O que há de Novo?

• Implantar por Grupo de Patches já está disponível para a nova aplicação de patch sem conteúdo no Linux. Você pode criar grupos de patches para uso com patches sem conteúdo do Linux no menu Novo > Patch do Linux > Grupo de Patches; na lista Grupos de Patches do Linux no painel de navegação; ou na Exibição de Máquina. Existem grupos de patches Linux separados para patches sem conteúdo e baseados em conteúdo. Atualmente, apenas avisos podem ser adicionados a um grupo de patches sem conteúdo do Linux. Para saber como criar grupos de patches para aplicações de patches Linux sem conteúdo, consulte Criar e editar um grupo de patches do Linux.

Se você usa servidores de distribuição, DEVE atualizar o instalador do mecanismo Linux em todos os servidores de distribuição antes de criar ou atualizar políticas para incluir grupos de patches do Linux. Se isso não for feito e uma nova política for usada com o mecanismo antigo, as análises não funcionarão, e o mecanismo antigo interpretará essa política para implantar todos os patches, e não apenas os patches que foram aprovados no grupo de patches.

• Uma nova opção, Exigir conexões LDAP seguras, foi adicionada à caixa de diálogo Opções de análise para evitar o uso da porta insegura 389 ao consultar UOs ou máquinas no LDAP, tanto editor de grupo de máquinas quanto durante uma análise. Para mais informações, consulte Opções de análise. Por padrão, fica desabilitado.

• Em 2024, a aplicação de patches em Linux no Security Controls está sofrendo uma grande mudança, passando dos patches baseados em conteúdo das versões anteriores para os patches sem conteúdo, diretamente do repositório da distribuição. Isso fornece um mecanismo muito mais eficiente e completo para aplicar patches em dispositivos Linux. Nesta primeira versão, você pode verificar e corrigir todas as vulnerabilidades. Para obter mais informações, consulte Aplicação de patch sem conteúdo no Linux.

Assista a um vídeo relacionado (02:44)

• Ao analisar o inventário virtual, o Security Controls agora respeita todas as fontes de download configuradas em seu vSphere Lifecycle Manager e também oferece suporte à atualização de versões secundárias, como de 7.0.1 para 7.0.2. Adicionamos o botão Exibir ao menu do botão direito no painel de navegação Inventário Virtual, para facilitar a visualização de seus servidores vCenter e hipervisores ESXi, e você pode clicar com o botão direito na tabela na guia Boletins para exportar detalhes do boletim do hipervisor.

A VMware encerrou o suporte e as orientações técnicas para as versões 6.5, 6.7 e 6.7.1, e as atualizações de segurança não são mais publicadas. O suporte a essas versões será removido em um lançamento futuro, deixando a 7.0 como a versão mais antiga com suporte. Para mais informações sobre como gerenciar seus servidores vCenter e hipervisores ESXi, consulte Introdução ao Recurso de Inventário Virtual.

• Com a versão 2024.1, foram adicionadas novas opções para configurar a criptografia da conexão entre o console e o SQL Server.
  As novas opções oferecem mais segurança, mas podem precisar de configuração adicional. A atualização não altera esse ajuste, deixando-o na configuração menos segura, mas mais compatível. Ao atualizar, recomendamos que você revise a configuração de criptografia de conexão do banco de dados usando a Ferramenta de Configuração de Banco de Dados (consulte Definir opções avançadas - criptografia de conexão com o banco de dados).
• Pontos de extremidade com Windows Server 2008 e Windows Server 2008 R2 não são mais suportados.

• A API REST do Security Controls foi atualizada para proporcionar mais controle de culturas e permitir a especificação de um nome de instância, se necessário, ao implantar patches. Para obter mais informações, consulte Ajuda da API (abre em nova janela).
• Clientes Windows Server 2012 e Windows Server 2012 R2 são suportados com Microsoft Extended Security Updates (ESU) e uma Ivanti ESU – contate seu fornecedor Ivanti.
• Windows Server 2012 e Windows Server 2012 R2 não são mais compatíveis com o console. Para obter a lista completa de plataformas suportadas, consulte Requisitos do Sistema.
• O Ivanti Security Controls Diagnostic Toolkit, que traz utilitários para ajudar a diagnosticar seu sistema e fornecer informações de suporte, já está disponível. Para obter mais informações, consulte as notas de versão do Security Controls Diagnostic Toolkit (abre em nova janela).

