L Exploitation des Services en Réseau En informatique on distingue les services perçu par l utilisateur. DNS, DHCP, FTP Chaque service sera lié à un contexte et à un ou plusieurs serveurs. Le contexte est toujours associé à une organisation (InfoDev, GSB, ). /!\ E5 : Epreuve Ecrite : Le contexte des CCF est obligatoire, mais uniquement partir d une organisation existante (stage) ou l on présente les serveurs et les applications. L organisation va disposer de serveurs à lister : une maquette avec le nom des équipements, un tableau d adressage (sous réseau, VLAN, masque (/N)). Maquette : peut être associée aux fichiers Packet Tracer. - Lister les serveurs et les services : AD, DNS, DHCP (à isoler du réseau) ; - Messagerie : PFSense : va contenir les services de type proxy, ACL ; - Filtrage des connexions DMZ, ToIP/VoIP : serveur Asterisk ; - Serveur de supervision : DNS primaire/secondaire : failover, réplica, remise en place des données ; - Contrôleurs de domaines : stockent les données de l annuaire et gèrent les communications entre les utilisateurs et les domaines. Tous les serveurs qui ne sont pas des contrôleurs sont appelés serveurs membres ; - Serveur d applications/anti-virus. La Notion de Projet Dans le cadre des projets de CCF, il faut gérer plusieurs serveurs (2-3). Les OS utilisables : - Linux Server ; - Windows Server 2008 (Web, Enterprise Edition). Les Permissions NTFS Les permissions NTFS (Network File System) sont basées sur des ACL (Access Control List). Le système de fichiers NTFS intègre une notion évoluée de sécurité et de contrôle d'accès aux objets (par objets on entend fichiers et répertoires). Pour l'utiliser, il faut d'abord ouvrir un explorateur Windows, puis aller dans Outils->Options des dossiers->affichage. La toute dernière option (Utiliser le partage de fichiers simple) doit être désactivée (après tout, nous sommes des professionnels). Après coup, il suffit d'aller dans les propriétés d'un objet dont on veut contrôler l'accès et d'atteindre l'onglet Sécurité. De là, on pourra ajouter un groupe ou un usager de qui on veut contrôler l'accès. Pour chaque usager ou groupe dans la liste, on choisira de permettre ou d'interdire différentes opérations. 1 / 6
Voyons voir ce que signifient les différentes permissions: 1. Lecture: s applique uniquement à un fichier. Permet de lire le contenu du fichier, lire ses attributs et ses permissions. 2. Affichage du contenu du dossier: s applique uniquement à un dossier. Donne les mêmes accès que "Lecture" mais donne en plus le droit d'exécuter tous les fichiers qui se trouvent dans le dossier 3. Lecture et exécution: équivaut à "Affichage du contenu du dossier", mais peut s'appliquer à un fichier comme à un dossier. Dans le cas d'un fichier, il permet donc de l'exécuter. Dans le cas d'un dossier, la seule différence entre " Lecture et exécution " et " Affichage du contenu du dossier " est au niveau de l'héritage: la première est héritée à tous les objets enfants du dossier et la deuxième n'est héritée qu'aux sous-répertoires (nuance très subtile s'il en est une nous verrons l'héritage des permissions très bientôt). 4. Écriture: permet de créer des fichiers, de modifier le contenu des fichiers, de créer des dossiers et de modifier les attributs des fichiers et des dossiers. Attention: la permission "Écriture" ne permet pas à quelqu'un de modifier les permissions d'un objet! Elle ne permet pas non plus d'effacer ni d'exécuter! 5. Modification: équivaut à la somme de "Lecture" et "Écriture", avec en plus le droit d'exécuter et d'effacer le fichier. 6. Contrôle total: donne toutes les permissions possibles. Équivaut donc à "Modification" avec en plus le droit de prendre possession du fichier et de changer ses permissions (c'est la seule permission qui permet ce genre d'opérations). Quelques notes importantes en passant: 1. L'administrateur est limité comme tout le monde par les permissions (en ce sens qu'il ne pourra pas par exemple entrer dans un répertoire où il n'a pas accès, ni effacer un fichier pour lequel il n'a pas le droit de modification). Toutefois, il a toujours le droit de modifier les permissions de tout objet, donc il pourra s'il le désire contourner toutes les limitations. 