10 outils d’évaluation de la sécurité du réseau à  posséder absolument !

Les professionnels qui veulent évaluer la sécurité de leur réseau disposent de nombreux outils - littéralement, des milliers à la fois commerciaux et open-source. La difficulté est d’avoir le bon outil pour le bon travail, au bon moment, et de pouvoir lui faire confiance. Pour réduire l’éventail du choix, je décris mes dix outils gratuits favoris pour l’évaluation de la sécurité du réseau.L’évaluation de la sécurité du réseau passe par quatre phases fondamentales : reconnaissance, énumération, évaluation et exploitation. La phase de reconnaissance concerne la détection des appareils du réseau par un scanning en direct via ICMP (Internet Control Message Protocol) ou TCP. Pendant les phases d’énumération et d’évaluation, l’évaluateur de sécurité détermine si un service ou une application tourne sur un hôte particulier et analyse ses éventuelles faiblesses. Dans la phase d’exploitation, l’évaluateur utilise une ou plusieurs vulnérabilités pour obtenir un certain niveau d’accès privilégié à l’hôte et utilise cet accès pour mieux exploiter l’hôte ou pour élever le privilège sur l’hôte ou le réseau, ou le domaine.

Sécuriser votre réseau sans fil

Des sociétés de toutes tailles utilisent aujourd’hui des réseaux sans fil. Dans les petites et moyennes entreprises (PME), leur faible coût et leur facilité de déploiement peuvent les rendre préférables aux réseaux câblés. Pour les grandes entreprises, les réseaux sans fil ont plusieurs usages : réunion d’employés munis de portables dans des salles, des halls d’hôtels, et même des cafétérias, connectés aux réseaux.Les mérites des réseaux sans fil induisent un fort besoin de sécurité. Des réseaux sans fil non protégés offrent aux pirates et à ceux qui veulent simplement se connecter gratuitement à Internet, un libre accès à votre intranet. Il n’est pas rare de voir des réseaux sans fil sauvages dans de grandes entreprises.
En effet, les groupes de travail ou les utilisateurs finaux ignorent parfois le règlement intérieur et installent des points d’accès (AP, Access Points) pour répondre à un besoin ponctuel. Mais, ce faisant, ils font courir un grand risque à tous Songez à cela : des adeptes du spam et du phishing particulièrement astucieux savent maintenant utiliser des réseaux sans fil non sécurisés pour envoyer des messages de courriel en masse. Ils circulent dans les zones urbaines et dans les quartiers d’affaires, à la recherche de réseaux sans fil vulnérables.

Quand ils en trouvent un, ils configurent leurs systèmes mobiles pour s’y connecter, obtenir une location DHCP avec une adresse IP valide, DNS, et une information de passerelle par défaut ; puis pour envoyer leurs messages. Si vous avez déjà utilisé un outil tel que NetStumbler ou les outils de gestion sans fil intégrés que l’on trouve sur la plupart des portables et des PDA, vous avez sûrement rencontré des réseaux sans fil non sécurisés dans votre voisinage, autour de votre bureau, voire dans votre propre entreprise.

Les propriétaires de réseaux non sécurisés courent de nombreux risques : perte de bande passante sur leur connexion Internet, infection virale, voire une responsabilité pénale ou civile si leurs réseaux sans fil non sécurisés servent à lancer des attaques contre autrui.
Voyons quelques étapes pratiques permettant de sécuriser vos réseaux sans fil, les méthodes d’automatisation du déploiement des paramètres de configuration, et les outils permettant de repérer la présence de réseaux sans fil non sécurisés et non autorisés.

Cachez bien vos secrets

Le cryptage, ou chiffrement, est une science fascinante qui mêle les mathématiques, l’intrigue et, de nos jours, l’informatique. Bien que le cryptage consiste à rendre l’information secrète, il n’y a rien de secret dans le processus de cryptage. En fait, plus un algorithme de cryptage est soumis à l’examen public, plus il est jugé sûr. Si le cryptage est exécuté correctement, la seule chose à garder secrète est la clé de cryptage.Permettez-moi donc de vous présenter cette technique et de montrer l’importante différence qui existe entre le cryptage par clé symétrique et le cryptage par clé publique/privée. Nous conclurons par une brève discussion sur les protocoles de cryptage courants en usage aujourd’hui et comment les diverses composantes Windows utilisent le cryptage.

