P R E M I E R M I N I S T R E Secrétariat général de la défense nationale Issy les Moulineaux, le n /SGDN/DCSSI/SDO/BAS Direction centrale de la sécurité des systèmes d information Recommandations de sécurisation Windows 2000
Informations Nombre de pages du document : 41 Evolution du document : Version Rédaction Validation DCSSI Date 1.0 Olivier Busolini Philippe Brandt Mars 2003 N /SGDN/DCSSI/SDO/BAS Page 2 sur 41
Table des matières 1 Introduction 5 1.1 Objectifs des recommandations......................... 5 1.2 À qui sont destinées ces recommandations.................. 5 1.3 Structure de ce document............................ 5 1.4 Présentation des recommandations....................... 5 2 Avertissements 6 3 Principales vulnérabilités liées aux systèmes d exploitation Windows 2000 7 3.1 Mauvaise gestion des mots de passe...................... 7 3.2 Mauvaise gestion des correctifs du système d exploitation et des applications........................................ 7 3.3 Mauvaise application du principe de défense en profondeur (cf. 5.1)... 7 3.4 Mauvaise application du principe de moindre privilège (cf. 5.2)..... 7 4 Politique générale de la sécurité des systèmes d information 8 5 Principes fondamentaux de la SSI 9 5.1 Développer et implémenter une défense en profondeur........... 9 5.1.1 La sécurité des locaux et la sûreté de fonctionnement.............. 9 5.1.1.1 Ce qu il faut prendre en compte prioritairement sur les lots techniques 10 5.1.2 La défense au niveau du réseau.......................... 12 5.1.2.1 Utilisation de commutateurs...................... 12 5.1.2.2 Mise en place d outils de détection d intrusion............ 12 5.1.3 La défense au niveau des hôtes.......................... 12 5.1.4 La défense au niveau des applications...................... 12 5.1.5 La défense au niveau des données......................... 12 5.2 Principe du moindre privilège.......................... 13 6 Sécuriser : mesures générales 14 6.1 Relevé de configuration.............................. 14 6.2 Préalables de l installation............................ 14 6.2.1 Vérification du système sous-jacent........................ 14 6.2.2 Formatage des disques et partitions....................... 15 6.2.3 Version des systèmes d exploitation Windows 2000 à installer......... 15 6.2.4 Vérification des sources d installation...................... 15 6.2.4.1 Média physique............................. 15 6.2.4.2 Installation d un applicatif téléchargé................. 15 6.2.4.3 Installation directe depuis un réseau externe............. 16 6.3 Installation..................................... 16 6.3.1 Configuration des médias de démarrage..................... 16 6.3.2 Sécurisation du BIOS............................... 17 6.4 Emploi de mots de passe complexes...................... 17 6.5 Administration du système........................... 18 6.5.1 Administration locale............................... 18 6.5.2 Administration distante.............................. 18 6.5.2.1 Terminal Services............................ 18 6.5.2.2 SNMP.................................. 18 N /SGDN/DCSSI/SDO/BAS Page 3 sur 41
6.5.2.3 Télémaintenance............................. 19 7 Sécuriser : mesures spécifiques 20 7.1 Services et Applications............................. 20 7.1.1 Services....................................... 20 7.1.2 Applications.................................... 20 7.1.2.1 Antivirus................................. 20 7.1.2.2 Autres applications........................... 20 7.2 Identification : comptes et groupes utilisateurs................ 21 7.3 Authentification.................................. 22 7.3.1 Mots de passe.................................... 22 7.3.2 Base SAM...................................... 23 7.3.3 Limitation des accès anonymes.......................... 23 7.4 Contrôle d accès.................................. 24 7.4.1 Les répertoires................................... 24 7.4.2 Partages....................................... 25 7.5 Base de registre.................................. 26 7.6 Environnement réseau.............................. 27 7.6.1 Serveur dans une DMZ.............................. 27 7.6.2 Filtrage TCP/IP.................................. 28 7.7 Sauvegardes..................................... 28 7.8 Audit et journalisation.............................. 28 7.8.1 Audit système................................... 28 7.8.2 Journalisation.................................... 29 7.9 Outils natifs de mise en oeuvre des recommandations........... 29 7.9.1 Stratégies de sécurité................................ 29 7.9.1.1 Environnement réseau hétérogène................... 29 7.9.1.2 Environnement réseau homogène.................... 30 7.9.1.3 Modèles de sécurité........................... 