2. Si quelqu'un a le contrôle total d'un dossier, il pourra effacer tous les objets de ce dossier, peu importe les accès individuels qu'il a sur ces objets. 3. Un usager reçoit la somme de toutes les permissions qui s'appliquent à lui. Par exemple, si on donne des permissions à un usager directement, puis qu'on définit d'autres permissions à un groupe dont l'usager fait partie, cet usager recevra donc les deux ensembles de permissions. Dans un cas où un de ces ensembles lui permet quelque chose et que l'autre le lui interdit, c'est toujours l'interdiction qui aura préséance. L'héritage des Permissions De façon à faciliter la mise en place des permissions, celles-ci sont héritées d'un dossier à ses enfants. Chaque objet reçoit par défaut les permissions de son dossier parent, puis ses propres permissions. Le total des deux sera ensuite passé à ses enfants. Lorsqu'un objet reçoit des permissions de son parent, ces permissions apparaissent chez l'objet et sont grisées. Elles ne peuvent pas être modifiées directement. Si on veut tout de même les changer, on a trois choix: 1. Les modifier chez le parent. Évidemment, ça règle notre problème concernant les permissions de l'enfant, mais ça peut fort bien en causer d'autres au niveau du parent! 2 / 6
2. Les contredire chez l'enfant. En effet, si un objet reçoit, par exemple, une permission de modification pour un usager quelconque, on ne peut pas enlever cette permission, mais on peut cocher la case d'interdiction de modification juste à côté! L'inverse est aussi possible. Lorsqu'une permission locale contredit une permission héritée, la permission locale a toujours préséance. 3. S'il est impossible d'arriver à nos fins en contredisant les permissions héritées, on peut carrément désactiver l'héritage en faisant cliquant sur le bouton "Avancé" et en enlevant la coche "Hériter les permissions du parent" (c'est souvent la solution la plus simple). Les Permissions Avancées Justement, en cliquant sur le bouton "Paramètres avancés", on découvre soudainement un autre ensemble de permissions... On voit une liste d'usagers et de groupes et pour chacun d'eux, une liste de permissions différentes de celles de l'onglet Sécurité... Comment expliquer cela? C'est très simple en fait: les permissions "de base", celles que l'on utilise normalement, ne sont pas unitaires, c'est-à-dire qu'elles sont en fait composées de permissions plus granulaires encore. Par exemple, la simple permission "Lecture" est en réalité composée des cinq permissions avancées suivantes: "Liste du dossier/lecture des données", "Autorisations de lecture", "Lecture des attributs étendus", "Attributs de lecture" et "Synchroniser". Si on a besoin d'être très spécifique et que les permissions de base ne le sont pas assez pour nous, on peut aller dans les permissions avancées et cocher ce qui nous plait ce qui ne correspondra pas nécessairement à une des permissions de base. Dans ce cas, on verra "Autorisations spéciales" dans l'onglet Sécurité. Voici un tableau montrant les permissions avancées contenues dans chaque permission de base: Permissions avancées Traverser dossier/exécuter fichier Lister dossier/lire les données Contrôle Total Modification Lecture et Exécution Affichage du Contenu du Dossier x x x x Lecture x x x x x Lire les attributs x x x x x Lire les attributs étendus Créer fichiers/écrire données Créer dossiers/ajouter données x x x x x Écriture x x x x x x Écrire les attributs x x x Écrire les attributs étendus x x x 3 / 6
Effacer sousrépertoires et fichiers Effacer x x x Lire les permissions x x x x x x Changer les permissions S'approprier l'objet x x Synchroniser x x x x x x Le partage de Répertoires Lorsque notre ordinateur est relié à un réseau local, qu'on fonctionne en groupe de travail (workgroup) ou en domaine, il est fort utile de pouvoir partager des ressources. Il n'est pas possible de partager un simple fichier, mais on peut toutefois partager un répertoire (et donc son contenu). Pour partager un dossier, il suffit de faire afficher ses propriétés et d'aller dans l'onglet "partage". De là on pourra simplement choisir de partager le dossier, ce qui implique qu'on lui donnera un nom de partage. C'est le nom de partage qui sera utilisé pour atteindre le dossier les