Quand de bons scripts dérapent

Vous venez de passer des heures à écrire un script chargé de supprimer automatiquement les anciens comptes utilisateur inactifs dans l’AD (Active Directory). Bien que vous soyez débutant en code VBScript, la suppression manuelle des anciens comptes d’AD chaque mois était une telle corvée que vous vous êtes résolu à écrire ce script. Plein d’espoir, vous l’exécutez sur votre réseau de test… pour le voir s’arrêter prématurément. Pas croyable ! Où est l’anomalie ? Les raisons sont multiples. Cependant, le principe de Pareto (c’est-à-dire, la règle des 80/20) veut que la plus grande partie des erreurs de script (80 % environ) provient d’un petit nombre de causes possibles (20 % environ).Plusieurs experts en scripting ont récemment parlé des erreurs courantes qu’ils trouvent quand ils examinent le code VBScript sur le terrain. D’après ces experts et à en croire divers articles, les erreurs de syntaxe VBScript les plus courantes (c’est-à-dire, celles qui surviennent quand le code transgresse les règles grammaticales du langage VBScript) et les erreurs à l’exécution (c’est-à-dire, les erreurs qui se produisent quand un script tente d’effectuer une action que le système ne peut pas exécuter) surviennent quand les auteurs de scripts utilisent des variables, des instructions de traitement d’erreurs, des guillemets et des caractères spéciaux et réservés.

Mettre en place WSUS

La gestion des correctifs est un casse-tête pour les administrateurs de sécurité de la plupart des entreprises. En la matière, les petites entreprises s’en remettent souvent aux mises à jour automatiques en provenance des sites Web des fournisseurs, comme Windows Update. Les moyennes entreprises utilisent généralement des solutions de gestion des correctifs comme SUS (Software Update Services). Les grands comptes, eux, ont recours à des outils sophistiqués comme Microsoft SMS (Systems Management Server) 2003.Consciente des déficiences de SUS, comme l’étroitesse des produits qu’il permet de mettre à jour, Microsoft a développé et amélioré un produit de gestion des correctifs appelé WSUS (Windows Systems Management Server). WSUS bénéficie aux entreprises de toutes tailles, grâce à sa souplesse, ses fonctions avancées et sa facilité de déploiement. Nous allons donc voir ensemble comment installer et configurer WSUS pour votre entreprise, obtenir les mises à jour, et configurer les clients pour que WSUS leur procure les mises à jour.

Les outils de mise à  jour selon Microsoft

La mise en place, ou plus exactement le déploiement automatisé des patchs de sécurité des environnements Windows est un sujet d’actualité pour les administrateurs. Avec l’arrivée en fanfare de WSUS, la question est encore plus d’actualité et de nombreux responsables informatiques se posent la question du déploiement ou non de cette solution proposée par Microsoft, d’au tant plus que plusieurs outils Microsoft permettent le déploiement des patchs de sécurité au sein de la famille Windows.La mise en place, ou plus exactement le déploiement automatisé des patchs de sécurité des environnements Windows est un sujet d’actualité pour les administrateurs. Avec l’arrivée en fanfare de WSUS, la question est encore plus d’actualité et de nombreux responsables informatiques se posent la question du déploiement ou non de cette solution proposée par Microsoft, d’au tant plus que plusieurs outils Microsoft permettent le déploiement des patchs de sécurité au sein de la famille Windows.

