Protéger le journal de sécurité de Windows NT

Les catégories événements systèmes et changements de politique du journal de sécurité peuvent être d’une grande aide pour identifier les signes d’attaques par intrusion
physique ou modification des journaux. La catégorie événements systèmes comprend l’événement ID 512 (redémarrage du système) et l’événement 517 (effacement du
journal de sécurité). Windows NT journalise l’événement ID 512 à  chaque démarrage et l’événement ID 517 lorsqu’un administrateur, ou quiconque doté des droits de gestion
du journal d’audit et de sécurité, efface le journal de sécurité. La catégorie changement de politique comprend l’événement 612 (audit des changement de politique), qui vous
prévient que quelqu’un, doté de privilèges d’administration, a changé la politique d’audit du système dans la boîte de dialogue d’audit des politiques (Démarrer, Programmes,
Outils d’administration, Gestionnaire des utilisateurs, Politiques, Audit).
Les hackers ont des méthodes limitées (comme par exemple les tactiques de remplissage du journal) pour effacer leurs traces dans le journal de sécurité. Le fichier de
journalisation (à  savoir %systemroot%\system32\config\secevent.evt) est protégé tant que Windows NT est opérationnel car on ne peut ouvrir ce fichier que depuis
l’observateur d’événements. Cette restriction évite que des intrus ne modifient ou effacent le fichier journal tant que l’OS est actif, à  moins d’utiliser des techniques
particulièrement sophistiquées (par exemple en injectant du code malicieux dans le processus de journalisation des événements). Cependant, si un hacker a accès
physiquement à  la machine, le fichier journal est vulnérable lorsque l’OS est arrêté. Même si l’unité de boot est en NTFS, un hacker peut booter sous DOS depuis une disquette
3.5″ et utiliser NTFSDOS de Winternals Software pour effacer ou remplacer le fichier journal. (NTFSDOS permet d’obtenir un accès en lecture et écriture aux partitions NTFS
depuis DOS, quelque soient les permissions sur les fichiers et les répertoires). Les hackers de systèmes UNIX modifient couramment le journal dy²u système pour masquer
leurs activités. Même si, théoriquement, les hackers peuvent modifier les fichiers du journal de sécurité lorsque NT est arrêté, le format des fichiers de journalisation de
Windows NT est plus compliqué que ceux d’UNIX (et pourtant, je suis un familier des outils qui peuvent fabriquer des enregistrements ou effacer des parties spécifiques des
fichiers de journalisation. Ainsi, on peut penser que les hackers sont susceptibles d’effacer complètement le fichier du journal de sécurité – ou de le remplacer par une copie
faite avant l’intrusion – et de manipuler les politiques d’audit pour déguiser leurs actions. Heureusement, on peut utiliser les catégories d’événements systèmes et de
changements de politiques pour détecter une telle activité.