System Center Configuration Manager 2007
La gamme System Center de Microsoft ne cesse de s’étendre et va bientôt accueillir la nouvelle version de System Management Server. SMS est un logiciel d'mises à jour de sécurité. Actuellement en version 2003, un Service Pack 3 sera très prochainement disponible. La nouvelle mouture de SMS est intitulée System Center Configuration Manager (SCCM ou encore SMS v4). D’un point de vue général, le fonctionnement reste toujours le même, mais il est devenu plus intuitif et plus simple d’utilisation, notamment au niveau de la console d’administration où il est possible de ranger ses objets dans des dossiers en plus des collections habituelles.
De nouvelles fonctionnalités voient tout de même le jour comme la gestion DCM (Desired configuration management), ou encore l’utilisation de Network Access Protection (NAP), nouveau procédé permettant d’avoir plus de sécurité au niveau de l’accès réseau et enfin de l’apparition du Wake On Lan vous permettant de démarrer un ordinateur à distance. Chose très intéressante, de nombreux packages supplémentaires n’auront plus besoin d’être installés, car ils le seront nativement dans SCCM. C’est le cas de la gestion des appareils mobiles, du déploiement de système d’exploitation. La partie mise à jour a également été revue en profondeur avec la gestion des mises à jour Microsoft et non Microsoft. Avant d’aborder plus en détails les nouveautés et les améliorations de SCCM, revoyons brièvement les caractéristiques et les fonctionnalités d’une infrastructure SMS.
| Contenus complémentaires : Page Microsoft : System Center Configuration Manager 2007 Bêta 2 |
Lire l'article
Windows 2003 IPSEC : 9 manières de diagnostiquer les problèmes
Vous avez mis en place IPsec pour protéger le trafic sur le Windows Server 2003 intégrés servant à diagnostiquer des problèmes IPsec si vous constatez que votre trafic n’est pas crypté. (Précisons que les techniques expliquées dans cet article ne s’appliquent pas forcément aux applications IPsec spéciales, du genre cartes IPsec et IPsec basé sur VPN.)
Lire l'article
Planifier et implanter un réseau sans fil sûr
La demande un réseau sans fil sûr dans votre environnement.
Lire l'article
Routage Exchange 2007
Lors de la première partie consacrée aux nouveaux concepts serveurs Exchange 2007.Cette seconde partie se composera de deux parties principales :
• la définition des différents types de connecteurs pour effectuer des échanges avec le monde extérieur,
• la tolérance aux pannes du routage et la répartition de charge.
Les nouveaux concepts de routage d’Exchange 2007.
Vous avez certainement entendu parler, lors des différents événements autour Exchange 2007. Si on voulait faire simple et très court, on s’arrêterait après avoir dit : les groupes de routage ont disparu, Exchange 2007 utilise maintenant la topologie de sites Windows pour échanger les messages au sein de l’organisation. Cette définition est effectivement totalement vraie, mais très réductrice du fonctionnement de ce nouveau routage. Au cours des deux parties de cet article, nous allons essayer de répondre à vos interrogations sur ce sujet.
Lire l'article
Découvrez Windows Server 2008
Tout d’abord connue sous le nom de code Longhorn Server, Windows VISTA. Cette sortie correspond en France au deuxième opus de l’évènement Microsoft TechDays 2008, qui se déroule du 11 au 13 Février 2008. Une fois n’est pas coutume la sortie française s’effectue avant la sortie mondiale!
Il est évidemment impossible de couvrir l’ensemble des nouveautés d’un tel produit. Cependant nous allons nous efforcer de présenter les fonctionnalités essentielles de Windows 2008 et tenter de vous expliquer comment ce nouveau système va révolutionner votre vie d’administrateur !
Evolution des services de sécurité de Windows Server 2008
Nous avons présenté dans Active Directory : les services de certificats AD-CS (Active Directory Certificate Services) et les services de gestion des droits numériques ADRMS (Active Directory Rights Management Services).
Lire l'article
NAC : aspects techniques
Nul ne savait depuis quand l’appareil traînait dans la salle de conférence. Déguisé en magnétoscope, il ressemblait à un banal équipement obsolète et tout le monde l’ignorait. Jusqu’à ce qu’un visiteur demande s’il pouvait débrancher son câble Ethernet pour brancher son ordinateur portable.Les magnétoscopes n’ont pas de câbles Ethernet !
