Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d'informations en








télécharger 1.21 Mb.
titreBienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d'informations en
page3/26
date de publication26.03.2017
taille1.21 Mb.
typeDocumentos
ar.21-bal.com > loi > Documentos
1   2   3   4   5   6   7   8   9   ...   26

Sécurité physique

Dans tout environnement où des utilisateurs non autorisés peuvent accéder physiquement aux ordinateurs il existe une insécurité inhérente. Une agression de type « refus de service » très efficace consiste à tout simplement déconnecter l'alimentation d'un serveur ou à prendre les unités de disque. Le vol de données (et le refus de service) peut être le fait d'une personne qui vole un serveur ou même un ordinateur portable.

Par conséquent, la sécurité physique doit être considérée comme un aspect fondamental de votre stratégie de sécurité globale. Une précaution prioritaire consiste à sécuriser physiquement l'emplacement des serveurs. Il peut s'agir de salles de votre bâtiment ou de centre de données à part entière.

Examinez également l'accès aux bâtiments de votre organisation. Si une personne peut pénétrer dans un bâtiment, elle aura probablement de nombreuses occasions de lancer une attaque sans même savoir se connecter au réseau. Voici quelques attaques possibles :

● Refus de service (par exemple, en déconnectant l'alimentation d'un serveur ou en branchant un ordinateur portable au réseau d'un serveur DHCP)

● Vol de données (par exemple, en subtilisant un ordinateur portable ou en analysant les paquets de tout le réseau interne)

● Exécution de code malveillant (par exemple, en lançant un ver depuis l'organisation elle-même)

● Vol d'informations de sécurité importante (par exemple, des bandes de sauvegarde, des manuels d'exploitation et des schémas de réseau)

Dans le cadre de votre stratégie de gestion des risques, vous devez déterminer le niveau de sécurité physique correct pour votre environnement. Voici quelques mesures de sécurité physique possibles et cumulables :

● Sécuriser toutes les zones du bâtiment (cartes magnétiques, dispositifs biométriques, personnel de garde)

● Imposer aux visiteurs une escorte de chaque instant

● Imposer aux visiteurs de s'enregistrer sur tous les dispositifs informatiques de sécurité à leur arrivée

● Imposer aux employés de déclarer tous les périphériques portables qu'ils possèdent

● Attacher physiquement tous les ordinateurs de bureau et les portables à des tables

● Exiger que tout dispositif de stockage de données qui sort du bâtiment soit enregistré au préalable

● Placer les serveurs dans des pièces distinctes accessibles uniquement aux administrateurs

● Assurer la redondance des connexions Internet, des alimentations, des équipements anti-incendie, etc.

● Assurer la protection contre les catastrophes naturelles et les attaques terroristes

● Protéger l'accès aux zones où pourrait être perpétrée une attaque de type « refus de service » (par exemple, les zones où des câbles sortent du bâtiment principal)

Stratégies et procédures

Presque toutes les mesures évoquées jusqu'ici visent à empêcher l'accès non autorisé aux systèmes. Cependant, votre environnement comprend bien entendu des personnes qui ont besoin d'un droit d'accès élevé aux systèmes. Si vous ne pouvez pas garantir que ces personnes ne feront pas mauvais usage des droits qui leur sont accordés, votre stratégie de sécurité, quelle qu'elle soit, présente une sérieuse faille.

Avant d'engager un nouvel employé, veillez à ce qu'il soit soumis à une enquête de sécurité d'autant plus rigoureuse que le poste exige des droits d'accès importants aux systèmes.

Pour le personnel déjà en poste, il est essentiel de bien expliquer votre stratégie de sécurité afin que chacun comprenne ce qui est autorisé ou interdit (et de préférence pourquoi). Cet aspect est important pour deux raisons : D'une part, si un employé ne sait pas ce qui est interdit, il peut très bien commettre involontairement des actes qui compromettent la sécurité de votre environnement. D'autre part, si un employé agresse volontairement votre environnement informatique et que son acte n'est pas explicitement interdit par le règlement de l'entreprise, vous risquez d'avoir du mal à appliquer des mesures répressives.

Dans un environnement Windows 2000, vous pouvez contrôler très précisément les droits d'administration de vos utilisateurs. Veillez à définir scrupuleusement l'étendue des droits d'administration dont dispose chaque membre de votre personnel informatique. Aucun employé ne doit bénéficier d'accès supérieurs à ceux strictement nécessaires à l'exercice de ses fonctions.

