A ferramenta Microsoft Forefront Client Security é a solução Microsoft para proteção contra vírus e spywares. Ela provê uma administração centralizada do ambiente, facilitando assim o trabalho dos administradores de rede.
Estou participando de um grande projeto de implantação dessa tecnologia e estou estudando a fundo esta ferramenta. Já trabalhei com outras soluções de antivírus corporativo, dentre elas, Trend, Kaspersky e Symantec. Definitivamente, não existe uma solução perfeita. Cada uma delas tem seus pontos fortes e fracos e cabe a você identificar qual a melhor solução para seu ambiente. Em se tratando do Forefront (FCS) a grande vantagem é de ser um produto Microsoft, e como outros produtos da empresa, foca muito a integração entre todos os produtos. Você receberá as atualizações através do seu servidor WSUS, você fará seu deployment através de GPOs criadas pela console do FCS, etc.. Soma-se a isso o fato de contar com uma grande quantidade de documentação disponível, marca registrada dos produtos Microsoft.
Estarei montando uma série de posts aqui neste site informando algumas dúvidas pelas quais passei ao implantar essa ferramenta e as alternativas para corrigi-las.
Como primeiro caso, vou tratar de resolver um problema que na minha concepção é uma falha extremamente grave. Infelizmente, nativamente, a ferramenta não possue nenhum mecanismo que impeça os usuários que possuem privilégios de administradores de pararem os serviços do FCS, ficando desta maneira desprotegidos. Outras soluções de Antivírus permitem que o administrador da rede configure uma senha para isso e somente com essa senha o usuário pode parar a proteção em sua máquina.
Sabemos que os usuários são leigos e muitos, ao perceberem que seu equipamento fica lento, acabam culpando o antivírus pela lentidão e então fecham a aplicação.
Para corrigir essa situação, podemos criar uma GPO que impeça os usuários de parar os serviços do FCS. Para isso:
01: Em um servidor abra a ferramenta Group Policy Management.
02: Edite uma GPO aplicada a seus usuários (no meu caso a Default Domain Policy, porém você pode criar uma nova). Para isso, clique com o botão direito em cima da GPO e selecione Edit
03: Agora navegue até o caminho Computer Configuration \ Windows Settings \ Security Settings \ System Services
04: Agora para cada um dos 3 serviços do FCS (Microsoft Forefront Client Security Antimalware Service, Microsoft Forefront Client SecurityManagement Service e Microsoft Forefront Client Security State Assessment Service) clique duas vezes no serviço. Habilite a opção Define this policy setting e marque a opção Automatic. Clique no botão Edit Security e selecione o grupo Administrators (que é o grupo de administradores locais). Desmarque a permissão de Start, stop and pause para este grupo. Adicionalmente, como boa prática, você pode incluir um determinado grupo com privilégios de poder fazer essas alterações, no meu caso, incluí o grupo JEANBLU\Domain Admins. Após isso confirme as alterações clicando duas vezes no botão OK.
05: Após fazer essas mudanças nos três serviços, como podemos observar na imagem abaixo, a segurança para esses três serviços foi definida. Agora, após a GPO ser aplicada nas estações (você pode forçar isso executando o comando gpupdate /force) os usuários não poderão mais parar os serviços do FCS.
06: Desta maneira, os usuários ainda poderão fechar o aplicativo que fica no systray do windows, mas mesmo assim eles continuarão protegidos.