Le responsable de la sécurité informatique ouvrit aussitôt l’engin et découvrit le pot aux roses. À l’intérieur, un micro et un circuit imprimé avec une prise Ethernet qui, il y a quelques instants encore, était connectée à un port Ethernet de la salle de conférence. En définitive, le circuit imprimé n’était rien d’autre qu’un micro espion, rapportant à un serveur éloigné tous les propos de la salle de conférence. La piste s’arrêta là et il fut impossible de démasquer le coupable. De l’avis général, ce truc-là était présent depuis plusieurs mois.
Ce récit décrit un événement réel, mais – on le comprendra – la société concernée souhaite garder l’anonymat. Il illustre l’un des nombreux dangers que présente un port Ethernet non protégé. Il y en a beaucoup d’autres : des visiteurs qui se branchent pour scruter votre réseau ou pour utiliser abusivement la connexion Internet, des ordinateurs contaminés se connectant et infectant votre LAN, des appareils sans fil sauvages ouvrant votre réseau à l’intrusion à distance. Pourtant, à moins de verrouiller physiquement chaque port Ethernet, un administrateur de réseau était peu armé pour protéger cette ressource essentielle.
Heureusement une solution a pris la forme d’un nouvel ensemble technologique collectivement appelé NAC (Network Access Control). NAC vous aidera à sécuriser le port Ethernet omniprésent, de telle sorte que seuls les utilisateurs autorisés puissent se connecter, et qu’ils soient soumis à un minimum d’inspection en matière de logiciel malveillant, virus et failles de sécurité. NAC est utilisable dès à présent, mais pour bien le choisir, vous devez connaître les principes de base de son fonctionnement et l’étendue de ses options.
Boîte à outils System iNEWS : intéret de iSCSI pour l’installation d’un SAN
Je suis chargé de choisir et d’installer un SAN (storage area network) dans mon entreprise. Je suis confronté au choix entre la connectivité fiber channel traditionnelle et le procédé iSCSI plus récent. A en croire mon entourage, le principal intérêt de iSCSI est qu’un HBA (Host Bus Adapter) spécial n’est pas nécessaire sur le System […]
Lire l'article
La sécurité plus facile avec 802.11G
Nous aimons tous la commodité et l’agrément des LAN sans fil (WLAN, wireless LAN). Grâce à eux, nous restons connectés loin du bureau. Nous pouvons accéder à Internet aussi facilement dans un cybercafé ou à la maison qu’assis à notre bureau. Un point d’accès (AP, Access Point) sans fil d’entrée de gamme coûte moins de 75 dollars, un prix qui fait de cet appareil l’un des périphériques informatiques les plus vendus depuis l’iPod.
Et, pourquoi pas, vous pouvez littéralement brancher l’une de ces boîtes dans une prise électrique et dans votre réseau, et le tour est joué : vos portables équipés Wi- Fi se connecteront à votre réseau sans aucun fil. Mais, est-ce forcément une bonne chose ? Cette facilité est grosse d’un énorme risque pour vos réseaux de données. En effet, quand vous acceptez la configuration par défaut de beaucoup de ces AP peu coûteux, vous permettez à d’autres de se connecter à votre réseau ou d’en espionner le trafic tout aussi facilement. Heureusement, la plupart des AP sans fil comportent des fonctions faciles à configurer qui améliorent considérablement leur sécurité. En six opérations de base, vous pouvez sécuriser un petit WLAN doté d’un équipement 802.11g peu coûteux. Bien que 802.11g soit un standard IEEE, la plupart des fournisseurs proposent une myriade de fonctions fixes sur leurs produits AP sans fil. Les fonctions de sécurité restent tout de même homogènes, même si les fournisseurs baptisent différemment des fonctions semblables. Dans l’exemple de configuration présenté ici, j’utilise un Linksys WRT54G comme AP 802.11G. Le WRT54G est peu coûteux et très prisé pour le petit bureau, le domicile, et même le labo d’une grande société. Cet AP et ses congénères n’offrent bien sûr pas les mêmes prestations que les produits de classe entreprise, comme les gammes Proxim OriNOCO ou Cisco Systems Aironet. Cet article s’intéresse aux AP d’entrée de gamme basiques.
Durcir le SYSTEM I : Firewall Friendly VPN
La demande croissante d’e-business s’accompagne d’une forte exigence de sécurité. Virtual Private Network avec IP Security Architecture (IPsec VPN) y répond en fournissant le cryptage et l’authentification de bout en bout au niveau de la couche IP et en protégeant les données confidentielles qui empruntent des réseaux plus ou moins fiables.IPsec présente un double avantage : une large étendue de la couverture et une granularité agile pour la protection. Hélas, il existe des incompatibilités entre IPsec VPN et le NAT (Network Address Translation) que les pare-feu utilisent.
