligne de commande Identifier les besoins en rapports de conformité Court terme : inventaire SMS pour capturer les réglages par fournisseur (firewall, antivirus…) Long terme : étendre l’inventaire SMS pour capturer l’information depuis le nouvel espace de nom « root/SecurityCenter » Identifier, définir et implémenter les politiques d’exemption du Windows Firewall par GPO

Projet de déploiement Phase Développement Équipe Compatibilité et tests Tester les applications et périphériques identifiés avec le SP2 Tester les sites web identifiés Actions correctives pour les applications et sites web qui posent problème Créer des package pour le déploiement : Application Compatibility Database – sdbinst.exe Mises à jour de drivers Mises à jour applicatives (ne pas étendre trop le périmètre !) Documenter les procédure de récupération Base de données de compatibilité des applications (ACT)

Projet de déploiement Phase Développement Équipe déploiement Scripts d’installation, slipstream Rapports et tableaux de bord SMS Collections SMS, par phases Packages de correctifs (infrastructure, drivers, applications) Simulation d’échecs (coupure réseau, coupure électrique, reboot pendant l’installation…) Gestion des exclusions et exceptions Désinstallation des correctifs obsolètes

Projet de déploiement Phase Développement Équipe Sécurité Scripts de configuration du firewall Autoriser le contrôle à distance SMS, l’assistance à distance Scripts de configuration d’IE Considérer la stratégie locale Critères et procédures d’exception

Projet de déploiement Phase Stabilisation Toutes les équipes Démarrer le déploiement pilote Créer tous les packages Annonce du déploiement volontaire Déploiement obligatoire pour le groupe pilote Surveiller le déploiement Rapports web SMS, inventaire Incidents du help desk Affiner le processus Déploiement Configuration Modification des scripts, packages

Projet de déploiement Phase Déploiement Revue du déploiement pilote Déploiement en phases Entités Segments WAN/LAN Surveillance et ajustements si nécessaire Limiter le nombre de machines par jour : Capacité réseau et infrastructure Capacité du help desk Nombre de problèmes rencontrés

Projet de déploiement Projet terminé

Compatibilité des applications Application Compatibility Toolkit (ACT) 4.0

Compatibilité des applications Domaine fonctionnel Statut compatibilité NX & /GS Expérience utilisateur modifiée Gestion des pièces jointes Pare-feu Windows Applications, services Configuration requise (peu d’applications) DCOM & RPC Launch and activation permissions, remote anonymous access, remote non-admin activation & launch, RPC requires authenticated access Autres composants Internet Explorer Pop-up blocker, auto download blocking, windows restrictions, MIME handling, binary behaviors, object caching, zone elevation, LMZ lockdown, mk:// protocol Configuration requise (quelques applications)

Application Compatibility Toolkit (ACT) Méthodes et informations pour résoudre les problèmes de compatibilité les plus courants ACT 3.0 http://www.microsoft.com/windowsserver2003/compatible/appcompat.mspx ACT 4.0 Spécifiquement conçu pour le SP2 Pour les professionnels Beta disponible : http://www.microsoft.com/windows/appcompatibility/act4beta.mspx Version finale selon feedback de la beta Application Compatibility Testing and Mitigation Guide for Windows XP Service Pack 2 (SP2) http://www.microsoft.com/technet/prodtechnol/winxppro/deploy/appcom/default.mspx

Méthodes de déploiement

Méthodes de déploiement Mise à jour – systèmes existants Installation intégrée (slipstream) – nouveaux systèmes

Outils et fichiers http://go.microsoft.com/fwlink/?linkID=23354 WindowsXP-KB835935-SP2-ENU.exe WindowsXP-KB835935-SP2-FRA.exe XPSP2.EXE sur le CD Update.exe (dans update\) Windows Installer et Update.msi (dans update\) Unattend.txt pour les installations intégrées

Outils et fichiers Extraction : XPSP2.EXE /u /x:<chemin> update\update.exe /?

Déploiement avec SMS 2.0 SMS 2.0 SP4 Créer le package SMS en important le fichier de définition Fournir le chemin vers le SP2 dans le package Distribuer le package vers les points de distribution Créer une publication pour notifier les clients Vérifier l’installation du SP2 (inventaire ou MBSA)

Déploiement avec SMS 2003 Créer les collections des systèmes Windows XP cibles Créer le package SMS Créer le programme pour le package SMS Spécifier les points de distribution, et copier le package sur les points de distribution Créer une publication et sélectionner le package (2), le programme (3) et la collection (1) Vérifier l’installation du SP2 à l’aide du rapport « Computers with a specific Operating System and Service Pack » Surveiller le statut de publication dans la console

Déploiement avec Windows Installer et une Group Policy Créer un dossier de distribution partagé – permission lecture pour les utilisateurs et ordinateurs cibles – copier les fichiers du SP2 extraits (i386) Créer un GPO pour le déploiement du SP2 Créer le package associé au GPO – dans la partie Ordinateur Vérifier l’installation avec MBSA

Déploiement avec SUS SUS 1.0 SP1 Télécharger le SP2 pour les langues utilisées sur le réseau Définir les politiques d’installation du SP2 et autres mises à jour Installer le SP2 Approuver le SP2 Vérifier l’installation avec MBSA

Installation intégrée Créer un répertoire de distribution md d:\xpsp2\pro Copier Windows XP Gold dans le répertoire xcopy [CD]:\ d:\xpsp2\pro /e Extraire les fichiers du SP2 WindowsXP-KB835935-SP2-FRA.exe /u /x:d:\temp Intégrer le SP2 dans le répertoire de distribution d:\temp\i386\update\update.exe /integrate:d:\xpsp2\pro Personnaliser l’installation de Windows XP

Administration

Nouveaux modèles d’administration system.adm (Windows 2000, XP, 2003) inetres.adm (Internet Explorer) conf.adm (NetMeeting 3.01) wmplayer.adm (Windows Media Player) wuau.adm (Automatic Updates)

Modèles d’administration

Nouveautés Créer le GPO avec Active Directory Users and Computers ou GPMC Éditer le GPO depuis un poste Windows XP SP2 Pour mettre à jour les .adm sur les DC Correctif 842933 pour l’erreur « The following entry in the [strings] section is too long and has been truncated  » sur Windows Server 2003, 2000, XP SP1… http://support.microsoft.com/?id=842933

Nouveautés Configuration du client AutoUpdate Configuration du Centre de Sécurité Configuration du Pare-feu Windows Configuration d’Internet Explorer

Références 816662 - Recommendations for managing Group Policy administrative template (.adm) files http://support.microsoft.com/?id=816662 842933 - The following entry in the [strings] section is too long and has been truncated error message when you try to modify or to view GPOs in Windows Server 2003, Windows XP, or Windows 2000 http://support.microsoft.com/?id=842933 Group Policy Settings Reference for Windows XP Professional Service Pack 2 http://go.microsoft.com/fwlink/?LinkId=22031

Conclusion

Références Windows XP Service Pack 2 Resources for IT Professionals http://www.microsoft.com/technet/prodtechnol/winxppro Windows XP Service Pack 2 (SP2) for IT Professionals http://support.microsoft.com/gp/windowsxpsp2it Deploying Windows XP Service Pack 2 in Enterprise Environments – Windows XP Service Pack 2 Enterprise Planning Guide http://www.microsoft.com/technet/prodtechnol/winxppro/deploy/sp2entpl.mspx

© 2004 Microsoft Corporation. All rights reserved. 3/26/2017 3:54 PM © 2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary. ©2004 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.