• Agora você pode editar os detalhes da máquina usando a API REST. Para mais informações sobre a API REST, consulte a ajuda (abre em nova janela) específica.
• Durante a limpeza automática do diretório de download, os arquivos principais não são excluídos se tal diretório estiver configurado para ser usado como um servidor de distribuição. Para mais informações, consulte Opções de Download.
• Melhorias de acessibilidade.

• O uso do Agendador Ivanti foi descontinuado. O Agendador Microsoft foi aprimorado a ponto de o Agendador Ivanti não ser mais necessário. O Agendador Microsoft agora é o serviço de agendamento padrão e é usado ao executar tarefas de implantação de patch e estado de energia em máquinas remotas. O agendador é usado para iniciar as tarefas no horário especificado, imediatamente ou em algum horário especificado.

Com a descontinuação do Agendador Ivanti, não é mais necessário ter a porta 5120 como permitida nas suas configurações de firewall. Além disso, quando tiver certeza de que todas as tarefas agendadas que ainda usem o Agendador Ivanti foram executadas, você deverá remover o Agendador Ivanti das máquinas de destino.

• Agora, uma ferramenta de implantação será enviada às máquinas de destino quando uma implantação de patch for executada a partir do console. A ferramenta é usada para executar o pacote de implantação na máquina de destino. Os recursos da ferramenta de implantação não são novos; eles costumavam estar incluídos no Agendador Ivanti. Com a descontinuação do Agendador Ivanti, no entanto, a ferramenta de implantação agora está sendo entregue como um componente separado. Ela será enviada automaticamente para as máquinas de destino quando necessário. Se for preciso, você pode remover a ferramenta de implantação da uma máquina de destino clicando com o botão direito do mouse na máquina, em Exibição de Máquinas, e usando o comando Desinstalar ferramenta de implantação.
• Para máquinas virtuais offline, não há suporte à aplicação de patch em produtos instalados em discos virtuais com o modo de disco definido como Independente – Persistente ou Independente – Não persistente. Se a máquina virtual tiver discos dependentes e independentes, você ainda poderá instalar patches para produtos instalados nos discos dependentes.
• Retirado suporte a ESXi 6.0 e adicionado suporte a ESXi 8.00 e 8.0.1. As versões suportadas dos hipervisores VMware ESXi agora são ESXi 6.5, ESXi 6.7, ESXi 7.0, ESXi 8.00 e ESXi 8.0.1.
• Removido o Microsoft Visual C Redistribuível para Visual Studio 2013 como pré-requisito de software do console
• Vários problemas conhecidos foram resolvidos. Consulte as Notas de Versão do Security Controls 2023.2 para obter a lista completa dos problemas resolvidos.

• A opção Validar no arquivo de hosts conhecidos agora está disponível ao configurar o processo de conexão do servidor SSH. Você deve escolher essa opção se quiser usar o arquivo known_hosts para validar cada máquina de destino antes de permitir uma conexão SSH.
• A interface do usuário foi atualizada com novos ícones e cores, proporcionando um visual mais moderno. Um novo tema que imita a aparência do Windows 11 também foi adicionado. O tema se chama WXI e pode ser encontrado na guia Exibir da caixa de diálogo Opções. WXI é a nova opção padrão.
• Vários problemas conhecidos foram resolvidos. Consulte as Notas de Versão do Security Controls 2023.1 para obter a lista completa dos problemas resolvidos.