30 8 Maintenir le niveau de sécurité : mesures générales 31 8.1 Règles d exploitation............................... 31 8.1.1 Gestion des correctifs de sécurité (serveurs et clients).............. 31 8.1.2 Réalisation de fiches réflexes pour gérer les alertes............... 31 8.1.3 Formation...................................... 31 8.1.4 Gestion des comptes et des mots de passe.................... 31 8.1.5 Serveur de secours et de test........................... 32 8.1.6 Gestion des sauvegardes.............................. 32 8.1.7 Gestion des éléments temporaires......................... 32 8.2 Mise à jour de la PSSI.............................. 32 8.3 Audits de sécurité................................. 32 9 Maintenir le niveau de sécurité : mesures spécifiques 34 9.1 Exploitation des journaux............................ 34 9.2 Réaliser une veille technologique sur les éléments du réseau....... 35 10 Annexes 36 10.1 Services....................................... 36 10.2 Permissions sous les systèmes d exploitation Windows 2000....... 38 N /SGDN/DCSSI/SDO/BAS Page 4 sur 41
Glossaire 40 Index 41 N /SGDN/DCSSI/SDO/BAS Page 5 sur 41
1 Introduction 1.1 Objectifs des recommandations Ce guide a pour vocation d aider à sécuriser les systèmes d exploitation Windows 2000 à l aide de recommandations basées sur l état de l art. 1.2 À qui sont destinées ces recommandations Ces recommandations sont destinées principalement aux administrateurs, responsables de la sécurité des systèmes d information et en général à toute personne ou organisation voulant sécuriser ou vérifier la sécurisation des systèmes d exploitation Windows 2000. En particulier ce guide n est pas un guide d administration des systèmes d exploitation Windows 2000. 1.3 Structure de ce document Ce document est scindé en plusieurs parties : Partie 1 : introduction générale aux recommandations ; Partie 2 : mise en garde sur l application de ces recommandations ; Partie 3 : relevé non exhaustif des principales vulnérabilités liées aux systèmes d exploitation Windows 2000 ; Partie 4 : rappel non technique sur l organisation de la sécurité d un système d information ; Partie 5 : rappel des principes fondamentaux de la sécurité d un système d information ; Partie 6 : recommandations générales sur la sécurisation d un système d information et de serveurs ; Partie 7 : recommandations spécifiques à la sécurisation des systèmes d exploitation Windows 2000 à ne mettre en oeuvre qu une fois, à l installation du système ou lors de la première mise en application de ce document ; Partie 8 : recommandations générales sur les opérations à mener pour conserver un bon niveau de sécurisation dans le temps ; Partie 9 : recommandations sur les opérations spécifiques aux systèmes d exploitation Windows 2000 destinées à conserver un bon niveau de sécurisation dans le temps ; Partie 10 : éléments techniques complémentaires, comme des listes de contrôle. 1.4 Présentation des recommandations Les recommandations de sécurisation sont scindées en deux phases : Sécuriser (Partie 6 et Partie 7) : recommandations à mettre en œuvre une seule fois, à l installation du système ou lors de la première mise en application de ce document ; Maintenir la sécurité (Partie 8 et Partie 9) : recommandations à suivre tout au long de la vie des systèmes d exploitation Windows 2000 pour s assurer que le niveau de sécurité reste constant dans le temps. De plus, chacune de ces phases contient deux parties, dédiées aux mesures générales et aux mesures spécifiques participant à l objectif final. N /SGDN/DCSSI/SDO/BAS Page 6 sur 41
2 Avertissements La responsabilité du choix et de la mise en oeuvre des recommandations proposées dans ce document incombe au lecteur de ce guide. Il pourra s appuyer sur la politique de sécurité du système d information et sur les résultats d une analyse des risques de la sécurité des systèmes d information pour déterminer les recommandations les plus pertinentes. Le lecteur devra également réaliser des tests exhaustifs afin de vérifier l adéquation de ces recommandations avec son contexte particulier. De plus, tout au long de ce document, des modifications de composants du système, tels que la base de registre, les règles de contrôle d accès sur des répertoires, des fichiers...sont recommandées. Toute modification doit être effectuée sur une machine de développement, testée puis validée avant d être appliquée sur le(s) serveur(s) de production. Vu la nature évolutive des systèmes d information et des menaces portant sur ceux-ci, ce document présente un savoir-faire à un instant donné et a pour ambition d être régulièrement amélioré et complété. Vos commentaires sont les bienvenus. Vous pouvez les adresser à l adresse postale suivante : Bureau Audits en SSI SGDN/DCSSI/SDO/BAS 51, boulevard de la Tour-Maubourg 75700 Paris 07 SP N /SGDN/DCSSI/SDO/BAS Page 7 sur 41
