La présentation est en train de télécharger. S'il vous plaît, attendez

La présentation est en train de télécharger. S'il vous plaît, attendez

DGA/DCE/CELAR n° 1 Sécurité de Windows 2000 / NT Sécurité de Windows 2000 / NT Jean-Christophe GALLARD.

Présentations similaires


Présentation au sujet: "DGA/DCE/CELAR n° 1 Sécurité de Windows 2000 / NT Sécurité de Windows 2000 / NT Jean-Christophe GALLARD."— Transcription de la présentation:

1 DGA/DCE/CELAR n° 1 Sécurité de Windows 2000 / NT Sécurité de Windows 2000 / NT Jean-Christophe GALLARD

2 DGA/DCE/CELAR n° 2 Sécurité de Windows 2000 / NT Plan du Cours bIntroduction bRegistry et Active directory bMécanismes de Sécurité bGestion de la sécurité bOutils bSécurisation

3 DGA/DCE/CELAR n° 3 Sécurité de Windows 2000 / NT Introduction

4 DGA/DCE/CELAR n° 4 Sécurité de Windows 2000 / NT Introduction bQuest ce que Windows 2000 ? è Système dexploitation multitâche è GUI natif è Mécanismes de sécurité bHistorique è Evolution du système Windows NT 4.0 è Nom interne de Windows 2000 : Windows NT 5.0 ! è Arrivée de Windows 2000 en février 2000

5 DGA/DCE/CELAR n° 5 Sécurité de Windows 2000 / NT Registry et Active Directory

6 DGA/DCE/CELAR n° 6 Sécurité de Windows 2000 / NT La base des registres (1/2) bPourquoi la base des registres ? è Paramétrage du comportement du système è Limite des fichier.INI è Structure hiérarchique centralisée è Entrées de la base des registres = Clefs de registre è Données typées

7 DGA/DCE/CELAR n° 7 Sécurité de Windows 2000 / NT La base des registres (2/2) bStructure de la base des registres è HKEY_CURRENT_USER è HKEY_USERS è HKEY_LOCAL_MACHINE –Hardware –SAM –Security –Software –System è HKEY_CLASSES_ROOT è HKEY_CURRENT_CONFIG

8 DGA/DCE/CELAR n° 8 Sécurité de Windows 2000 / NT Sécurité de la BDR : les ACLs bRetrouver la valeur : è lire une entrée à partir d'une clef de registre. bPositionner la valeur : è définir les entrées dans une clef de registre. bCréer une sous-clef : è créer une sous-clef sur une clef de registre. bEnumérer les sous-clefs : è lister les sous-clefs d'une clef de registre. bNotifier : è auditer les évènements de notification. bCréer la liaison : è créer une liaison symbolique dans une clef (alias). bSupprimer : è supprimer la clef sélectionnée. bEcrire le DAC : è positionner des ACLs sur une clef. bEcrire le propriétaire : è affecter un propriétaire à une clef. bLecture du contrôle : è lister les informations de sécurité (ACLs) d'une clef.

9 DGA/DCE/CELAR n° 9 Sécurité de Windows 2000 / NT Active Directory (1/4) bCe nest pas un système concurrent à la base des registres bBase de données dannuaire hiérarchique et distribuée, compatible LDAP bDéport de certaines informations jusquici présentes dans la base de registre (SAM) bPrésent uniquement dans la version Serveur de Windows 2000

10 DGA/DCE/CELAR n° 10 Sécurité de Windows 2000 / NT Active Directory (2/4) bPrincipes de lActive Directory : è Permet de centraliser la gestion des « forêts » W2K è Assurer lauthentification des usagers è ACLs sur les objets définis dans lAD è Stockage des données de gestion dune forêt (utilisateurs, groupes, stratégies de sécurité, profils, certificats…)

11 DGA/DCE/CELAR n° 11 Sécurité de Windows 2000 / NT Active Directory (3/4) bStructure : è Objets è Unités dorganisation è Domaines è Arbres et Forêts