• Disponibilizamos um novo script da API REST, "Automatizar para Conformidade". O script automatiza as etapas do processo de correção (análise, implantação, reinicialização), repetindo-as até que todos os patches tenham sido implantados nas máquinas designadas.
• A função Patch Metadata na API REST foi aprimorada para fornecer melhores recursos de classificação e paginação ao visualizar os resultados da consulta.
• O programa cliente do agente foi atualizado. Agora, os logs das tarefas de patch apresentam muito mais informações sobre o status do patch (downloads, instalações, sucesso, falha, mensagens de erro).
• Aprimoramos a segurança no processo de conexão de servidor SSH. Agora você tem a opção de especificar se o console pode usar uma conexão SSH ao se comunicar com um ponto de extremidade que suporte SSH e para o qual o SMB não funcione.
• Mais informações foram adicionadas aos códigos de erro exibidos na guia Histórico de implantação do Windows na Exibição de Máquina.
• Descontinuação do Windows 8.1: o suporte ao console do Security Controls no sistema operacional Windows 8.1 está programado para terminar em janeiro de 2023.
• Vários problemas conhecidos foram resolvidos. Consulte as Notas de Versão do Security Controls 2022.4 para obter a lista completa dos problemas resolvidos.

• Capacidade de limpar automaticamente seu diretório de download de patches e seu(s) servidor(es) de distribuição. Todos os patches sem probabilidade de uso futuro serão excluídos desses locais, economizando espaço no disco. Essa opção é configurada na guia Ferramentas > Opções > Downloads.
• O número de pools de threads usados ao analisar grupos de máquinas que contenham máquinas definidas por um intervalo de IP, um domínio ou uma unidade organizacional agora é limitado automaticamente. Isso melhorará o desempenho limitando o número de grupos de máquinas que podem ser verificados ao mesmo tempo, evitando que os processadores da máquina do console fiquem sobrecarregados. Para mais detalhes, consulte as informações sobre a opção Pool de threads global.
• Versões localizadas da interface de usuário do agente já estão disponíveis.
• Agora você tem a opção de especificar se a interface de usuário do agente será instalada. O cliente do agente atualmente requer o uso do .NET 6 e, provavelmente, continuará sendo atualizado no futuro para usar as versões mais recentes do .NET à medida que forem disponibilizadas. Um dos motivos que pode depor contra a instalação do cliente do agente é você ter nas máquinas outros aplicativos que também exijam o uso do.NET. Se o cliente do agente não for necessário, você poderá resguardar essas máquinas contra reinicializações e outros efeitos que ocorrem quando o agente é atualizado para oferecer suporte a uma nova versão do .NET.
• Dois novos atributos de patch do Linux foram armazenados no banco de dados e estão disponíveis para fins de relatório: a data Instalado em e Notificação > Título.
• Além de verificar se há atualizações de aplicativos e avisos de fim de vida útil na inicialização, o console do Security Controls agora verificará atualizações e avisos a cada 24 horas, enquanto o console do Security Controls permanecer aberto. O administrador pode adiar as notificações por até sete dias por vez.
• O site do Security Controls Cloud foi reformulado. Ele agora tem um estilo atualizado, consistente com os outros sites da Ivanti, e modernas bibliotecas ajudam a garantir uma experiência de navegação extremamente segura.
• Vários problemas conhecidos foram resolvidos. Consulte as Notas de Versão do Security Controls 2022.3 para obter a lista completa dos problemas resolvidos.

• Um exemplo de script do PowerShell foi adicionado à Ajuda da API REST do Security Controls. Esse script mostra como adicionar KBs específicos a um novo grupo de patches ou a grupos de patches existentes. Caso seja preciso adicionar um patch de segurança fora de banda a vários grupos de patches de uma só vez, esse script simplificará o processo.
• Opções adicionais permitem especificar com mais precisão qual idioma deve ser usado na interface do Security Controls. No diálogo Ferramentas > Opções > Opções de exibição , você pode selecionar um idioma específico ou usar o idioma definido no sistema operacional da máquina do console. As novas opções de idioma são aplicadas por usuário.
• O suporte a Red Hat Enterprise Linux 6 foi encerrado. Isso se deve à Red Hat ter parado de fornecer suporte de manutenção para o Red Hat Enterprise Linux 6.
• Corrigido o problema de horário de verão que às vezes fazia com que as análises agendadas fossem executadas com uma hora de atraso ou ficassem desabilitadas. A correção adiciona uma verificação periódica que reativa as análises agendadas.
• Vários problemas conhecidos foram resolvidos. Consulte as Notas de Versão do Security Controls 2022.2 para obter a lista completa dos problemas resolvidos.