3 Principales vulnérabilités liées aux systèmes d exploitation Windows 2000 Les principaux éléments menaçants les systèmes d exploitation Windows 2000 sont les suivants : la divulgation d informations ; les modifications non contrôlées de programmes et de documents ; l exécution de programmes non autorisés ; l indisponibilité du système. Ces éléments menaçants exploitent les vulnérabilités suivantes pour se réaliser. 3.1 Mauvaise gestion des mots de passe Les vulnérabilités les plus importants concernant les mots de passe sont les suivants : simplicité de construction des mots de passe facilitant leur découverte, par exemple grâce à des informations liées aux utilisateurs, ou grâce à une attaque exhaustive de la base chiffrée de mots de passe ; mots de passe non confidentiels, par exemple partagés entre plusieurs utilisateurs ou administrateurs ; utilisation du même mot de passe pour plusieurs fonctions, par exemple pour l authentification de connexion à un environnement Windows et pour la messagerie électronique (dont le mot de passe circule en clair sur le réseau). 3.2 Mauvaise gestion des correctifs du système d exploitation et des applications L absence de mise à jour des systèmes d exploitation Windows 2000, de même qu une mise à jour irrégulière, laisse des failles sur ces systèmes d exploitation, qui sont autant de moyens de les compromettre. 3.3 Mauvaise application du principe de défense en profondeur (cf. 5.1) Un système protégé par une défense unique, par exemple par un mot de passe de connexion, sera la proie d un attaquant ayant découvert ce mot de passe. A l inverse, si la protection offerte par ce mot de passe est complétée par d autres mesures comme des règles restrictives de contrôle d accès aux ressources du système, le même attaquant n aura qu un accès limité au système compromis. 3.4 Mauvaise application du principe de moindre privilège (cf. 5.2) Chaque application représente un moyen potentiel pour un attaquant de compromettre un système. Ne pas contrôler le nombre et la nature des applications installées multiplie les possibilités d attaque. De même, ne pas limiter les droits d accès aux ressources partagées ou les droits attribués aux utilisateurs, représente également une vulnérabilité potentielle du système. N /SGDN/DCSSI/SDO/BAS Page 8 sur 41
4 Politique générale de la sécurité des systèmes d information Un document, la politique de sécurité d un SI (Système d Information) doit exister au sein de l organisme mettant en œuvre le SI. Parmi les règles relatives à la sécurisation des systèmes d exploitation Windows 2000 présentes dans la PSSI, on doit retrouver au moins les éléments ci-dessous : la fonctionnalité du composant au sein du SI ; la liste des comptes d administration ainsi que les modalités de gestion de ces comptes dans le temps ; la liste des flux entrants/sortants vers/depuis le composant ; la liste des services lancés au démarrage ; la liste des services audités et leurs fichiers ; le suivi des mises à jour des versions des logiciels utilisés ; une copie des fichiers de configuration de tous les services et des fichiers de démarrage ; les mesures de sécurité physique mises en place ; la liste des correctifs et des modifications réalisées sur le composant ; les opérations d exploitation à mettre en œuvre sur le composant. Les recommandations énoncées dans tout ce document devraient également trouver leur place dans les règles de cette PSSI. Le lecteur pourra se reporter au document édité par la DCSSI «Guide pour l élaboration d une Politique de Sécurité Interne» (disponible sur le site internet de la DCSSI, www.ssi.gouv.fr) pour plus d informations sur l établissement d une PSSI. N /SGDN/DCSSI/SDO/BAS Page 9 sur 41
5 Principes fondamentaux de la SSI 5.1 Développer et implémenter une défense en profondeur Le principe de la défense en profondeur est de multiplier les protections d une ressource (information, composant, service...), à tous les niveaux où il est possible d agir. Ainsi, un agresseur devra passer outre plusieurs protections, de nature et de portée différentes, avant d accéder à la ressource. Ce principe doit être appliqué à tous les stades de la sécurisation d une ressource qu elle qu en soit sa nature : une donnée, une application, un système, un réseau, voire même le local hébergeant le système d information. 