CHAPITRE IV : MISE EN OEUVRE DE STRATEGIE DE
SECURISATION
IV.1. NOTIONS SUR LES CONCEPTS DE LA SECURITE
INFORMATIQUE D'UN SERVEUR
A. Notion sur les concepts
La sécurité informatique c'est l'ensemble des
moyens mis en oeuvre pour minimiser la vulnérabilité d'un
système contre des menaces accidentelles ou intentionnelles. En anglais
: deux termes différents.
Sécurité = " Safety» :
Protection de systèmes informatiques contre les accidents dus a
l'environnement, les défauts du système.
= Sécurité = "Security"
Protection des systèmes informatiques contre des actions
malveillantes intentionnelles.
Pour certains, confrère la sécurité c'est
s'assurer que celui qui modifie ou consulte des données du
système en a l'autorisation et qu'il peut le faire correctement car le
service est disponible
Les objectifs d'une sécurité informatique est de
:
- Comprendre la problématique de la
sécurité de systèmes Informatiques;
- Donnez quelques stratégies a mettre en oeuvre pour
sécuriser les systèmes informatiques
B. Vulnérabilité des
systèmes
- Cout de sécurité : cher
- pas a 100%, souvent inefficace
- Politique de sécurité complexe et basée
sur des jugements humains - Sécurité n'est pas une
priorité: risque
- Erreur humaine: conception, configuration, gestion
- Nouvelle technologies (vulnérable) émergent en
permanence
- Pas d'infrastructure de clefs et autres éléments
de cryptographies
- Interdiction dans certains pays de la cryptographie pour l
exportation, par exemple
C. Aspects generaux de la securite
informatique
1. Les menaces
La menace represente le type d'action susceptible de
nuire dans l'absolu. Autrement dit l'ensemble des actions de
l'environnement d'un système pouvant nuire
La vulnérabilité represente
le niveau d,exposition face a la menace
dans un contexte particulier. La contre-mesure est
l,ensemble des actions mises en oeuvre en prevention de la
menace
- Risques materiels accidentels
Les techniques de protection sont assez bien maRtrisees ;
incendie, explosion, Inondation, tempete, foudre
- Vol et sabotage de materiels
Vol d'equipements materiels, destruction d'equipements,
destruction de supports de
sauvegarde
2. L'authentification
C'est la propriete qui assure que seules les entites
autorisees ont acc/s au systeme. L'authentification protege
de l'usurpation d'identit".
Signature (au sens classique) =
Authentification:
La premiere idee contenue dans la notion habituelle de signature
est que le signataire est le seul I pouvoir realiser le
graphisme (caracterisation psychomotrice)...
Entites a authentifier : une personne, un
processus en execution, une machine dans un reseau, Ne
pas confondre authentification avec
confidentialite ou int6grit6.
L'authentification c'est un moyen cle de la securite pour
assurer: la confidentialite Celui qui lit une donnee est bien
celui qui est autorise a le faire (pour chaque fichier)
L'integrite : les donnees ne sont pas
alternees
Sous Windows Server® 2003, nous pouvons utiliser
l'Assistant Configuration de la securite (SCW, Security Configuration Wizard)
pour reduire la surface d'attaque de vos serveurs en modifiant les parametres
de la securite pour les roles, les services de role et les fonctionnalites. Cet
Assistant vous permet de maintenir une configuration de serveur securisee apres
l'installation initiale du role a l'aide du Gestionnaire de serveur.
Ce guide fournit des procedures pas a pas pour l'utilisation
de l'Assistant Configuration de la securite afin de creer et d'appliquer une
strategie de securite sur un serveur prototype dans un environnement de
test.
3. Vue d'ensemble des scénarios
Pour utiliser en toute sécurité des
technologies touchant les parametres, la configuration ou le fonctionnement de
plusieurs ordinateurs, une planification s'impose avant le déploiement.
L'utilisation en toute sécurité de l'Assistant Configuration de
la sécurité suppose de tester les outils et stratégies
avant de les appliquer dans un environnement de production.
Exécutez les étapes de ce guide
(scénario de test) a l'aide d'un serveur prototype qui représente
les configurations serveur de votre environnement de production. Lorsque vous
avez vérifié que la stratégie de l'Assistant Configuration
de la sécurité que vous avez créée et testée
dans ce scénario de test apporte la sécurité
nécessaire a votre serveur prototype, vous pouvez appliquer la ou les
stratégies créées dans l'environnement de test aux
serveurs de votre environnement de production.