• A Exibição de Máquinas e os relatórios agora apresentam informações mais completas sobre as máquinas virtuais que têm o mesmo nome. Anteriormente, apenas uma entrada era criada para máquinas virtuais on-line hospedadas que tinham o mesmo nome, mas diferentes caminhos do vCenter. Com esta versão, as máquinas são listadas separadamente, com informações completas do caminho de dados do host fornecidas para cada uma, a fim de mostrar a distinção entre elas.
• Um componente atualizado do mecanismo de Controle de Aplicativos está sendo disponibilizado.
• Contexto adicional é fornecido em uma mensagem de erro que precede o fechamento inesperado do console do Security Controls. O novo texto deixa claro que o console está fechando porque não conseguiu baixar os dados de conteúdo necessários.
• Vários problemas conhecidos foram resolvidos. Consulte as Notas de Versão do Security Controls 2022.1 para obter a lista completa dos problemas resolvidos.

Capacidade de excluir um usuário cujas credenciais estejam compartilhadas com outros usuários

A caixa de diálogo Atribuição de Função do Usuário foi substituída pela nova caixa de diálogo Gerenciador de Usuários. Além de permitir que você atribua funções distintas a vários usuários, a caixa de diálogo Gerenciador de Usuários agora permite que você exclua quaisquer usuários que não devam mais ter acesso ao Security Controls. Por exemplo, se um de seus administradores tiver sido atribuído a outro projeto ou saído da organização, poderá ser útil excluir esse usuário. Se o usuário que está sendo excluído estiver compartilhando credenciais com um ou mais usuários ou com serviços em segundo plano, você poderá limpar todas as associações de credenciais compartilhadas antes de excluir o usuário.

Melhorias no programa cliente do agente para Windows

O programa cliente do agente foi totalmente reformulado, trazendo visual e comportamento atualizados. Além disso, ele fornece mais informações sobre solução de problemas e apresenta melhor as informações.

Suporte a Windows 11 e Windows Server 2022

Foi adicionado suporte a Windows 11 e Windows Server 2022 para uso como console e em máquinas de destino que exijam aplicação de patch.

• Vários problemas conhecidos foram resolvidos. Consulte as Notas de Versão do Security Controls 2021.2 Atualização 1 para obter a lista completa dos problemas resolvidos.
• As versões suportadas dos hipervisores VMware ESXi agora são ESXi 6.0, ESXi 6.5, ESXi 6.7 e ESXi 7.0. O suporte para ESXi 5.x foi eliminado.

Se você estiver usando o ESXI 7.0 Update 1 ou posterior, o pacote offline do patch deverá ser instalado no seu hipervisor. Para obter mais informações, consulte as Notas de Versão do VMware ESXi 7.0 Update 1.

• Os seguintes sistemas operacionais não são mais suportados:
• O console do Security Controls não é mais suportado nos sistemas operacionais Windows Server 2008 R2 e Windows 7
• O agente do Security Controls não é mais suportado nos sistemas operacionais Windows 8 e CentOS 6
• As operações sem agente não são mais suportadas nos sistemas operacionais Windows XP, Windows Server 2003, Windows Vista e Windows 8

Sideload de Patches

Sideload refere-se ao processo de gerenciar patches que não podem ser baixados automaticamente. O recurso de sideload simplifica enormemente esse processo. Você precisará baixar manualmente o arquivo de patch, mas, depois disso, o recurso de sideload assume o controle e fornece vários serviços automatizados. Especificamente, o recurso verifica o conteúdo do patch baixado manualmente, renomeia o arquivo se necessário e o salva automaticamente no diretório de download de patches. Uma vez lá, o patch está pronto para ser implantado com o processo normal de implantação.

Excluir automaticamente máquinas inativas do banco de dados

A ferramenta Manutenção de Banco de Dados tem agora a capacidade de excluir automaticamente as máquinas inativas. Uma máquina é tida como inativa quando não faz check-in no console com seu agente, não é avaliada ou não é incluída numa implantação de patches por um número específico de dias. Isso é importante porque as máquinas inativas não representam com precisão o estado atual da sua organização.

