> Tech > Protéger le journal de sécurité de Windows NT

Protéger le journal de sécurité de Windows NT

Tech - Par iTPro.fr - Publié le 24 juin 2010
email

Dans de précédents articles de ce magazine, on a pu voir comment exploiter l'utilisation des privilèges et des catégories d'audit d'administration des comptes pour surveiller l'activité des utilisateurs ayant des privilèges d'administrateur. Mais que faire si les intrus essayent de dissimuler leurs traces en modifiant le journal de sécurité de Windows NT ? On peut utiliser les événements systèmes et les changements de politiques pour détecter de telles attaques.

Les catégories événements systèmes et changements de politique du journal de sécurité peuvent être d’une grande aide pour identifier les signes d’attaques par intrusion
physique ou modification des journaux. La catégorie événements systèmes comprend l’événement ID 512 (redémarrage du système) et l’événement 517 (effacement du
journal de sécurité). Windows NT journalise l’événement ID 512 à  chaque démarrage et l’événement ID 517 lorsqu’un administrateur, ou quiconque doté des droits de gestion
du journal d’audit et de sécurité, efface le journal de sécurité. La catégorie changement de politique comprend l’événement 612 (audit des changement de politique), qui vous
prévient que quelqu’un, doté de privilèges d’administration, a changé la politique d’audit du système dans la boîte de dialogue d’audit des politiques (Démarrer, Programmes,
Outils d’administration, Gestionnaire des utilisateurs, Politiques, Audit).
Les hackers ont des méthodes limitées (comme par exemple les tactiques de remplissage du journal) pour effacer leurs traces dans le journal de sécurité. Le fichier de
journalisation (à  savoir %systemroot%\system32\config\secevent.evt) est protégé tant que Windows NT est opérationnel car on ne peut ouvrir ce fichier que depuis
l’observateur d’événements. Cette restriction évite que des intrus ne modifient ou effacent le fichier journal tant que l’OS est actif, à  moins d’utiliser des techniques
particulièrement sophistiquées (par exemple en injectant du code malicieux dans le processus de journalisation des événements). Cependant, si un hacker a accès
physiquement à  la machine, le fichier journal est vulnérable lorsque l’OS est arrêté. Même si l’unité de boot est en NTFS, un hacker peut booter sous DOS depuis une disquette
3.5″ et utiliser NTFSDOS de Winternals Software pour effacer ou remplacer le fichier journal. (NTFSDOS permet d’obtenir un accès en lecture et écriture aux partitions NTFS
depuis DOS, quelque soient les permissions sur les fichiers et les répertoires). Les hackers de systèmes UNIX modifient couramment le journal dy²u système pour masquer
leurs activités. Même si, théoriquement, les hackers peuvent modifier les fichiers du journal de sécurité lorsque NT est arrêté, le format des fichiers de journalisation de
Windows NT est plus compliqué que ceux d’UNIX (et pourtant, je suis un familier des outils qui peuvent fabriquer des enregistrements ou effacer des parties spécifiques des
fichiers de journalisation. Ainsi, on peut penser que les hackers sont susceptibles d’effacer complètement le fichier du journal de sécurité – ou de le remplacer par une copie
faite avant l’intrusion – et de manipuler les politiques d’audit pour déguiser leurs actions. Heureusement, on peut utiliser les catégories d’événements systèmes et de
changements de politiques pour détecter une telle activité.

Téléchargez cette ressource

Guide de cybersécurité en milieu sensible

Guide de cybersécurité en milieu sensible

Sur fond de vulnérabilités en tout genre, les établissements hospitaliers, pharmacies, laboratoires et autres structures de soin font face à des vagues incessantes de cyberattaques. L’objectif de ce livre blanc est de permettre aux responsables informatiques ainsi qu’à l’écosystème des sous-traitants et prestataires du secteur médical de se plonger dans un état de l’art de la cybersécurité des établissements de santé. Et de faire face à la menace.

Tech - Par iTPro.fr - Publié le 24 juin 2010

A lire aussi sur le site

Revue Smart DSI

La Revue du Décideur IT