Automatiser MBSA

Vous êtes un administrateur système chargé d’évaluer et de recueillir une grande variété de données de sécurité concernant les systèmes de votre réseau. Vous aimeriez bien scruter vos systèmes chaque fois qu’ils redémarrent puis présenter les résultats ainsi obtenus, sur un site Web où vous et vos collaborateurs pourriez les examiner (et, éventuellement, remédier aux vulnérabilités). Pour créer un programme de scanning automatisé du réseau, vous pouvez utiliser Microsoft Baseline Security Analyzer 1.2.1 conjointement à des exemples de scripts MBSA de Microsoft.
N’allez surtout pas compter sur le seul MBSA pour la sécurité de votre réseau : il n’est pas à la hauteur de cette responsabilité. Mais vous verrez qu’il est capable de quelques trucs étonnants et qu’il peut vous fournir des données très utiles pour sécuriser le réseau.Si vous voulez des informations plus élémentaires sur MBSA avant d’entreprendre ce projet, voyez l’encadré exclusif Web « MBSA Introduction » (www.itpro.fr Club abonnés)

Commençons par diviser notre projet en trois tâches :
1. Télécharger MBSA et l’installer sur chaque ordinateur cible manuellement ou par une méthode automatisée telle qu’un GPO (Group Policy Object) d’installation de logiciel. Télécharger des modèles de scripts MBSA.
2. Ecrire un script de démarrage qui exécute l’utilitaire ligne de commande MBSA (mbsacli. exe) à chaque redémarrage de l’ordinateur et qui sauvegarde les résultats du scanning dans un partage de réseau.
3. Exécuter une tâche planifiée quotidiennement qui utilise un modèle de script MBSA pour traiter les données sur le share du réseau et les transformer en rapports HTML visibles sur un serveur Web.

Chaque réseau étant différent, vous devrez adapter cet exemple à votre cas particulier. Ainsi, ces étapes supposent que les utilisateurs ne sont pas des administrateurs locaux et qu’ils ne peuvent donc pas exécuter les scripts sous leurs permissions utilisateur. Il en découle que la plus grande partie de l’installation et du scanning de MBSA se produit via les GPO AD (Active Directory) fonctionnant avec des privilèges élevés.

MIIS, la gestion des identités par Microsoft

De nos jours, les utilisateurs des systèmes d’information d’entreprise – comme les administrateurs – doivent jongler entre plusieurs identités (ou comptes utilisateur) afin d’accéder aux différentes ressources, que ce soient la messagerie, les partages (de fichiers ou d’imprimantes) ou encore les PGI. Du côté des administrateurs, la difficulté est de maintenir l’ensemble de ces bases utilisateurs hétérogènes à jour et de rendre les accès aussi « invisibles » que possible aux utilisateurs.

Pour répondre à cette problématique, Microsoft propose, depuis environ 4 ans, MIIS (Microsoft Identity Integration Server), serveur d’intégration des identités. Cette solution est disponible en 2 versions, dont une gratuite. Microsoft Identity Integration Server est le successeur de Microsoft MetaDirectory Services 2.xx.

Interface d’ajout d’utilisateur – USERADD

Lors de l’embauche d’une nouvelle personne dans une société, la première chose demandée au service informatique est la création d’un compte de domaine. Cette tâche bien que très simple, possède un impact important sur la sécurité. Voici comment se déroule à peu près le processus de création de compte. Une demande contenant les noms des personnes est soumise au service informatique par les ressources humaines ou bien par un chef de service.

Suivant la procédure, le compte est créé en respectant les règles de nommage (longueur du compte de connexion, format,…), de mot de passe par défaut (aléatoire la plupart du temps, longueur, complexité) et de droit en général (en utilisant les groupes de domaines). Cette partie ne pose en général pas de problème et peut être automatisée.

Gros plan sur le SCW

Le SCW (Security Configuration Wizard) est le dernier membre de la famille des outils de configuration de sécurité de Microsoft. Il est inclus dans Windows Server 2003 Service Pack 1 (SP1), dont la diffusion est prévue dans la première moitié de 2005. SCW guide les administrateurs dans leur travail de configuration, de modification, d’application, et de rappel des stratégies de sécurité sur les serveurs Windows 2003 SP1.Plus particulièrement, il durcit les serveurs chargés de rôles particuliers, comme Microsoft IIS et Microsoft Exchange Server. Voyons donc quelle est la place de SCW parmi les autres outils de configuration de sécurité de Microsoft et pourquoi vous pourriez l’adopter.