Análise contínua sem agente

Você agora tem a opção de configurar operações de análise de patch sem agente em intervalos a partir de três minutos. Isso permite verificar de forma praticamente contínua o grupo de máquinas designado.

Análises e implantações com script usando CVEs

São fornecidos vários scripts PowerShell que mostram como procurar e implantar patches usando informações de um arquivo CVE. Os scripts invocam a API REST e executam uma série de tarefas, incluindo:

• Analisar um arquivo CVE e converter o conteúdo em um grupo de patches
• Criar um modelo de análise que procure os patches contidos no grupo de patches
• Implantar opcionalmente os patches ausentes

Informações de Licenças de Estações de Trabalho e Servidores

Detalhes adicionais sobre o status atual das suas licenças estão disponíveis agora em dois locais diferentes. Você pode:

• Selecionar Ajuda > Sobre o Ivanti Security Controls no console para visualizar quantas estações de implantação licenciadas estão atualmente em uso para seus servidores e estações de trabalho.
• Gerar um relatório de Status Detalhado das Licenças que mostra o número de estações licenciadas disponíveis, o número de estações usadas, como e quando as estações foram consumidas e quando elas estarão disponíveis novamente.

• Adicionado na API REST um novo método Configuração que permite exibir informações de versão do console do Security Controls.
• No método Implantações de Patch na ajuda da API REST, foi adicionada a tabela DeploymentResult, que contém os códigos que identificam os vários estados de uma implantação.
• No método Máquinas na ajuda da API REST:
• Adicionado o campo credentialId ao modelo de saída
• Adicionadas novas operações PUT para atribuir e desatribuir credencial a uma máquina
• Adicionadas informações da Porta 902 à tabela Requisitos de Porta em Requisitos do Sistema
• Encerrado o suporte para clientes CentOS 6 Linux. Isso se deve à Red Hat ter parado de fornecer suporte de manutenção para o CentOS 6.

Conectar-se às máquinas por domínio totalmente qualificado (FQDN)

Antes desta versão, o console do Security Controls fazia conexões com os clientes usando o endereço IP das máquinas. Algumas redes, no entanto, começaram a operar em ambientes mais rígidos que empregam medidas de segurança adicionais do Kerberos. Em particular, se as máquinas clientes no seu ambiente estabelecerem conexão com os servidores usando o protocolo Server Message Block (SMB), pode ser necessário executar um certo nível de validação no nome da entidade de serviço (SPN) do cliente. Para essas redes, você pode selecionar o Nome de Domínio Totalmente Qualificado (FQDN) como seu método de conexão. Isso vai satisfazer os requisitos de validação adicionais e permitir conexões bem-sucedidas com as máquinas clientes.

Botão Copiar Usos

Em uma credencial compartilhada, este novo botão permite adicionar qualquer uso de credencial que ainda não esteja sendo usado por sua conta de usuário. Você pode fazer isso se o proprietário da credencial, ou outro usuário que a esteja compartilhando, tiver adicionado um ou mais usos novos desde que ela foi inicialmente compartilhada com você e for seu desejo manter a sincronia com essas alterações.

Melhorias na API REST

Vários novos recursos foram adicionados às seguintes áreas funcionais na API REST:

• Metadados de patch: foi adicionado suporte para IDs IAVA, e agora você pode classificar e paginar os resultados das consultas. Isso foi implementado com a introdução de três novos parâmetros de URL na consulta: iavaIds, orderBy e sortOrder. Além disso, foram disponibilizados nove novos campos de saída: affectedProducts, bulletinTitle, familyId, familyName, fileSize, iava, summary, vendorId e vendorName.
• Grupos de máquinas: adicionamos a propriedade connectionMethod aos modelos de entrada e saída. Isso está sendo feito em conjunto com o recurso Conectar-se às Máquinas por Nome de Domínio Totalmente Qualificado (FQDN) (ver acima).
• Análises de patch: agora você pode especificar o método de conexão junto com os nomes dos pontos de extremidade especificados para análise. Isso está sendo feito em conjunto com o recurso Conectar-se às Máquinas por Nome de Domínio Totalmente Qualificado (FQDN) (ver acima).
• Implantações do agente: a propriedade connectionMethod foi adicionada ao modelo de entrada. Isso está sendo feito em conjunto com o recurso Conectar-se às Máquinas por Nome de Domínio Totalmente Qualificado (FQDN) (ver acima).
• Implantações de patch: agora você pode implantar patches específicos em máquinas específicas usando um modelo de implantação designado. Isso fornece uma solução integrada de aplicação de patches para os clientes do Ivanti Neurons e é útil para clientes locais que desejam personalizar a implantação de patches. Os seguintes parâmetros de entrada estão agora disponíveis: deployWhat, machines e runAsDefault.