Ces incompatibilités doivent être résolues si l’on veut généraliser le déploiement d’IPsec VPN en e-business. La solution réside dans Firewall Friendly VPN. En V5R4, le System i peut être à la fois client et serveur pour une connexion VPN qui traverse NAT. Firewall Friendly VPN peut servir de multiples scénarios e-business tels que : fournir des relevés de comptes en ligne aux clients d’une banque, permettre à des agents d’assurance locaux de soumettre des demandes en toute sécurité par Internet, ou laisser les clients System i télécharger des documents à partir du serveur IBM RETAIN.
DNS
Récemment, mon réseau a souffert d’un problème intermittent de résolution de noms DNS. Franchement, traquer des bogues de résolution de noms n’est pas ce que je préfère. Et, malheureusement, mes compétences en dépannage DNS se sont rouillées au fil du temps. Il est vrai que DNS sait se faire oublier quand il fonctionne selon les normes: tout fonctionne : navigateur, client e-mail, serveur de courrier électronique, DC (domain controller). Comme je n’avais pas eu à dépanner DNS depuis des années, j’ai vu mon problème actuel comme une excellente occasion de rafraîchir mes compétences.Comme DNS est devenu la pierre angulaire d’un environnement AD (Active Directory) satisfaisant et parce que DNS est le liant des éléments d’Internet, il est essentiel de pouvoir détecter et résoudre rapidement les problèmes DNS du réseau. Voyons d’abord les subtilités du dépannage DNS en dehors de l’AD (Active Directory) puis voyons quelles complexités cet AD ajoute à l’ensemble.
Lire l'article
ROBOCOPY sur le réseau
Dans mon article précédent, je vous présentais l’un des utilitaires les plus utiles et puissants du Microsoft Windows Server 2003 Resource Kit. Cette fois, je vais creuser un peu plus Robocopy pour vous montrer quelques autres de ses facettes : en particulier en matière de réseau.En septembre dernier, je terminais avec un exemple consistant à copier des fichiers d’un share nommé \\marksws\myfiles vers un nommé \\centralserver\marksfiles. Cependant, en tenant compte des vicissitudes du travail en réseau, je voulais que Robocopy réessaie ces copies 13 fois au moins dans le cas d’une défaillance du réseau et qu’il attende 30 secondes entre les nouvelles tentatives successives. Cette commande se présentait ainsi :
robocopy \\marksws\myfiles \\centralserver \marksfiles /w:30 /r:13
Cette commande tient compte du fait que les réseaux manquent parfois de fiabilité. Mais j’aimerais aussi aborder un autre aspect de la pratique du réseau : la bande passante. Si le share myfiles est de bonne taille, je pourrais bien accaparer une bonne partie de la bande passante du réseau. Robocopy me permet d’améliorer son effet sur le réseau de trois manières : en me permettant de spécifier la plage de temps dans laquelle il s’exécutera, la méthode par laquelle il réessaiera les copies, et le temps pendant lequel il attendra pour envoyer le bloc de données suivant.
Il me faut plus de débit, 1ère partie
Quelles que soient la configuration et l’installation d’un système, il arrive que la charge de travail consomme toute la capacité de traitement, ralentisse le débit, et allonge le temps de réponse. De la même façon que votre activité a besoin de changement, votre système demande des améliorations de performances, et ce bien que vous ayez alloué le maximum de matériel. Cet article s’intéresse à quelques scénarios de ralentissement et indique comment atténuer leur effet.
Lire l'article
Sécuriser votre réseau sans fil
Des sociétés de toutes tailles utilisent aujourd’hui des réseaux sans fil. Dans les petites et moyennes entreprises (PME), leur faible coût et leur facilité de déploiement peuvent les rendre préférables aux réseaux câblés. Pour les grandes entreprises, les réseaux sans fil ont plusieurs usages : réunion d’employés munis de portables dans des salles, des halls d’hôtels, et même des cafétérias, connectés aux réseaux.Les mérites des réseaux sans fil induisent un fort besoin de sécurité. Des réseaux sans fil non protégés offrent aux pirates et à ceux qui veulent simplement se connecter gratuitement à Internet, un libre accès à votre intranet. Il n’est pas rare de voir des réseaux sans fil sauvages dans de grandes entreprises.
En effet, les groupes de travail ou les utilisateurs finaux ignorent parfois le règlement intérieur et installent des points d’accès (AP, Access Points) pour répondre à un besoin ponctuel. Mais, ce faisant, ils font courir un grand risque à tous Songez à cela : des adeptes du spam et du phishing particulièrement astucieux savent maintenant utiliser des réseaux sans fil non sécurisés pour envoyer des messages de courriel en masse. Ils circulent dans les zones urbaines et dans les quartiers d’affaires, à la recherche de réseaux sans fil vulnérables.
