Best of Trucs & Astuces : sécurtié d’un serveur, GPO, AD, Microsoft VSS…

Q: Nous avons un serveur exactement configuré avec les paramètres de sécurité souhaités. Cependant nous n’avons pas configuré les paramètres à partir d’un modèle de sécurité. Existe-t-il un moyen de capturer tous les paramètres de telle sorte qu’ils soient documentés et qu’on puisse les répéter pour d’autres serveurs, ou pour reconstruire ce serveur si nécessaire ?

R : La fonction /export de la commande Secedit a une option appelée /mergedpolicy qui devrait vous donner exactement ce que vous voulez. Sans l’option /mergedpolicy, la fonction /export exporte une base de données de sécurité dans un fichier .inf modèle de sécurité. Mais, quand vous spécifiez /mergedpolicy, Secedit utilise les paramètres effectifs de l’ordinateur comme données pour le modèle de sécurité qu’elle construit. Pour chaque stratégie, Secedit exporte le paramètre effectif, qu’il vienne du GPO (Group Policy Object) local de l’ordinateur ou d’un GPO dans l’AD (Active Directory).

Les stratégies non définies dans le GPO local et les GPO d’AD sont définies d’après les paramètres par défaut de Windows, généralement documentés dans la fonction aide de Windows. Par exemple, si vous entrez la commande secedit /export /mergedpolicy /cfg c:\baseline.inf vous obtenez un modèle de sécurité nommé baseline.inf avec tous les paramètres actuellement définis sur l’ordinateur. Cela inclut les services système, les permissions sur les registres et les fichiers, et autres stratégies qui n’apparaissent pas dans le GPO de l’ordinateur mais qui sont disponibles pour la configuration dans les modèles de sécurité et dans les GPO d’AD.

La fonction /generaterollback est semblable à /mergedpolicy. Quand vous utilisez la fonction /generaterollback avec Secedit, l’utilitaire compare les stratégies définies dans votre nouveau modèle avec les paramètres effectifs actuels de l’ordinateur et crée un modèle de sécurité « rollback ». La seule différente que j’ai constatée entre /mergedpolicy et /generaterollback est que la seconde ne supporte pas les permissions sur les fichiers et les registres. Par conséquent, je recommande de s’en tenir à /mergedpolicy.

Randy Franklin Smith