Au cours du scénario, vous allez effectuer les
tâches suivantes :
- Créer, a l'aide de l'Assistant Configuration de la
sécurité, une stratégie de sécurité unique
qui
contient tous les parametres de sécurité de votre
choix destinée a un serveur et basée sur les roles du serveur
- Appliquer la stratégie de sécurité a un
ordinateur cible a l'aide de l'Assistant Configuration de la
sécurité et de l'outil en ligne de commande Scwcmd
- Afficher et analyser la stratégie de
sécurité a l'aide de l'outil en ligne de commande Scwcmd
- Enregistrer une stratégie de sécurité au
format d'objet de stratégie de groupe (GPO, Group Policy Object) a
l'aide de l'outil en ligne de commande Scwcmd
4. Création d'un prototype de
stratégie
Dans le contexte de l'Assistant Configuration de la
sécurité, la création d'un prototype de stratégie
revient a créer une stratégie de sécurité sur un
ordinateur prototype pour un groupe de serveurs partageant le ou les
mêmes roles. L'ordinateur prototype est un serveur de modèle dont
la configuration est représentative de chaque ordinateur du groupe.
5. Composants
Vous pouvez créer et appliquer votre stratégie de
sécurité a l'aide de trois composants
principaux :
· Assistant Configuration de la sécurité
· Outil en ligne de commande Scwcmd
· Base de données de configuration de la
sécurité
6. Assistant Configuration de la
sécurité
Cet Assistant vous guide au cours des différentes
étapes de création, de modification, d'application ou
d'annulation d'une stratégie de sécurité basée sur
les roles du serveur configurés a l'aide du Gestionnaire de serveur. Les
stratégies de sécurité créées avec
l'Assistant Configuration de sécurité sont des fichiers XML qui,
lorsqu'ils sont appliqués, configurent les services, la
sécurité du réseau, des valeurs de Registre
spécifiques et la stratégie d'audit.
Dans ce scénario, vous allez utiliser l'Assistant
Configuration de la sécurité pour créer et appliquer une
stratégie au serveur prototype.
7. Outil en ligne de commande Scwcmd
L'Assistant Configuration de la sécurité inclut
l'outil en ligne de commande Scwcmd.exe. Vous pouvez utiliser Scwcmd pour les
tâches suivantes :
· Configurer un ou plusieurs serveurs a l'aide d'une
stratégie générée par l'Assistant
· Analyser un ou plusieurs serveurs par rapport a une
stratégie générée par l'Assistant
· Consulter des résultats d'analyse au format
HTML
· Restaurer des stratégies
générées par l'Assistant
· Transformer une stratégie
générée par l'Assistant en fichiers pris en charge par la
Stratégie de groupe
· Enregistrer une extension de base de données de
configuration de la sécurité avec l'Assistant. Scwcmd vous permet
de configurer, d'analyser ou de restaurer une stratégie sur un serveur
distant exécutant Windows Server 2003.
Dans ce scénario, Scwcmd vous permet d'effectuer les
tâches suivantes :
· Appliquer une stratégie de sécurité
a un ou plusieurs serveurs distants.
· Analyser et consulter la stratégie de
sécurité d'un serveur.
· Enregistrer une stratégie au format des objets de
stratégie de groupe.
8. Base de données de configuration de la
sécurité
La base de données de configuration de la
sécurité est composée d'un ensemble de fichiers XML qui
répertorient les services et les ports nécessaires a chaque role
de serveur pris en charge par l'Assistant Configuration de la
sécurité. Ces fichiers sont installés dans le
répertoire %Systernroot%\Security\Msscw\Kbs. Une fois un
serveur sélectionné, il est analysé pour déterminer
les éléments suivants :
· les roles installés sur le serveur ;
· les roles susceptibles d'être remplis par le
serveur ;
· les services installés mais non inclus dans la
base de données de configuration de la sécurité ;
· les adresses IP et les sous=réseaux
configurés pour le serveur.
L'Assistant Configuration de la sécurité combine
ces informations spécifiques au serveur dans un fichier XML unique
appelé Main.xml. Il affiche Main.xml si vous cliquez sur
Afficher la base de données de configuration dans la
page Traitement de la base de données de configuration de la
sécurité.
Nous pouvons élargir la base de configuration de la
sécurité en créant des définitions de role
personnalisées pour des applications non fournies par Microsoft.