Quelques conseils pour resserrer la sécurité des comptes utilisateur

Windows essuie beaucoup de critiques sur son manque de sécurité. Pourtant, en réalité, la plate-forme Windows possède tous les ingrédients d’un système d’exploitation sûr. Qu’on en juge : puissantes fonctions de gestion des utilisateurs et des groupes, mécanismes de contrôle d’accès détaillés, séparation des droits très poussée, et de robustes moyens d’authentification et de cryptage. Mais il ne suffit pas de posséder tous ces moyens : pour optimiser la sécurité système, les administrateurs et les applications doivent utiliser réellement les fonctions.L’accès utilisateur constitue l’un des problèmes les plus courants. L’authentification de l’utilisateur est à la base du mécanisme de sécurité de Windows. Ainsi, si un intrus découvre un mot de passe Administrator et se connecte en se faisant passer pour cet utilisateur, il s’appropriera l’accès administratif de la machine. De plus, si un utilisateur peut déplacer son compte dans le groupe Administrators, il pourra alors accéder à toutes les machines auxquelles le groupe a droit. Par conséquent, la sécurisation de Windows passe en grande partie par celle des comptes utilisateur. Voici les mesures à prendre pour cela.

Encore d’autres déclencheurs d’événements

Dans l’article « Tirer sur le déclencheur d’événements », mars 2005, je présentais les déclencheurs d’événements une fonction de Windows Server 2003, Windows XP et Windows 2000, qui permet de configurer l’OS afin qu’il exécute certains programmes quand certains ID d’événements se produisent. Ce mois-ci, bouclons notre discussion sur eventtriggers.exe en nous intéressant à d’autres options.

Tirer sur le déclencheur d’évènements

Les journaux d’événements sont d’excellents outils pour suivre à la trace la marche de votre système. Mais ils ont un point faible : il faut les consulter pour savoir si quelque chose d’important s’est produit. Presque tous les administrateurs Windows que je connais ont, un jour ou un autre, passé des heures à tirer au clair un étrange comportement du système pour, finalement, penser à consulter les journaux d’événements, … et y trouver la réponse. Mais supposez que certains genres d’événements soient tellement importants que vous vouliez pouvoir les traiter sans être obligés de consulter les journaux d’événements. Si seulement vous pouviez configurer le système de telle sorte qu’il réagisse immédiatement à certains événements !C’est tout à fait possible avec un déclencheur d’événement. Un tel dispositif dit en substance à votre système : « Quand cet événement se produit, exécuter ce programme ». Supposons que vous soyez sur la piste d’un pirate et que vous vouliez être informés de chaque défaillance de logon. Vous pourriez créer un déclencheur d’événement pour utiliser Net Send chargé de vous délivrer un message pop-up ou pour utiliser un programme comme Blat pour vous envoyer un message e-mail à partir d’une ligne de commande. Mais comment créer un déclencheur d’événement ? En utilisant eventtriggers.exe, qui est incluse dans Windows Server 2003 et Windows XP.

Mettez votre journal à  distance au régime

Dans l’article « Journal à distance », (iSeries News, mars 2006), je traitais de l’utilisation du journal à distance dans le cas d’une machine de production, où l’on veux employer un mécanisme de transport capable d’envoyer les entrées du journal, en temps réel, à un emplacement éloigné (distant) qui héberge une réplique des éléments de base de données les plus critiques : fichiers stream d’octets, zones de données et files d’attente de données.Voyons maintenant comment façonner un tel environnement de telle sorte que chaque gramme d’énergie investi dans votre couche de transport à distance soit utilisé au mieux. En quelque sorte, nous essayons de fabriquer du muscle et de perdre du gras.

Pour qu’un tel transport soit efficace, vous pouvez instaurer quelques étapes de personnalisation pour réduire le gras qui, sans cela, emprunterait le tuyau de communication entre la source et la machine cible. Chaque étape contribuera à produire un flux de journal plus maigre et plus concentré.

