UserLock testé par PC Mag

Transcription

1 UserLock testé par PC Mag Article original publié le 11 mars 2010 sur PCMag.com EN BREF UserLock verrouille les PCs et le fait bien. Ce «poids-plume» complète les fonctionnalités des Stratégies de Groupe Windows et le fait à l aide d une interface familière. Les modifications s appliquent rapidement et l application permet également d archiver un historique des sessions. C est un logiciel impressionnant. POUR Elimine le désagrément d utiliser les Stratégies de Groupe pour le contrôle des comptes utilisateurs. Interface intuitive. Installation facile. CONTRE Enregistre l historique des sessions dans une base Access par défaut. Pas évident de modifier la base de données par défaut. NOTE TRES BON Le test Par Samara Lynn UserLock porte bien son nom : il vous permet de brider les utilisateurs d un réseau Windows. Il empêche les utilisateurs d accéder aux machines désignées, fournit des rapports sur l activité des utilisateurs et donne aux administrateurs réseaux le moyen de contrôler à distance les sessions utilisateurs. Il est particulièrement utile pour les établissements de santé ou les organisations juridiques qui devraient être en conformité avec des réglementations telles que HIPAA ou SOX. Il supporte une importante montée en charge et peut être déployé sur un réseau de 10 ou de milliers d utilisateurs.

2 Ses clients vont de très grandes entreprises comme BMW à des consultants informatiques indépendants. Lors de mes tests, UserLock a efficacement et rapidement restreint l accès au réseau des utilisateurs selon les critères que j avais spécifiés. UserLock permet de contrôler les comptes utilisateurs de manière plus granulaire que ne le permettent les Stratégies de Groupe (GPO); l application ne remplace pas totalement les Stratégies de Groupe ; il est par exemple impossible de restreindre ce qu un utilisateur voit sur son écran ou de désactiver le CD Autoplay ; mais UserLock peut être utilisé en association avec les GPO pour contrôler de manière rigoureuse un réseau Windows. Par exemple, en tant qu administrateur réseau, je peux interdire aux utilisateurs l accès à des ressources réseaux spécifiques à l aide des Stratégies de Groupes, mais je peux également empêcher toute connexion par exemple après les horaires de bureau avec UserLock. UserLock fournit un niveau de contrôle supplémentaire. Il effectue également les modifications partout sur le réseau, plus rapidement et plus efficacement que les GPO la plupart du temps. Quiconque a ajouté des règles gérées par GPO à un domaine Windows a connu la frustration d avoir à attendre que ces règles soient effectivement en place après avoir lancé une commande de mise à jour de GPO (c est mon cas). Bien que UserLock ne soit pas une solution de sécurité de terminaux et se focalise plutôt sur le contrôle d accès des utilisateurs, il partage néanmoins des fonctionnalités avec des logiciels d «endpoint security» comme DeviceLock. Comme DeviceLock, UserLock possède des fonctionnalités d audit et de reporting sur l activité des sessions utilisateur. Il est même capable d insérer des activités telles que les sessions de connexion utilisateur dans une base de données. Vous ne pouvez pas, comme avec DeviceLock, limiter l accès aux clefs USB et autres périphériques, mais vous pouvez empêcher les utilisateurs d accéder au réseau par nom de système, par plage d adresses IP et même en fonction de l horaire. L interface n a rien d alambiqué. Elle utilise une arborescence de navigation sur le coté gauche, comme la plupart des consoles Windows Server Les administrateurs Windows s y sentiront parfaitement à l aise. Cette interface familière vous plonge directement dans le bain de la sécurisation de votre réseau via une navigation facile et intuitive. Proposé à un prix unitaire de 7,65 (et les prix décroissent pour des quantités plus importantes), ce logiciel ne grèvera pas votre budget non plus

