Le paramètre suivant de la stratégie Windows Firewall est Allow User Preference/Group Policy Settings Merge – il est quelque peu trompeur. La documentation de Windows Firewall indique que si ce paramètre est activé, les administrateurs locaux peuvent modifier le paramétrage du parefeu. Mais est-ce que « modifier » signifie « activer ou désactiver le pare-feu » ou « le régler en ouvrant ou en fermant des ports » ? Dans le cas présent, « modifier » a cette dernière signification : si activée, cette stratégie permet à un administrateur local d’ouvrir ou de fermer un port sur un système – mais pas de supplanter le paramètre Disabled, Protected ou Shielded défini par une stratégie de domaine, en supposant qu’il existe une stratégie de domaine pertinente pour Windows Firewall. Si on choisit Disabled, les administrateurs locaux n’ont pas de prise sur le comportement du parefeu.
La confusion s’installe quand un administrateur local essaie de supplanter les paramètres Windows Firewall qu’un GPO (Group Policy Object) de domaine a créés. Un administrateur local qui tape
netsh firewall ipv4 set opmode disable
obtiendra un résultat OK, et une commande Netsh Firewall ultérieure indiquera que le pare-feu est désactivé. Pourtant, un coup d’oeil aux propriétés de la NIC dans le dossier Network Connections révèlera que le pare-feu est activé. Il suffira de quelques tests pour confirmer que c’est la GUI qui dit vrai : les paramètres du domaine gagnent. Espérons que ce comportement ne perdurera pas dans la release finale.
Mais on ne peut pas non plus faire toujours confiance à la GUI. Si vous réglez Allow User Preference/Group Policy Settings Merge sur Disabled, la GUI est grisée et les boutons radio d’activation et de désactivation de Windows Firewall deviennent inopérants. C’est logique. Mais essayez d’activer le paramètre puis de revenir à l’écran de configuration Windows Firewall. Les boutons radio précités sont maintenant activés. Vous pouvez cliquer dessus et choisir OK : vous n’obtiendrez pas de message d’erreur… pas plus d’ailleurs que vous ne verrez de changement. Cependant, en tant qu’administrateur local, vous pouvez utiliser la ligne de commande ou gpedit.msc pour ouvrir et fermer les ports. Il n’existe pas d’équivalent ligne de commande pour Allow User Preference/Group Policy Settings Merge.
Pour beaucoup de DSI, le cloud a longtemps été réduit à un projet de migration : déplacer des serveurs on-premise vers un fournisseur externe. Une fois cette étape franchie, la…
Passez à la cybersécurité proactive, transformez la collecte et l’analyse des logs en un bouclier dynamique contre les cybermenaces. Découvrez comment mettre en place une approche SIEM modulaire, évolutive et…