Suporte a Red Hat Enterprise Linux 8

Todas as variantes dos nós Servidor, Estação de Trabalho, Cliente e Computador suportadas pelo fornecedor para máquinas RHEL 8 (apenas 64 bits) agora podem ser analisadas e corrigidas com o uso de agentes.

O suporte a RHEL 8 é possível graças a uma atualização do conteúdo de dados dinâmicos fornecida pela Ivanti. Isso significa que as duas versões anteriores do Security Controls, a 2019.3 e a 2020.1, agora também são capazes de oferecer suporte ao RHEL 8.

Credenciais compartilhadas

Agora você pode compartilhar credenciais com um ou mais usuários. Isso é especialmente útil em ambientes com vários administradores, pois permite que um administrador sênior delegue operações a administradores juniores. Os administradores juniores podem usar uma credencial segura para interagir com pontos de extremidade sem saber a senha dela. Além disso, quando é necessário atualizar uma senha, isso pode ser feito em um único local.

Agrupamento de máquinas em Exibição de Máquina e Exibição de Análise

A nova coluna Grupos Atribuídos em Exibição de Máquina e Exibição de Análise permite agrupar máquinas relacionadas, facilitando a realização de operações sem agente e a geração relatórios sobre elas. Essa coluna é particularmente útil para máquinas como agentes Cloud, pois essas máquinas não pertencem a um grupo de máquinas. Com o recurso Grupo Atribuído, agora você pode agrupar essas máquinas com outras que compartilhem atributos semelhantes, como o mesmo local físico ou política de agente.

Processo de licenciamento de produto aprimorado

Agora há disponível um novo método de ativação por credenciais que permite especificar exatamente quantas das estações licenciadas disponíveis você quer consumir em um direito específico. Esse método será usado por novos clientes que tenham conexão com a internet no console. O antigo método de ativação por chave ainda é suportado para clientes existentes que estejam fazendo upgrade ou para clientes que precisem ativar a partir de uma rede desconectada.

Funcionalidade adicional da API REST

As seguintes áreas funcionais agora estão disponíveis através da API REST:

• Sincronização da nuvem
• Máquinas
• Usuários

A capacidade de compartilhar credenciais e atribuir uma máquina a um grupo também foi adicionada. Para obter informações completas, consulte a ajuda da API REST.

Profunda reformulação da marca

As referências a nomes antigos de empresas e produtos foram eliminadas. Os caminhos de diretório e outros itens que contêm nomes de empresas e/ou produtos agora estão atualizados.

Notificação de distribuição de software

Agora, um diálogo de notificação é fornecido sempre que você adiciona um patch de distribuição de software a um grupo de patches ou inicia uma análise de aplicativos de terceiros. Esse aviso ajudará a evitar a instalação involuntária de aplicativos de terceiros em seus pontos de extremidade.

Lista aprimorada de requisitos de porta

A tabela Requisitos de porta no tópico de ajuda Requisitos do sistema agora está muito mais detalhada.

Coluna Repartição de Patch renomeada para Integridade

Em Exibição de Máquina e Exibição de Análise, a coluna Repartição de patch foi renomeada para Integridade. O novo nome reflete melhor a finalidade da coluna, que é indicar a "integridade" por meio de uma representação visual com a porcentagem de patches instalados vs. patches ausentes.

Leve o nome da análise original para o nome da implantação associada

Quando uma análise de patch é seguida por uma implantação automática dos patches, o nome da análise agora é associado à operação de implantação correspondente.