Ouvrir les connexions à  distance

Si, comme beaucoup de vos homologues, vous êtes chargés de l’administration et du support du poste et si vous êtes aussi débordés qu’eux, vous avez probablement relégué certaines fonctions utilisateur de Windows XP sur le pourtour de l’écran radar, pour vous concentrer sur des sujets plus importants. Remote Desktop est une de ces fonctions jugées de faible priorité dans la plupart des sites IT, et ce pour plusieurs raisons. La principale est peut-être la suivante : l’idée de laisser des utilisateurs se connecter à leurs postes à partir du domicile, de l’hôtel ou de tout autre endroit, suscite toujours de grandes craintes pour la sécurité.Si votre entreprise ne permet pas une telle connectivité, vous pouvez mettre en avant la politique maison pour repousser les utilisateurs désireux de se connecter à partir d’un lieu distant. Mais beaucoup d’entre nous devront satisfaire la frange d’utilisateurs dont les demandes ont l’onction la haute direction, et devront bon gré mal gré mettre en oeuvre des fonctions délicates. Dans cet article, je vais essayer d’atténuer vos craintes à propos de la connectivité à distance, en expliquant ce qui fait fonctionner Remote Desktop et comment configurer sa sécurité. Vous pourriez même trouver dans Remote Desktop d’excellentes prestations pour le support à distance des systèmes utilisateur.

Conférences Internet et Sécurité

Tester un port UDP via TelNet, Trucs & Astuces sur iTPro.fr

Comment tester un port UDP via TelNet, suivez les conseils des experts iTPro.fr et ces Trucs & Astuces !

8 conseils et astuces en matière de sécurité

Le début d’année est l’occasion d’offrir et de partager certaines choses. Le monde de la sécurité, particulièrement celle de l'OS/400 et l'i5/OS, m’a beaucoup donné : des amis et d’anciens collègues chez IBM, de nouvelles amitiés avec des clients, l’occasion de découvrir de nombreux pays dans le monde, un superbe partenaire professionnel, et une carrière gratifiante. La « sécurité » ne vous offre peut-être pas les mêmes satisfactions et joies professionnelles et personnelles, mais elle présente certains aspects positifs pour vous aussi.

La perfection par la pratique

La réussite dans les affaires, dépend directement de la disponibilité des systèmes informatiques. Et l’objectif commun des entreprises d’aujourd’hui est de ne subir aucun temps d’immobilisation. Les sinistres peuvent frapper à tout moment, n’importe où. On ne parle pas forcément d’une catastrophe majeure, du genre inondation ou tremblement de terre. N’importe quel incident ou sinistre peut faire perdre beaucoup d’argent à toute entreprise. Pour réduire le risque, il faut en premier lieu disposer d’un solide plan de reprise après sinistre (DRP, disaster recovery plan). Un DRP est un ensemble de processus développé pour votre société, qui décrit les actions que l’équipe informatique doit mener pour reprendre rapidement l’exploitation après une importante interruption du service. En dressant la liste des activités à suivre, votre entreprise peut réduire les pertes causées par l’immobilisation. Mais une fois que l’on a développé et mis en oeuvre un DRP, le travail ne fait que commencer : il faut le tester – pas juste une fois, mais régulièrement – pour refléter la dynamique de vos environnements informatiques.

Sauvegarde : quelques scénarios catastrophe

Les récits que vous allez lire sont véridiques. Pour ne froisser personne, les noms ont été changés.
Voila plusieurs années, une société appelée Keypro Computer a connu une défaillance catastrophique du disque dur, la veille d’une déclaration fiscale importante. La seule copie des données nécessaires à la déclaration se trouvait sur ce disque dur et celui-ci n’était pas sauvegardé. L’excuse de Keypro ? « Nous avons oublié ». Le coût de récupération des données à partir des copies papier ? 400 000 dollars.Sur Internet, les récits de catastrophes liées à la sauvegarde (ou plutôt à son absence) abondent. Certains sont sûrement de pures inventions. Mais beaucoup sont authentiques, particulièrement lorsque le narrateur donne des informations négatives pour lui ou pour ses propres intérêts. En tant que professionnels IT, nous ne pouvons pas nous permettre « d’oublier ». A la clé il y a des amendes, voire la prison.
Pour vous éviter d’être la proie de ces lacunes de sauvegardes courantes, j’ai classé les délits de sauvegarde les plus courants et j’ai créé une étude « de cas » composite pour chacun d’eux. Aujourd’hui, ce ne sont pas des actes délictueux, mais ils pourraient bien le devenir bientôt. Lisez-les et veillez à ce qu’aucun d’entre eux ne devienne votre propre mésaventure !