L'Assistant Configuration de la sécurité inclut un nombre
d'extensions dans le répertoire %Systemroot%\Security\Msscw\Kbs
qui permettent de créer de nouvelles extensions (définitions de
role).
9. Présentation de la technologie
Cette section décrit brievement d'autres technologies
associées a la création et l'application des stratégies de
sécurité a l'aide de l'Assistant Configuration de la
sécurité. Lorsque vous créez une stratégie de
sécurité a l'aide de l'Assistant, vous disposez de
différentes options pour appliquer cette stratégie. Cette section
examine ces options et leur impact sur les r;gles de priorité qui
s'appliquent aux parametres de sécurité.
10. Console de gestion des stratégies de
groupe
La console de gestion des stratégies de groupe (GPMC,
Group Policy Management Console) est intégrée au système
d'exploitation Windows Server 2003. Nous pouvons utiliser la console pour lier
des objets de stratégie de groupe aux unités d'organisation. La
liaison est le mécanisme qui permet d'appliquer les objets de
stratégie de groupe aux utilisateurs et aux ordinateurs dans les
unités d'organisation.
11. Modeles de sécurité
Outre la création de stratégies de
sécurité, l'Assistant vous permet aussi d'appliquer des
parametres de sécurité a l'aide de modeles de
sécurité. Ces modeles sont des fichiers .inf situés par
défaut dans %Systemroot%\security\templates. Vous pouvez
consulter les parametres de modèle de sécurité dans la
console GPMC a l'emplacement suivant Nom_GP O\Configuration
ordinateur\Parametres Windows\Parametres de sécurité.
Vous pouvez apporter certaines modifications aux parametres de
sécurité a l'aide de l'Assistant
Configuration de la
sécurité ou du composant logiciel enfichable Modeles de
sécurité, les autres
modifications requièrent
exclusivement l'Assistant ou le composant logiciel enfichable. Inversement,
les
modeles de sécurité peuvent inclure certains
éléments tels que les stratégies de restriction logicielle
qui ne peuvent pas être configurées a l'aide de l'Assistant
Configuration de la sécurité. Certaines modifications de
configuration, telles que les stratégies d'audit, peuvent être
apportées a l'aide de l'Assistant Configuration de la
sécurité ou en joignant un modèle de
sécurité lors de la création ou de la modification d'une
stratégie générée par l'Assistant, ou a l'aide des
deux méthodes. Cependant, si vous utilisez ces deux méthodes, les
parametres de stratégie en conflit sont résolus a l'aide des
regles de priorité.
12. Instructions relatives aux
priorités
Dans un environnement Active Directory qui utilise la
stratégie de groupe, l'Assistant Configuration de la
sécurité et plusieurs modeles de sécurité,
appliquez les consignes suivantes pour anticiper l'ordre des priorités
des parametres de sécurité :
- La priorité de la stratégie de
sécurité appliquée par le biais des objets de
stratégie est plus
élevée que la stratégie de
sécurité appliquée a distance par le biais de l'Assistant
Configuration de la sécurité ou de l'outil en ligne de commande
Scwcmd a l'aide d'un fichier de stratégie (fichiers .xml).
- La méthode de création de chaque objet de
stratégie de groupe (Scwcmd ou autre) n'a pas d'incidence sur l'ordre de
priorité des objets. Seules les regles d'héritage Active
Directory classiques (of., les objets de stratégie de groupe
d'unité d'organisation, de domaine, de site et locaux sont
appliqués les uns apres les autres) et l'ordre des liaisons
déterminent l'ordre de priorité des objets.
- La priorité de la stratégie de
sécurité définie dans l'Assistant Configuration de la
sécurité est
plus élevée que la stratégie
conflictuelle définie dans les modeles de sécurité .inf
joints au fichier de stratégie .xml.
- Si plusieurs modeles de sécurité sont
attachés au fichier .xml, un modèle dont la priorité est
plus élevée dans la botte de dialogue Inclure les modeles
de sécurité a priorité sur un modèle dont
la priorité est plus basse dans la liste.