12 DGA/DCE/CELAR n° 12 Sécurité de Windows 2000 / NT Active Directory (4/4) bOn peut se passer de lActive Directory mais : è Certaines options de sécurité ne sont actives quen présence de lAD (Dynamic DNS, Authentification IIS, Annuaire Microsoft Exchange…) è Gestion plus contraignante è Meilleure sécurité avec lAD que sans... bContraintes : è Cohabitation avec Windows NT 4.0 délicate è Nécessité de parfaitement définir au départ lorganisation : retour en arrière difficile, voire impossible ! è Doù le frein actuel à la mise en œuvre au sein du MinDef

13 DGA/DCE/CELAR n° 13 Sécurité de Windows 2000 / NT Mécanismes de sécurité

14 DGA/DCE/CELAR n° 14 Sécurité de Windows 2000 / NT Mécanismes de Sécurité bArchitecture bComposants du système de sécurité è Liste des composants è Jeton daccès è Impersonation è Descripteur de Sécurité è Accès à un objet bProcessus douverture de session bStockage des mots de passe bAuthentification réseau bNTFS et les ACLs

15 DGA/DCE/CELAR n° 15 Sécurité de Windows 2000 / NT Architecture de Windows NT Mode utilisateur Mode noyau Exécutif Gestionnaire E/S Gestionnaire d objets Winlogon Enregistreur du journal des évènements LSASS Serveur LSA Serveur SAM MSV1_0.DLLSAMStratégie LSA Gestionnaire des fenêtres & GDI Gestionnaire de sécurité Gestionnaire de processus Services LPC Gestionnaire de mémoire virtuelle Noyau HAL (Hardware Abstraction Layer) Matériel Pilotes de périphériques graphiques

16 DGA/DCE/CELAR n° 16 Sécurité de Windows 2000 / NT Architecture de Windows 2000 bBase identique ! bAjout de composants (support d IPSEC, Authentification Kerberos, GPO) bCrypto API repensée et mieux intégrée bDéport de certaines fonctions dans lAD bAu final, très peu de différences car bases communes !!! bMais de nombreux outils / mécanismes additionnels

17 DGA/DCE/CELAR n° 17 Sécurité de Windows 2000 / NT Composants du système de Sécurité bLogon Process (WINLOGON) è Processus douverture de session bNETLOGON è Destiné à assurer lauthentification sur un réseau bSRM (Security Reference Monitor) è Chargé d effectuer les vérifications concernant l accès aux objets bLSA (Local Security Authority) è Responsable de la stratégie locale de sécurité du système (authentification, privilèges…) bSAM (Security Account Manager Server) : NT/2000 bActive Directory : Windows 2000 bComposants dauthentification è MSV1_0.DLL (NT/2000) è Kerberos.dll (Windows 2000)

18 DGA/DCE/CELAR n° 18 Sécurité de Windows 2000 / NT Jeton daccès (1/2) bUn jeton d accès (Access Token) est généré au début dune ouverture de session. bIl servira à représenter lutilisateur dans ses demandes daccès aux objets bContenu è User SID (numéro didentifiant) è Group SID (uniquement pour sous-Système POSIX) è User Privileges è Default Owner SID è Default DACL è Impersonation Level

19 DGA/DCE/CELAR n° 19 Sécurité de Windows 2000 / NT Jeton daccès (2/2) bUser SID è Représentation numérique dun utilisateur (S par exemple) bGroup SID è Représentation numérique du groupe principal de lutilisateur (Exemple : S = Groupe Tout Le Monde) bUser Privilèges è Les droits qu un utilisateur possède (Changer l heure système, arrêter la machine…) bDefault Owner SID è Owner SID par défaut bDefault DACL è DACL par défaut bImpersonation Level è Niveau dimpersonation (4 niveaux)

20 DGA/DCE/CELAR n° 20 Sécurité de Windows 2000 / NT Impersonation bMécanisme comparable au SUID bit sous Unix bPermet à un processus serveur de se lancer en tant quun utilisateur donné (= en disposant de son SID) bIntérêt : ne pas avoir à gérer les problèmes de sécurité sur un processus serveur (cest alors le système qui gère la sécurité)

21 DGA/DCE/CELAR n° 21 Sécurité de Windows 2000 / NT Descripteur de Sécurité bAssocié à TOUT objet sécurisable du système (fichiers, répertoires, ports LPC…) bContient les informations suivantes : è SID du propriétaire (identifie le propriétaire de lobjet) è SID du groupe (sous-système POSIX uniquement) è DACL : une liste à contrôle daccès discrétionnaire è SACL : utilisé pour préciser ce qui doit être audité sur cet objet

22 DGA/DCE/CELAR n° 22 Sécurité de Windows 2000 / NT Accès à un objet bProcédure : è Demande daccès à lobjet è Le système récupère le Jeton dAccès du requérant è Le système récupère le Descripteur de Sécurité de lobjet accédé. è Comparaison du Jeton dAccès avec le Descripteur de Sécurité è Accès autorisé ou refusé.