Quand ils en trouvent un, ils configurent leurs systèmes mobiles pour s’y connecter, obtenir une location DHCP avec une adresse IP valide, DNS, et une information de passerelle par défaut ; puis pour envoyer leurs messages. Si vous avez déjà utilisé un outil tel que NetStumbler ou les outils de gestion sans fil intégrés que l’on trouve sur la plupart des portables et des PDA, vous avez sûrement rencontré des réseaux sans fil non sécurisés dans votre voisinage, autour de votre bureau, voire dans votre propre entreprise.
Les propriétaires de réseaux non sécurisés courent de nombreux risques : perte de bande passante sur leur connexion Internet, infection virale, voire une responsabilité pénale ou civile si leurs réseaux sans fil non sécurisés servent à lancer des attaques contre autrui.
Voyons quelques étapes pratiques permettant de sécuriser vos réseaux sans fil, les méthodes d’automatisation du déploiement des paramètres de configuration, et les outils permettant de repérer la présence de réseaux sans fil non sécurisés et non autorisés.
Monter un accès Internet redondant à faible coût
Pour de plus en plus d’entreprises, l’accès internet devient un impératif de productivité et c’est une ressource de plus en plus souvent requise par les applications critiques telles que la messagerie ou l’accès aux pages Web de fournisseurs par exemple. C’est donc maintenant un besoin aussi fort que le téléphone ou l’électricité. Il faut donc s’assurer de la disponibilité de cette ressource et donc disposer de solution( s) de repli ou de secours en cas de défaillance de la connexion ou de son Fournisseur d’accès à Internet (FAI).Les solutions existent à ce jour mais sont le plus souvent onéreuses avec des contrats de disponibilité forte auprès de son FAI ou des solutions de secours sur RNIS. Mais aujourd’hui, il est possible en disposant de deux connexions ADSL de type standard, de les associer pour disposer d’une part d’une résilience aux pannes de l’une ou de l’autre, de d’autre part de disposer de la somme des deux bandes passantes tant pour les flux entrants, que pour les flux sortants. Mais si ce besoin de connexion des utilisateurs et des serveurs de l’entreprise vers la toile mondiale est important, il n’est pas forcément vital.
Un autre facteur est à prendre en compte lors de l’analyse de ce besoin, c’est la connexion des utilisateurs externes ou utilisateurs nomades vers les ressources de l’entreprise. Il s’agit généralement de publications de type Web. Bien sûr, la plupart des entreprises hébergent leurs sites web auprès de structures spécialisées, mais ce n’est pas toujours le cas et de nouvelles applications comme la messagerie mobile imposent presque systématiquement la présence d’une connexion depuis l’Internet vers le serveur de messagerie. C’est par exemple le cas avec les services d’Exchange Server 2003 qui permettent un accès Outlook Web Access (OWA) ou ActiveSync depuis le monde extérieur à l’entreprise. Dans ce cas, l’accès à ces services doit être sécurisé, mais il doit aussi offrir un haut niveau de disponibilité. Une coupure de la connexion entre ces serveurs et Internet aboutit à une indisponibilité du service de messagerie pour les utilisateurs mobiles. C’est dans ce cadre de publication, qu’il convient de mettre en place une solution de connexion à Internet redondante et donc fiable.
Lorsque l’on parle de redondance, le plus simple consiste à doubler les équipements, mais la gestion de la bascule entre l’équipement défaillant et l’équipement de secours reste le point à surveiller. La première base de la disponibilité de connexion à Internet, sans avoir recours à des contrats très onéreux, consiste bien sur à se doter de deux connexions à Internet.
L’essentiel de la supervision du réseau, 2e partie
Nous avons souligné combien il importe de superviser les serveurs, leurs applications, et l’équipement réseau, afin d’intercepter et de corriger les problèmes avant qu’ils n’affectent vos utilisateurs. Une bonne supervision de réseau est également précieuse pour deux autres raisons : savoir exactement ce qui se passe sur le réseau, qui y accède et quand.Dans la première partie de cette série, destinée aux PME (petites et moyennes entreprises), j’évoquais les avantages du travail en réseau et je recensais les sources les plus courantes que l’on peut superviser (par la télémesure), y compris les journaux d’événements Windows, Syslog et SNMP. Dans ce second article, j’explique comment construire une solution de supervision dépouillée à l’aide d’outils gratuits peu coûteux, évoluant autour du journal d’événements Windows. Plus précisément, je vous présente trois outils intéressants à ajouter à votre panoplie de supervision de réseau : Log Parser, un outil gratuit de Microsoft, tail, un utilitaire Unix simple d’emploi, et Kiwi Syslog Daemon, qui existe en édition gratuite et en édition plus puissante mais néanmoins abordable. Même si vous possédez déjà un outil ou si vous envisagez d’en acquérir un, poursuivez cette lecture : la plupart des outils du marché se limitent à des fonctions d’alerte et de reporting, parfois avec quelques rapports standard et des modèles de règles d’alerte. Il reste quand même à définir les rapports et alertes adaptés à votre environnement. Les méthodes de conception et d’analyse décrites ci-après seront très intéressantes même lorsqu’une application de supervision est déjà en place.