La sensibilisation des utilisateurs aux problèmes de sécurité peut passer par un programme de présentation suivi de rappels réguliers et de l'affichage bien en évidence des mises à jour apportées aux procédures de sécurité. Il est vital que chaque membre du personnel soit conscient de jouer un rôle dans le maintien de la sécurité de l'organisation.

Remarque : L'aide de travail 2, dresse la liste des erreurs les plus couramment commises sur le plan de la sécurité dans une organisation. Ces « gaffes » augmentent considérablement le facteur de risque. Lorsque vous définissez vos stratégies de sécurité, réduisez au maximum la probabilité d'occurrence de ces erreurs.

Méthodes d'agression courantes et mesures préventives

Lors de l'élaboration d'une stratégie de défense approfondie, vous devez tenir compte des méthodes utilisées par les agresseurs et vous protéger contre les attaques les plus courantes. Cette section aborde quelques types d'attaques et propose des mesures de protection appropriées.

Remarque : L'aide de travail 3, « Attaques et contre-mesures », comprend un tableau des principales méthodes d'exploitation des vulnérabilités techniques et des contre-mesures possibles pour chacune d'elles.

Collecte d'informations

Les agresseurs recherchent toujours des informations sur votre environnement. Ces informations sont parfois utiles en elles-mêmes ; d'autres fois, elles permettent simplement d'accéder à d'autres informations et ressources.

Pour empêcher cette collecte d'informations, vous devez restreindre l'accès de personnes non autorisées à vos ressources depuis l'extérieur de l'organisation. Voici quelques méthodes possibles :

● Faire en sorte que seuls des équipements spécifiques et identifiés du réseau permettent la connectivité à distance. Un utilitaire d’analyse des connexions modem doit vérifier tous les préfixes de société pour trouver les équipements non autorisés. Les équipements d'accès distant peuvent également être détectés par l'activation de la détection par balayage dans le système de téléphonie si cette fonction est disponible.

● Désactiver NetBIOS sur TCP/IP, y compris les ports 135, 137, 139 et 445, sur les ordinateurs qui se connectent directement à Internet à travers le pare-feu externe. Il est ainsi plus difficile pour les personnes de l'extérieur d'utiliser des techniques réseau standard pour se connecter aux serveurs.

● Activer uniquement les ports 80 et 443 sur les cartes réseau côté Internet et sur le pare-feu pour le trafic destiné à une ferme Web. Cela permet d'éliminer la plupart des techniques de reconnaissance basées sur les ports.

● Revoir les informations du site Web public pour vérifier que :

● Les adresses électroniques utilisées sur le site ne sont pas des comptes d'administration.

● La technologie du réseau n'est pas indiquée.

● Les informations d'ordre général sur la société ne peuvent pas être utilisées pour découvrir ou déduire des caractéristiques du système de sécurité. Il s'agit notamment des informations sur les événements actuels et récents. Par exemple, si le site Web annonce que votre société vient d'en acquérir une autre, les agresseurs peuvent viser cette nouvelle acquisition dans l'espoir que son réseau a été connecté en hâte au nouveau réseau d'entreprise et qu'il est donc moins sécurisé.

● Vérifier les publications des employés dans les groupes Usenet pour évaluer les informations qu'ils exposent.

● Gérer le type de contenu placé dans le code source du site Web de manière à empêcher les agresseurs d’examiner ce code (une technique parfois appelée « analyse de source ») pour obtenir des informations précieuses. L'équipe de sécurité doit notamment rechercher dans le code les commentaires inappropriés, les mots de passe incorporés et les balises masquées.

● Vérifier les informations fournies au public concernant vos enregistrements d'adresse IP et de nom de domaine.

● Garantir que les agresseurs ne peuvent pas interroger le serveur DNS pour obtenir le réseau de référence ni forcer ce dernier à effectuer un transfert de zone complet. En vidant tous les enregistrements du DNS, un agresseur peut avoir une bonne vision des ordinateurs les plus faciles à cibler. Pour empêcher l'interrogation du service DNS, vous pouvez assigner des droits au serveur DNS de Windows 2000 à l'aide de l'option Notify et ne permettre les transferts de zones que vers des serveurs autorisés. Une autre approche consiste à implémenter un serveur DNS en lecture seule, puis à mettre en place des stratégies et des procédures pour le mettre à jour.

● Revoir le document RFC 2196 « Site Security Handbook » qui contient des indications importantes en matière de stratégie de sécurité. Une société qui traite avec le public doit exposer un certain niveau d'informations. Il est important de fournir uniquement les informations nécessaires et non celles qui risquent d'être utilisées de manière malveillante.