5.1.1 La sécurité des locaux et la sûreté de fonctionnement Ce document n a pas pour objectif de détailler les mesures de sécurité physique à mettre en œuvre pour l exploitation de systèmes d informations sensibles, les principaux points techniques nécessaires seront ici abordés sous l angle de leur sécurisation, sans entrer dans le détail technique de leur mise en œuvre. En particulier, les différents lots techniques, au sens bâtimentaire (incendie, climatisation,...) possèdent un grand nombre de contraintes techniques, réglementaires, légales ainsi que des interrelations qui ne seront pas détaillées dans ce document. Les règles essentielles de sécurité physique à prendre en compte dans la conception ou l aménagement de locaux, en vue de l installation de systèmes d information plus ou moins complexes et sensibles, recouvrent plusieurs éléments de nature différente mais interdépendants. Ces règles à appliquer sur tout ou partie de ces éléments doivent s inscrire en amont de toute autres actions, dont l objectif est de garantir en première instance, l accès physique, l intégrité et la disponibilité d un système d information et de ses données. Les situations géographiques, les implantations et les natures des constructions et des équipements d un site sont importantes au regard des risques naturels, de l environnement et des techniques mises en œuvre. On s attachera donc à examiner les points suivants : L environnement : La typologie des sols, magnétisme naturel, nappes phréatiques, résistance aux effondrements,... ; Les zones inondables, l indice kéraunique du lieu (impacts de foudre), les précipitations, vents dominants (par rapport au voisinage pour les prises d aération),... ; L existence de voies d accès au site et leur praticabilité ainsi que les dessertes V.R.D. (Viabilisation des Réseaux de Distribution) ; La nature de l implantation (zones urbaines, industrielles,...), la prise en compte du POS (Plan d Occupation des Sols) pour l emprise et les extensions bâtimentaires futures, la nature du voisinage (présence, d industries chimiques pouvant induire des pollutions importantes, d aéroports (crash), voies autoroutières ou transports suburbains (vibrations)),... ; L emprise et les bâtiments : L emprise avec son plan de masse indiquant la position, le type et la nature des clôtures, les voies internes de circulation, les diverses accessibilités, l espace réservé aux parkings (personnels, visiteurs),... ; Le gros œuvre, le type et la nature des bâtiments et des toitures (résistance aux charges résultantes des précipitations et jets d objets,...), écoulements des eaux usées et pluviales, positionnement des diverses canalisations,... ; Les lots de second œuvre et répartitions des locaux, type et nature des cloisonnements, modularité, répartition relative, issues (vitrages, portes,...),... ; Les lots techniques, généralités (énergie, ventilation, climatisation, détection/extinction incendie,...), implantation (usage dédié), type, nature, redondance (secours), renvois d alarmes sur défaillance. N /SGDN/DCSSI/SDO/BAS Page 10 sur 41
5.1.1.1 Ce qu il faut prendre en compte prioritairement sur les lots techniques Avant tout, les locaux accueillants les lots techniques doivent être dédiés, l accès à ces derniers ou directement aux composants, ne doivent être accessibles que par des personnels qualifiés, internes ou externes (maintenance), en régime restrictif et contrôlés afin d abaisser les risques potentiels (malveillances, fausses manœuvres,...). Les agressions ou défaillances sur des éléments connexes au système d information peuvent concourir à son indisponibilité totale ou partielle. Pour cela, il y a nécessité de vérifier les points suivants : 5.1.1.1.1 Énergie électrique Le local accueillant le poste de transformation MT/BT (Moyenne Tension/Basse Tension) doit, si possible, être implanté sur le site tout en laissant un accès, sous contrôle, au fournisseur (tête de câble). De même, la dernière chambre de tirage avant transformation devra se situer sur le site. Dans le cas ou une seconde arrivée serait mise place (secours), il sera nécessaire de négocier avec le fournisseur un tirage de ligne, pour ce qui est hors site, empruntant un chemin physique différent et venant d une sous station différente ; Le TGBT (Tableau Général Basse Tension) élément sensible de la première répartition de l énergie au sein du site, fera l objet d une attention dans sa localisation et son accessibilité. Par ailleurs, les locaux (ex : PABX (autocommutateur téléphonique), conception ancienne d onduleurs,...) renfermant des batteries et dont la composition est à base d acide, doivent être dédiés et isolés physiquement des matériels auxquels il sont raccordés. Ces locaux seront munis d une ventilation mécanique et aménagés électriquement en antidéflagrant. On vérifiera que les terres et masses (bâtiments, vérins supportant les faux planchers, matériels informatiques, PABX,...) sont conformes à la réglementation (ex : terres informatiques < ou = 1 Ohm,...). Dans la même optique, on s assurera que les divers revêtements de sols ou muraux sont anti-statiques. On veillera à ce que les divers ensembles électriques primaires soient munis de parasurtenseurs ou parafoudre afin de limiter les risques kérauniques sur les matériels pouvant se révéler sensibles aux variations induites sur les différents réseaux (PABX, serveurs,...). 