23 DGA/DCE/CELAR n° 23 Sécurité de Windows 2000 / NT Processus douverture de session (1/3) bLe but de l'ouverture de session est de fournir à l'utilisateur un jeton d'accès qui contiendra les droits et les SID locaux et globaux relatifs à cet utilisateur.

24 DGA/DCE/CELAR n° 24 Sécurité de Windows 2000 / NT Processus douverture de session WinNT (2/3) bSaisie des pièces justificatives au travers du processus WINLOGON (Identifiant, mot de passe) bPassage au LSA pour vérification des autorisations bLe LSA passe ces informations au Default Authentication Package (MSV1_0)... b…qui interroge le SAM pour vérification des pièces dans la base SAM bRenvoi du résultat à lexécutif de Windows NT… b…qui génère le jeton daccès de lutilisateur… b...et ouvre la session utilisateur.

25 DGA/DCE/CELAR n° 25 Sécurité de Windows 2000 / NT Processus douverture de session W2000 (3/3) bLe principe de base reste identique (principe du Winlogon)… bMais la vérification des pièces dauthentification est implémentée au travers de Kerberos V5 bEn cas denvironnement mixte (clients W2K et serveurs WinNT), W2K supporte les anciens schémas dauthentification de NT 4.0

26 DGA/DCE/CELAR n° 26 Sécurité de Windows 2000 / NT Stockage des mots de passe NT (1/2) bDans une base spécialisée : la base SAM bLe mot de passe nest JAMAIS inscrit en clair dans la SAM bIl est stocké chiffré sous 2 formats différents : è Format Lan Manager (mécanisme faible, pour compatibilité Win 3.1x / Win 95 / win 98)) è Format Natif Windows NT (MD4)

27 DGA/DCE/CELAR n° 27 Sécurité de Windows 2000 / NT Stockage des mots de passe NT (2/2) bVérification du mot de passe : è Le mot de passe saisi est chiffré sous les deux formes, è puis comparé aux données de la SAM bFaiblesses du mécanisme : è Pas de « salage » = un même mot de passe sera toujours chiffré de la même façon è La seule possession des cryptogrammes suffit à assurer une authentification sur un serveur distant è => La base SAM DOIT ETRE PROTEGEE !!!

28 DGA/DCE/CELAR n° 28 Sécurité de Windows 2000 / NT Stockage des mots de passe W2K bDans lActive Directory bStructure interne non documentée bIl nexiste pas (pour lheure) doutil permettant de récupérer les authentifiants dans lAD, pour procéder à un cassage des mots de passe « offline »

29 DGA/DCE/CELAR n° 29 Sécurité de Windows 2000 / NT Authentification sur un réseau NT bUtilisation dun mécanisme de Défi/ Réponse

30 DGA/DCE/CELAR n° 30 Sécurité de Windows 2000 / NT L authentification dans Windows 2000 bSuit le protocole Kerberos V5 bLe client doit récupérer un jeton (Ticket Granting Ticket ou TGT) auprès dun serveur spécialisé (Key Distribution Center) bCe jeton lui servira à demander un jeton de service (Ticket Granting Service)… b…qui lui permettra daccéder aux ressources dun serveur pour le service considéré

31 DGA/DCE/CELAR n° 31 Sécurité de Windows 2000 / NT NTFS et les ACLs (1/3) bSystème de fichier NTFS : è directement inspiré du système HPFS (OS/2) è Gestion des fichiers… è...mais aussi, et surtout, gestion des permissions è Tolérance aux fautes (mécanisme daccès transactionnel)