● Gérer le type d'informations fournies aux personnes qui essaient d’interroger le réseau à l'aide d'utilitaires de détermination d'itinéraire qui utilisent le paramètre de durée de vie TTL (time-to-live) pour suivre un paquet IP d'un hôte au suivant, puis construisent une image du réseau à partir des résultats obtenus.

Remarque : le document RFC 2196 est disponible sur le site Web Request for Comments indiqué dans la section « Informations complémentaires », à la fin de ce chapitre.

Limitation des possibilités de scannage et d'obtention d'informations importantes

Les protocoles TCP (Transmission Control Protocol) et UDP (User Datagram Protocol) utilisent tous les deux des ports pour communiquer. À l'aide de scanneurs de ports, les agresseurs peuvent découvrir les serveurs de votre environnement qui sont à l'écoute, puis utiliser ces informations pour détecter des vulnérabilités.

Ces scanneurs permettent d'obtenir différents types d'informations : les ports à l'écoute, les protocoles présents, voire le système d'exploitation et la version de l'hôte. Le fait d'identifier les ports, les protocoles et le système d'exploitation d'un hôte permet de découvrir de nombreuses vulnérabilités qui seraient peut-être restées inaperçues si l'équipement n'avait pas été analysé par le scanneur.

Le tableau suivant indique quelques-unes des principales méthodes, ce qu'elles font et dans quel cas elles sont efficaces :

Tableau 2.6 : Les méthodes de scannage et leurs utilisations

Méthode de scannage

Fonctionnement

Utilité

Écho ou ping ICMP (Internet Control Message Protocol)

Envoie des paquets du port ICMP 0 au système récepteur. Si le système autorise les réponses aux échos ICMP, il envoie au système scanneur une réponse ICMP qui montre qu'il est actif et à l'écoute du trafic réseau.

Une analyse ping permet d'identifier les hôtes à l'écoute sur le réseau. Elle n'identifie pas les ports ou protocoles autres qu’ICMP. De nombreux équipements de filtrage de sécurité vont bloquer les demandes d'écho ICMP et empêcher ainsi le passage des analyses ping à travers le périmètre.

Connexion TCP ou contrôle en trois étapes

Utilise le contrôle en trois étapes standard pour vérifier une connexion à un port TCP à l'écoute.

Excellent si vous ne passez pas par des équipements de filtrage TCP tels qu'un pare-feu ou un routeur de filtrage de paquets.

Demande de connexion TCP spécieuse (SYN)

Utilise les deux premières étapes du contrôle en trois étapes. À la troisième étape, le système analyseur envoie un paquet avec l'indicateur RST (réinitialisation) au lieu d'un indicateur ACK (accusé de réception d'état) pour ne pas établir une connexion complète.

Cette méthode est moins susceptible d'être détectée ou filtrée par des équipements de sécurité puisque la connexion n'est jamais établie. Elle est toutefois plus lente qu'une analyse par connexion TCP.

Segment TCP Finish (FIN)

Tous les indicateurs sont désactivés, sauf FIN. Les paquets de ce type reçus sur les ports à l'écoute n'envoient généralement pas de réponse ; un port qui n'écoute pas envoie normalement un paquet RST. Les ports qui ne répondent pas sont ceux qui écoutent.

Cette méthode peut ignorer les systèmes ou les équipements de sécurité qui écoutent uniquement les paquets SYN tels que ceux envoyés par un scannage TCP SYN. Elle risque de ne pas obtenir des résultats exacts des systèmes sous Windows, ce qui rend difficile la détermination des ports ouverts sur ces systèmes.

Paquet fragmenté

Utilise l'une des méthodes ci-dessus, mais les paquets TCP sont éclatés en fragments et réassemblés au point de destination.

Certains équipements de sécurité (notamment les systèmes de détection d'intrusion) ont quelquefois du mal à reconstituer ces flux de paquets. Cette méthode peut parfois ignorer les équipements de filtrage ou même provoquer leur panne. Elle peut imposer une charge considérable à ces équipements.

Extraction d'identité

Après l'établissement d'une connexion TCP (contrôle tridirectionnel), une demande d'identité (Ident) est envoyée pour déterminer quel compte est associé au processus du port d'écoute.

Cette méthode n'identifie pas les ports à l'écoute mais peut identifier des comptes et les services associés. Les systèmes d'exploitation Microsoft ne fournissent pas ces informations.