utilisateurs distants ne savent pas où se trouve le dossier, simplement d'en connaître le nom de partage. Pour accéder à un répertoire partagé par quelqu'un d'autre, on doit nécessairement connecter un lecteur réseau. Le lecteur réseau sera vu par Windows (et possiblement par l'utilisateur!) comme un disque dur ordinaire. Il pointe en réalité vers un répertoire partagé sur un autre ordinateur. Pour connecter un lecteur réseau, il suffit d'aller dans l'explorateur Windows et de cliquer sur Outils - > Connecter un lecteur réseau. On choisira alors la lettre que l'on veut donner à notre futur lecteur, puis sa destination. La destination est donnée en notation UNC (Unified Naming Convention), c'est à dire \\serveur\partage. On peut ajouter \répertoire à la fin si on veut atteindre directement un sousrépertoire du dossier partagé. Partager une Imprimante Le fonctionnement est sensiblement le même que pour un répertoire: il suffit d'afficher les imprimantes. Puis, on choisit une imprimante et on affiche ses propriétés. De là, on va dans l'onglet Sécurité pour décider de la partager. L'Audit L audit permet de vérifier les actions des usagers d un ordinateur et de conserver une trace de leurs activités (via des fichiers logs). Les actions qui sont couramment auditées sont les suivantes: 1. Login physique à la station (permet de savoir qui s'est logué quand ou de voir que quelqu'un a tenté de se loguer sans succès, ce qui peut éventuellement être signe de danger) ; 4 / 6
2. Modification, création ou suppression de comptes ou de groupes ; 3. Login à la station à distance (idéal pour un serveur) ; 4. Utilisation de tout privilège particulier (utilisation abusive des droits, corruption) ; 5. Modification aux stratégies ; 6. Accès à certains répertoires ou fichiers. Lorsque quelque chose qui est surveillé se produit dans le cadre d un audit, un événement sera ajouté au journal "Sécurité" du système. Pour chaque type d'audit, on choisira d'auditer les succès, les échecs, les deux ou rien du tout. Pour pouvoir activer la surveillance d'un fichier ou d'un répertoire, il faudra aller dans l'onglet "Sécurité" des propriétés de l'objet. Dans l'onglet Sécurité, on voit les différentes permissions sur l'objet. En cliquant sur le bouton "Paramètres avancés", on arrive sur une fenêtre qui propose entre autres un onglet "Audit". C'est là qu'on pourra décider d'auditer l'objet en question. /!\ Auditer l'accès à tous les répertoires et fichiers d'un disque va assurément encombrer le journal de milliers d'événements. Non seulement la lecture sera pénible mais l'ordinateur peut vite baisser en performance. Lire les Résultats d Audit Il y a trois grands journaux sur Windows : - Le journal Application reçoit des messages de toute application qui décide d'en envoyer. - Le journal Système reçoit des messages du système d'exploitation lui-même et de ses différentes composantes (principalement les services de Windows). - Le journal Sécurité reçoit tous les messages d'audit. La Commande MMC La Microsoft Management Console (MMC) contient et affiche les outils d administration créés par Microsoft et d autres éditeurs de logiciels. Ces outils s appellent des composants logiciels enfichables, et ils permettent de gérer les composants logiciels, matériels et réseau de Windows. Plusieurs outils du dossier Outils d administration, tels que Gestion de l ordinateur, sont des composants logiciels enfichables MMC. Les Commandes MMC azman.msc : Gestionnaire d autorisations certmgr.msc : Gestion des Certificats 5 / 6
comexp.msc : Services des composants (Ordinateurs-Observateur d évènements-services) compmgmt.msc : Gestion de l ordinateur (Planificateur de tâches-observateur d évènements-dossiers partagés-fiabilité et performance-gestionnaire de périphériques- Gestion des disques) devmgmt.msc : Gestionnaire de périphériques diskmgmt.msc : Gestion des disques eventvwr.msc : Observateur d événements fsmgmt.msc : Dossiers partagés gpedit.msc : Editeur de stratégie de groupe locale napclcfg.msc : Configuration du client NAP services.msc : Services taskschd.msc : Planificateur de tâches tpm.msc : Gestion de module de plateforme sécurisée sur l ordinateur local wf.msc : Pare-feu Windows avec fonctions avancées de sécurité 6 / 6