Lire l'article
Le filtre HTTP intégré à ISA SERVER 2004
Suite à la sortie d'ISA Server 2004, Microsoft a beaucoup communiqué sur les fonctionnalités de filtrage et de sécurité avancée intégrées au produit comme la mise en quarantaine des clients VPN, le support de méthodes d'authentification puissantes (RSA SecureID, RADIUS, certificats numériques)...
Cet article est dédié à l'une de ces fonctionnalités d'ISA Server 2004 : le filtrage au niveau applicatif et plus particulièrement le filtre HTTP.Pour comprendre l'intérêt de ce nouvel outil, nous commencerons par évoquer les forces et surtout les faiblesses des pare-feu classiques, puis nous étudierons la problématique posée par les attaques au niveau applicatif (et surtout le problème de l'encapsulation HTTP) et enfin nous verrons comment ISA Server permet d'empêcher cette nouvelle forme de piratage !
Des socket SSL à partir de RPG ? Bien sûr c’est possible !
Les sockets permettent à un programme de communiquer sur un réseau TCP/IP. Toute donnée que vous écrivez dans un socket est fragmentée en paquets et envoyée sur votre réseau ou sur Internet vers l’ordinateur de destination, où elle est reconstituée et lue par un autre programme. Ce genre de communication est la substance même d’Internet : ce sont des milliards d’octets qui circulent de par le monde. Mais il y a un hic. Les octets envoyés sur Internet traversent des dizaines de réseaux, et les ordinateurs qui en font partie peuvent les voir. Pour qu’un envoi reste privé, il faut le crypter !Le standard de cryptage des communications TCP/IP est un protocole généralement connu sous le nom de SSL (Secure Sockets Layer). Cet article donne un aperçu de SSL et vous apprend à utiliser les API GSKIT (Global Secure ToolKit) fournies avec i5/OS pour écrire vos propres applications SSL en ILE RPG.
Lire l'article
L’essentiel de la supervision du réseau pour la PME, 1ère partie
On dit souvent que « Un peu de prévention vaut beaucoup de soins ». C’est particulièrement vrai en matière de supervision de réseau. Le fait de superviser vos serveurs, les applications qu’ils exécutent et vos unités de réseau, peut signaler des problèmes que vous corrigerez avant qu’ils ne touchent vos utilisateurs. En supervisant le réseau et en tenant son historique, vous pouvez tirer de ces données des informations exactes destinées aux utilisateurs, souvent prompts à exagérer la fréquence d’un problème particulier.Il est un autre aspect tout aussi important : en supervisant le réseau, vous savez exactement ce qui s’y passe, qui y accède et quand. Il y a donc deux types de supervision. Dans cet article, j’appelle le premier supervision de l’exploitation et le second supervision de la sécurité. Dans les grandes entreprises, il est fréquent que ces deux genres de supervision soient confiés à processus distincts confiés à l’équipe d’exploitation et à l’équipe de sécurité de l’information.
Mais les petites et moyennes entreprises (PME) tendent plutôt à appliquer un processus de supervision global, pour plusieurs raisons. Indépendamment du budget et des effectifs, les réseaux PME n’ont généralement pas besoin du même niveau de supervision que les grands comptes. Ils fonctionnent rarement à pleine capacité et sont beaucoup plus faciles à maintenir que ceux des grandes entreprises. Enfin, les réseaux PME ne sont pas aussi sophistiqués et n’ont pas besoin du même détail d’analyses et de courbes de tendances, que leurs grandes soeurs.
Dans cette série en deux parties, je recense les divers appareils et systèmes que vous devez superviser dans une PME pour la sécurité et l’exploitation. Dans la 1ère partie, j’indique les sources de supervision de données les plus courantes, y compris les journaux d’événements Windows, Syslog et SNMP ; et, dans la 2e partie, nous construirons l’ossature d’une solution de supervision de réseau au moyen d’outils gratuits ou peu coûteux.