Scannage de proxy FTP (File Transfer Protocol)

Le document RFC original pour FTP décrivait un service de type proxy qui permet à un utilisateur d'établir une connexion à un serveur FTP et de demander à ce serveur de déclencher un transfert de fichier vers n'importe quel autre système. Cette faille de conception est utilisée par la méthode de scannage de proxy FTP pour relayer les demandes de connexion à d'autres systèmes via le port du proxy.

Cette méthode peut être utile pour scanner les systèmes dissimulés derrière des pare-feu. Un système qui permet cela est une vulnérabilité en soi car il transmet le trafic vers des emplacements non autorisés par vos stratégies et vos équipements de sécurité.

UDP

UDP est un protocole sans connexions, c'est-à-dire que le système expéditeur n'attend pas de réponse de la destination. Un scannage UDP n'obtient de réponses que des ports qui n'écoutent pas.

En raison de leur nature sans connexion, les ports UDP sont rarement filtrés par les équipements de sécurité et s'il existe, le filtrage est limité. Souvent, les services UDP tels que DNS et SNMP (Simple Network Management Protocol) ne sont pas implémentés de manière sécurisée et ils parviennent à passer au travers des périmètres de sécurité. Les connexions lentes ou présentant une perte de paquets importante peuvent indiquer à tort que la plupart des ports sont ouverts.

Détection de système d’exploitation

La détection d'un système d'exploitation peut être effectuée de plusieurs manières mais, le plus souvent, la méthode la plus exacte consiste à comparer les réponses TCP de l'équipement à une liste de types de systèmes connus. Les composants utilisés pour déterminer des informations sur les hôtes comprennent notamment la durée de vie (TTL), les numéros de séquence TCP, la fragmentation, les réponses FIN et ACK, la réponse sans indicateur défini, la taille de fenêtre, les réponses ICMP et diverses options TCP.

Souvent, cette méthode ignore de nombreux équipements de filtrage à l'exception des pare-feu jouant le rôle de proxy (puisque les réponses sont en réalité envoyées par le pare-feu lui-même). Plusieurs types de systèmes d'exploitation peuvent être détectés et les résultats risquent de ne pas être exacts. Les pare-feu ou les routeurs ignorent souvent les scannages de détection de système d'exploitation basés sur ICMP.



Pendant que des agresseurs effectuent un scannage, vous devez vous rendre compte des vulnérabilités qu'ils détectent. Il est donc judicieux de mettre en œuvre un scannage strictement contrôlé dans votre environnement.

Pour protéger votre réseau de ces agressions, vous devez au minimum :

● Identifier les ports indispensables ; tous les membres du comité de sécurité doivent se concerter avant d'ouvrir d'autres ports.

● Implémenter un système de détection des intrusions dans le réseau.

● Arrêter tous les services qui ne sont pas indispensables sur le système. Pour plus d'informations sur les services qui sont arrêtés dans les cinq rôles de serveur Windows 2000, voir le chapitre 4, « Sécurisation des serveurs en fonction de leur rôle ».

● Appliquer tous les correctifs du système d'exploitation en vigueur. Pour plus d'informations sur la manière d'être à jour dans les correctifs, voir le chapitre 5, « Gestion des correctifs ».
1   2   3   4   5   6   7   8   9   ...   26

similaire:

Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d\Résumé Ce document contient des informations sur le fournisseur Microsoft...

Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d\Guide du pack d’administration dhcp windows Server pour Operations Manager 2007

Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d\Résumé Ce guide contient des informations sur les performances et...

Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d\Guide du pack d'administration des services Terminal Server pour Operations Manager 2007

Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d\La notion de mondialisation : internationalisation et interdépendance des économies
«mondialisation et globalisation». Dans le Harper Collins Dictionary of sociology, la mondialisation est définie comme «un processus...

Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d\Résumé Ce guide contient des informations sur l'utilisation de Microsoft...

Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d\Chapitre 4 : Bienvenue dans le monde de l’entreprise 0

Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d\Résumé Ce guide présente la manière dont Exchange Server 2003 Management...

Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d\Installation de BizTalk Server 2010 sur Windows 7 et Windows Vista...

Bienvenue dans le Guide des opérations sur la sécurité de Windows 2000 Server. Dans un monde de plus en plus interconnecté, la disponibilité d\Renseignements sur les opérations de recherche opérations réalisées...
...








Tous droits réservés. Copyright © 2016
contacts
ar.21-bal.com