13. Gestionnaire de serveur
Dans Windows Server 2003, les roles de serveur sont
configurés avec des parametres de sécurité
recommandés par défaut, et ces parametres sont appliqués
des l'installation du role. Lorsque vous configurez un role, le Gestionnaire de
serveur installe automatiquement tous les services et fonctionnalités
nécessaires, et configure automatiquement les regles de pare=feu
nécessaires a la prise
en charge du nouveau role. De la même maniere, lorsque
vous utilisez le Gestionnaire de serveur pour supprimer un role
spécifique, les services de serveur et la configuration du pare=feu sont
modifiés pour garantir la sécurité de la configuration du
serveur et l'absence d'impact sur le fonctionnement des autres roles de
serveur. Toutefois, nous ne pouvons pas personnaliser les parametres de
sécurité a l'aide du Gestionnaire de
périphériques.
Le Gestionnaire de serveur et l'Assistant Configuration de la
sécurité sont des outils complémentaires. L'objectif du
Gestionnaire de serveur est de faciliter le déploiement des serveurs,
alors que l'Assistant Configuration de la sécurité est un outil
chargé de la maintenance a long terme des parametres de
sécurité. L'Assistant Configuration de la sécurité
permet un contrôle précis sur la surface d'attaque d'un serveur et
vous permet de sécuriser un serveur contre des attaques en fonction des
besoins en sécurité de votre organisation.
IV.2. REPARTITION DES DIFFERENTS SERVICES ET RESSOURCES
EN UNITE D'ORGANISATION ET CREATION D'UTILISATEUR
a) L'unit6 d'organisation
Une unité d'organisation est un objet conteneur
utilisé pour organiser les objets au sein du domaine. Il peut contenir
d'autres objets comme des comptes d'utilisateurs, des groupes, des ordinateurs,
des imprimantes ainsi que d'autres unités d'organisation.
Les unités d'organisation permettent d'organiser de
fa<on logique les objets de l'annuaire (ex : représentation physique
des objets ou représentation logique).
Les unités d'organisation permettent aussi de faciliter la
délégation de pouvoir selon l'organisation des objets.
En ce qui concerne notre projet, nous aurons huit (8)
unités d'organisations a savoir :
1. Les Cabinets ;
2. Le secrétariat ;
3. Le pool informatique
4. Finances, Budget et du personnel ;
5. Les commissions ;
6. Affaires sociales et intendance ;
7. Greffe ;
8. Site web.
b) Creation des utilisateurs
Le compte d'utilisateur permet a un utilisateur physique
d'ouvrir une session unique sur le domaine et d'accéder aux ressources
partagées. Un nom d'utilisateur principal ou UPN (User Principal Name)
est un nom d'ouverture de session. Il doit être unique au sein de la
forêt. Il se décompose en deux parties séparées par
le caractère @ : Le préfixe UPN, Le suffixe UPN
IV.3. MISE EN PLACE DES STRATEGIES AU SEIN DES UNITES
D'ORGANISATION
Pour une administration a distance, nous pouvons utiliser les
unités d'organisation des services de domaine Active Directory® (AD
DS) pour appliquer facilement la stratégie générée
par l'Assistant aux serveurs avec des objets de stratégie de groupe. Une
fois que nous avons une stratégie prototype pour un serveur a l'aide de
l'Assistant, nous pouvons la convertir en un objet de stratégie de
groupe a l'aide de l'outil en ligne de commande Scwcmd, il
nous suffit ensuite de lier l'objet a une ou plusieurs unités
d'organisation.
IV.4. REPLICATION DU SERVEUR ACTIVE
DIRECTORY
Dans un domaine Windows 2003, un ou plusieurs
contrôleurs de domaine hébergent la base de données Active
Directory. La duplication répercute les modifications apportées a
la base de données Active Directory depuis un contrôleur de
domaine sur tous les autres contrôleurs de domaine du domaine et ce, de
fagon transparente pour les administrateurs et les utilisateurs.
Cette duplication est qualifiée de multimattres car
plusieurs contrôleurs de domaine (appelés mattres ou
répliquas) ont la capacité de gérer ou modifier les
mêmes informations d'Active Directory. La duplication peut se produire a
différents moments.
Par exemple, lors de l'ajout d'objets sur un contrôleur
de domaine, on peut dire que la copie de la base de données Active
Directory qu'il contient a subit une mise a jour d'origine. Lorsque cette mise
a jour est dupliquée sur un autre répliqua du domaine, on dira
alors que ce dernier a effectué une mise a jour dupliquée.
La mise a jour effectuée sur le second contrôleur
peut aussi être dupliquée sur un troisième contrôleur
de domaine.
| 