3 UserLock sur les bancs de tests de PC Mag La mise en œuvre est extrêmement facile : installez le serveur UserLock et déployez l agent sur les machines des utilisateurs. Vous pouvez installer le serveur UserLock sur un contrôleur de domaine Windows ou sur un serveur membre. Après l installation, l assistant de configuration du service UserLock vous guide dans la configuration du type de serveur, de la zone à protéger (le domaine Windows dans mon test) et le compte de service. Les agents se déploient à l aide de la Console d Administration. J ai déployé l agent sur un serveur, 2 machines physiques et une machine virtuelle Windows 7 tournant sous Hyper-V. Le processus de déploiement a été rapide et facile et sans erreurs. Bien sûr, j utilise un domaine Windows de petite taille. Pour autant, le résultat devrait raisonnablement être identique sur un réseau plus grand, dans la mesure où l agent est un morceau de code relativement léger. Après le déploiement de l agent, on ajoute les utilisateurs dans la console en tant que Comptes Protégés. UserLock s intègre en douceur à Active Directory (AD), il est donc aussi facile d ajouter un utilisateur dans UserLock que de donner des permissions d accès à un utilisateur dans Windows. Il suffit d entrer le nom et UserLock vérifiera ce compte dans l AD et l ajoutera à la console.

4 Accorder des droits aux utilisateurs (ou les leur enlever), voilà où l on commence à s amuser. Limiter le nombre de sessions que les utilisateurs peuvent ouvrir. J ai par exemple limité mon utilisateur à l ouverture d une seule session, ce qui signifie que son compte ne peut être utilisé pour se connecter simultanément à plus d une machine. Il peut être ennuyeux de rechercher un paramètre identique dans le Gestionnaire des Stratégies de Groupe il y a beaucoup de GPO à examiner et celles relatives aux comptes utilisateurs ne font parfois pas exactement ce qu un administrateur attend d elles. Les administrateurs réseau peuvent également développer des scripts, mais cela nécessite d acquérir des compétences supplémentaires et demeure toujours dans les limites des stratégies de groupe. C est là qu interviennent des outils tierce-partie comme UserLock ou LimitLogin, pour effectuer ces tâches à votre place. Le gros avantage de UserLock néanmoins, est sa simplicité. LimitLogin nécessite de configurer un serveur IIS avec des composants additionnels, son installation est donc plus compliquée.

5 Ce que j ai vraiment apprécié, c est qu une fois une restriction utilisateur mise en place, elle s applique immédiatement. Le compte utilisateur a reçu la notification par défaut d accès refusé lorsque j ai utilisé ce compte pour me connecter à partir d une deuxième machine alors que j étais encore connectée sur l autre. J ai été également satisfaite que les messages prédéfinis de notification et d avertissement soient personnalisables. C est pratique car cela permet d afficher à l écran des messages de violation des règles de l organisation ou des règlements de type HIPAA : un moyen pratique d éduquer les utilisateurs à propos des règles en vigueur dans leur entreprise. Les paramètres de restriction peuvent également être assignés par groupes d utilisateurs. D autres restrictions concernent la limitation des sessions terminal, interactives ou RAS. Vous pouvez également restreindre l accès des utilisateurs en fonction des horaires ou par poste de travail. Parmi les autres fonctionnalités, on trouve des rapports prédéfinis, un planificateur de tâches et la purge automatique des bases de données. UserLock permet des audits en enregistrant l historique de connexion dans une base Microsoft Access. Ce n est pas seulement une fonctionnalité sympathique, elle peut devenir obligatoire dans le cadre de certaines réglementations de conformité. Vous pouvez configurer UserLock pour utiliser une autre base de données. J ai essayé de configurer une base SQL Server, mais ai rencontré un problème de permission. L équipe de support technique de UserLock m a néanmoins permis de résoudre mon problème.

6 UserLock a des fonctionnalités très spécifiques et il fonctionne bien. Il fonctionne même si efficacement que je souhaiterais que l on puisse faire encore plus de choses avec lui, comme contrôler ce que les utilisateurs visualisent sur leurs écrans, ou l accès aux applications. C est de toute façon un moyen plus simple d accomplir des tâches d administration que de recourir aux stratégies de groupe ou à des scripts. Plus important encore, UserLock aide à renforcer la sécurité réseau. Au final, UserLock est un outil solide que tout administrateur de réseau Windows devrait envisager d ajouter à ses outils d administration si un contrôle étroit des accès utilisateur est indispensable dans son organisation.