NT – Les fondamentaux de la sécurité

Chaque ordinateur NT maintient une base de données SAM locale sous la sous-clé de registres HKEY_LOCAL_MACHINE\SAM. Le SAM local stocke les comptes utilisateurs, groupes, attributions de droits, et politique de comptes locaux de l’ordinateur. Les comptes utilisateurs dans le SAM local d’un ordinateur sont également connus sous le nom de comptes locaux à  la machine (machine local accounts) parce qu’ils permettent aux utilisateurs de se connecter et d’accéder aux ressources sur le seul ordinateur local. De même, les groupes utilisateurs dans le SAM local de l’ordinateur sont connus sous le nom de groupes locaux à  la machine (machine local groups) et ne peuvent accéder aux objets que sur le système local. (Les utilisateurs de domaines (domain users) et les groupes de domaines (domain groups) peuvent accéder aux objets sur n’importe quel ordinateur d’un domaine.)

Pour visualiser et maintenir les comptes locaux de machines et les groupes locaux de machines d’un ordinateur, il faut se connecter à  l’ordinateur et ouvrir User Manager (sous Administrative Tools). Cet outil maintient tout dans le SAM local, y compris les politiques de comptes, les droits utilisateurs et la politique d’audit.

Account policy (Politique de comptes). Sélectionner Policies, Account dans la barre de menus de User Manager pour ouvrir la boîte de dialogue Account Policy, illustrée par la figure 1. Les spécifications de mot de passe et de lockout dans cette boîte de dialogue régissent les comptes locaux machine de l’ordinateur. On peut obliger les utilisateurs à  choisir des mots de passe d’une longueur minimale, à  les modifier à  intervalles réguliers ; et aussi les empêcher de les réutiliser. On peut également mettre en oeuvre une politique de lockout de compte pour ralentir les assaillants qui essaieraient de pénétrer dans le système en devinant des mots de passe.

User rights (Droits utilisateurs). Sélectionner Policy, User Rights dans la barre de menus de User Manager pour ouvrir la boîte de dialogue User Rights Policy. Un droit utilisateur (que NT appelle parfois privilège) est l’autorisation d’effectuer un certain type de fonction au niveau système. Par exemple, pour se connecter à  la console locale, il faut le droit Logon locally. La boîte de dialogue User Rights Policy donne la liste des affectations de droits utilisateurs de l’ordinateur local.

Audit Policy (Politique d’audit). Sélectionner Policies, Audit dans la barre de menus de User Manager pour ouvrir la boîte de dialogue Audit Policy illustrée par la figure 2. Cette politique détermine les types d’événements de sécurité que NT enregistrera dans le journal Security local de l’ordinateur. NT fournit sept catégories d’audit qui permettent de superviser des événements comme l’activité de logon, l’accès aux fichiers, l’exécution des programmes, les modifications de la politique de sécurité, et les modifications des comptes utilisateurs. On peut ordonner à  NT d’enregistrer les événements ayant échoué ou réussi pour chaque catégorie. (Pour obtenir la liste des articles sur l’auditing et le journal Security NT, voir « Articles associés dans les numéros précédents ».)

Pour visualiser le journal Security local, ouvrir le NT Event Viewer (sous Administrative Tools) et sélectionner Log, Security dans la barre de menus. Pour configurer le journal, sélectionner Log, Log Settings pour ouvrir la boîte de dialogue Event Log Settings.

On peut configurer une taille maximale pour le journal Security et préciser ce que l’ordinateur doit faire quand le journal atteint cette taille. On peut prescrire au système d’écraser les événements si nécessaire ; il supprimera les événements les plus anciens du journal lors de l’enregistrement des nouveaux événements. On peut programmer l’écrasement des événements dépassant un certain nombre de jours : au fur et à  mesure que le journal se remplit, l’ordinateur élimine les événements dépassant le nombre de jours indiqué. (Si aucun événement ne répond au critère d’expiration, le système stoppe la journalisation jusqu’à  ce que les événements les plus anciens atteignent la date d’expiration.) On peut aussi ordonner au système de ne pas écraser d’événements ; dans ce cas, il faudra nettoyer le journal manuellement à  intervalles réguliers parce que le système stoppera la journalisation dès que le journal sera plein. (Le fait d’augmenter la taille d’un journal plein ne relance pas la journalisation ; il faut supprimer des événements du journal pour faire de la place aux nouveaux événements.)