32 DGA/DCE/CELAR n° 32 Sécurité de Windows 2000 / NT NTFS et les ACLs (2/3) bLes ACLs (Listes à Contrôle daccès) : è R (Read) –Répertoire : permet de lister le contenu dun répertoire –Fichier : permet de lire le contenu dun fichier è W (Write) –Répertoire : permet dajouter des fichiers et de créer des sous-répertoires –Fichier : permet de modifier le contenu dun fichier è X (eXecution) –Répertoire : permet de traverser un répertoire (cd) –Fichier : permet dexécuter un fichier si cest un programme è D (Delete) –Répertoire : permet deffacer répertoire et sous-répertoire –Fichier : permet deffacer un fichier è P (Permissions) –Répertoire : permet de modifier les permissions dun répertoire –Fichier : permet de modifier les permissions dun fichier è O (change Owner) –Répertoire : permet de sapproprier un répertoire –Fichier : permet de sapproprier un fichier

33 DGA/DCE/CELAR n° 33 Sécurité de Windows 2000 / NT NTFS et les ACLs (3/3) bLes permissions standards :

34 DGA/DCE/CELAR n° 34 Sécurité de Windows 2000 / NT NTFS dans Windows 2000 bReprise des ACLs existantes bIntroduction de la notion dhéritage dynamique des propriétés de sécurité bChaque objet dispose maintenant de deux ACLs : è son ACL propre (comme dans WinNT) è une ACL héritée de lobjet parent bPossibilité de blocage de lhéritage bEncrypted File System (EFS)

35 DGA/DCE/CELAR n° 35 Sécurité de Windows 2000 / NT Gestion de la sécurité

36 DGA/DCE/CELAR n° 36 Sécurité de Windows 2000 / NT Gestion de la sécurité bDomaines Windows NT / Domaine Windows 2000 bGestion des utilisateurs bjournalisation dévènements

37 DGA/DCE/CELAR n° 37 Sécurité de Windows 2000 / NT Domaines Windows NT bUn domaine Windows NT est un ensemble de machines partageant des ressources communes bArticulé autour dun serveur principal de domaine (PDC) et, éventuellement, de N serveurs secondaires (BDC) bAvantages : è Base des utilisateurs unique et centralisée è Centralisation de la politique de sécurité bNotion dapprobation de domaines

38 DGA/DCE/CELAR n° 38 Sécurité de Windows 2000 / NT Domaines / Forêts Windows 2000 bUn domaine Windows 2000 est un ensemble dobjets regroupés dans une structure commune bUne forêt est constitué dun ou plusieurs domaines bArticulé autour de serveurs sans relation hiérarchique (pas de maîtres…sauf pour certains rôles particuliers) bAu sein dune forêt, tous les domaines de la forêts sont en relation dapprobation bidirectionnelles et transitives bUne forêt = Un Active Directory unique

39 DGA/DCE/CELAR n° 39 Sécurité de Windows 2000 / NT Gestion des utilisateurs bDroits des utilisateurs permissions bGroupes bStratégies de compte bProfils utilisateurs bStratégies systèmes et GPOs

40 DGA/DCE/CELAR n° 40 Sécurité de Windows 2000 / NT Journalisation dévènements

41 DGA/DCE/CELAR n° 41 Sécurité de Windows 2000 / NT Les outils

42 DGA/DCE/CELAR n° 42 Sécurité de Windows 2000 / NT Les outils daide à ladministration bAudit du système bDétection dintrusion bCombler les failles è Service Pack et Hot-Fixes è Outils tiers bAntivirus bDivers

43 DGA/DCE/CELAR n° 43 Sécurité de Windows 2000 / NT Audit du système bBut : Récolter des informations sur ses vulnérabilités bProduits daudit è Produits ISS, è Cybercop Scanner, è Nessus è Satan et les autres bSniffers réseau è Ethereal è Sniffer Pro bPort Scanning

44 DGA/DCE/CELAR n° 44 Sécurité de Windows 2000 / NT Détection dintrusion bPermettre aux administrateurs de savoir si son système est attaqué bDeux approches : è Comportementale è Par scénario

45 DGA/DCE/CELAR n° 45 Sécurité de Windows 2000 / NT Combler les failles bServices Pack è Releases majeures du système bHot-Fixes è Releases mineures du système bSe présentent sous la forme d archives auto- extractibles bAutres Outils è Microsoft Security Config Editor (MSSCE) è Stratégies Systèmes : WinNT è Group Policy Objects (GPO) : Windows 2000 => une extension de la notion de Stratégies Systèmes de Windows NT

46 DGA/DCE/CELAR n° 46 Sécurité de Windows 2000 / NT Antivirus bSe protéger contre les virus bNécessité davoir un moteur et des bases de signatures récentes bPrivilégier les systèmes de mise à jour automatiques

47 DGA/DCE/CELAR n° 47 Sécurité de Windows 2000 / NT Divers bLes « Ressource Kit » bCraqueurs de mots de passe (L0phtcrack, john-th- ripper) b=> crack pas utile en soit, si ce nest pour la sensibilisation des personnels

48 DGA/DCE/CELAR n° 48 Sécurité de Windows 2000 / NT Sécuriser Windows NT / 2000

49 DGA/DCE/CELAR n° 49 Sécurité de Windows 2000 / NT Sécurisation de Windows NT / 2000 bGénéralités bInstallation du système bApplication des Services Pack bApplication des Hot-fixes bBase des registres bModification des permissions par défaut bStratégies Systèmes et GPO

50 DGA/DCE/CELAR n° 50 Sécurité de Windows 2000 / NT Généralités bDéfinir ce que lon désire protéger bSe doter dune politique de sécurité bFaire les bons choix dès le départ bSavoir sentourer bSauvegarder ! bGérer les mots de passe bMettre en œuvre laudit du système bDéployer des antivirus bProtéger les serveurs bTester son réseau

51 DGA/DCE/CELAR n° 51 Sécurité de Windows 2000 / NT Installation bNutiliser QUE NTFS bNinstaller QUE ce qui est nécessaire bProtéger l accès au système de démarrage (BIOS) bPas de privilèges dadministration pour les simples utilisateurs bProtection physique des serveurs

52 DGA/DCE/CELAR n° 52 Sécurité de Windows 2000 / NT Application des Service Pack bRelease majeure du système dexploitation bintègre tous les SP et Hot-fixes précédents bPrudence : attendre quun SP soit stabilisé avant de lappliquer !

53 DGA/DCE/CELAR n° 53 Sécurité de Windows 2000 / NT Application des Hot Fixes bRelease mineure du système dexploitation bCorrections de bugs découverts « au fil de leau » bQuelques Hot-Fix relatifs à la sécurité bA appliquer dans lordre préconisé bPour NT : à partir du SP6, plus de Hot Fixes mais un Security Rollup Package - SRP - (grosse archive de quelques Mo intégrant tous les patches de sécurité)

54 DGA/DCE/CELAR n° 54 Sécurité de Windows 2000 / NT Base des registres bStructure interne du système bPermet de modifier le comportement par défaut du système bGuides de recommandation bModifications à appliquer avec précaution !

55 DGA/DCE/CELAR n° 55 Sécurité de Windows 2000 / NT Modifications des permissions par défaut bPermet de restreindre laccès au système pour les utilisateurs bPeut réserver des surprises... bDifficultés à choisir un compromis entre sécurité et contraintes opérationnelles bSous W2K : permissions par défaut nettement plus restrictives (pas ou peu de modifications à faire !)

56 DGA/DCE/CELAR n° 56 Sécurité de Windows 2000 / NT Stratégies Systèmes et GPO bPermet le déploiement de paramètres (pas seulement sécurité) de façon automatique sur un domaine bSous WinNT : è Une Stratégie sapplique à des utilisateurs, des groupes ou des machines è Elle est appliqué à louverture de session è Est permanente bSous W2K : è Une GPO sapplique sur une OU (Organisation Unit) : –philosophie « troublante » –mais beaucoup plus efficace ! è Elle est appliqué au boot et à louverture de session et peut être modifiée à tout instant è Elle est temporaire (tatouage)


Télécharger ppt "DGA/DCE/CELAR n° 1 Sécurité de Windows 2000 / NT Sécurité de Windows 2000 / NT Jean-Christophe GALLARD."

Présentations similaires


Annonces Google