5.1.1.1.2 Secours énergie électrique Selon l importance du site (au regard de son infrastructure et de ses installations), un secours par groupe électrogène dédié ou partagé peut être envisagé. Sa localisation est des plus importantes. En effet, on peut être confronté à des problèmes relatifs aux vibrations, ainsi qu aux coups de bélier dûs aux ondes stationnaires (longueurs des tubes d échappements des gaz) si ce dernier se trouve en sous-sol ou rez-de-chaussée. Par ailleurs, il faudra s assurer de la présence d un bac de rétention de capacité supérieure à celle de la cuve à fuel de démarrage avec une évacuation conforme à l antipollution. L ensemble des matériels formant le système d information (serveurs, terminaux, imprimantes,...) doivent être raccordés sur un circuit ondulé (régulation) avec une disponibilité d un minimum de 1/4 d heure afin de permettre une extinction propre des systèmes. À ce sujet, l implantation de l onduleur (intermédiaire tampon, en cas de rupture d énergie, entre le fournisseur d énergie et le démarrage du groupe électrogène) ainsi que ses caractéristiques intrinsèques, seront étudiés de manière à ce que toute extension de matériels réclamant une énergie ondulée soit possible. Il est à noter que pour ce qui concerne les PABX, le maintien des batteries en tampon doit être au minimum de l ordre de 48 heures. 5.1.1.1.3 Climatisations et ventilations Les climatisations, quelles soient autonomes ou centralisées, associées aux ventilations sont des éléments dont l importance est vitale pour la vie des matériels (serveurs, PABX,..) par nature N /SGDN/DCSSI/SDO/BAS Page 11 sur 41
fortement exothermiques. En effet, elles permettent de les réguler en température et hygrométrie évitant ainsi les surchauffes et diminuant par voie de conséquence le risque incendie. On prendra soin pour les climatisations de relever le type, la nature, et la puissance de dissipation frigorifique. L existence d une redondance, afin d assurer une forte disponibilité, est fortement conseillée. Pour produire du froid, l élément réfrigérant doit être compressé à partir de compresseurs euxmêmes devant être refroidis. Pour cela, des échangeurs thermiques (aérothermes) protégés en malveillance (blocage volontaire des pales de ventilation) devront être installés et disposés de manière à ce qu ils ne causent aucune nuisance sonore (vitesse des pales provocants des sifflements) ni vibratoire. Les VMC (Ventilation Mécanique Centralisé) seront judicieusement positionnées en particulier les prises d aération (au regard des pollutions de l environnement et des vents dominants). Les différentes conductions de ventilation (gaines, faux planchers/plafonds..) et les reprises d air doivent être vérifiées au moins une fois l an et les filtres changés selon l environnement deux à quatre fois par an. L ensemble climatisation/ventilation se doit d être asservi en arrêt sur une détection confirmée d incendie, afin de ne pas devenir un vecteur de propagation. 5.1.1.1.4 Incendie Indépendamment des obligations légales (IGH, (Immeubles de Grande Hauteur)...), il est nécessaire que les locaux accueillants les matériels du système d information ou y contribuant (onduleurs, cellules climatisation, énergie,...) soient protégés contre l incendie. À cet égard, on choisira la nature (flammes, températures, fumées,...) et le type de la détection (statique, différentiel, vélocimétrique,...) afin de l approprier au risque le plus probable (une solution mixte peut être envisagée). Des solutions, manuelles (extincteurs appropriés) ou automatiques (gaz non halogénés, eau pulvérisée,...), d extinction sont à mettre en œuvre pour compléter et agir rapidement sur l extinction d un incendie. Les locaux ainsi que les gaines de ventilation, faux planchers/plafonds devront périodiquement faire l objet d un dépoussiérage afin d éviter ce vecteur complémentaire d incendie. Des alarmes sonores et lumineuses locales avec renvoi vers un poste de surveillance devront accompagner l activation de ces détections. On relèvera la présence des d éléments combustibles (revêtement des parois,,...), lieux de stockage (papier,...), disposition relative des locaux, afin d agir sur ces éléments pour abaisser le risque d incendie. Enfin, il est indispensable d avoir à disposition des procédures et des consignes relatives à l incendie tant en prévention qu en action. 5.1.1.1.5 Dégâts des eaux Les locaux revêtant un caractère sensible au regard du système d information ou contribuant à sa disponibilité doivent être protégés contre le dégât des eaux (inondations, rupture de canalisation,...). Si en terme de confidentialité le positionnement en sous-sols semble remporter la faveur, il est indispensable que ces locaux soient dotés de faux planchers munis de détecteurs d humidité couplés à des pompes de relevage et rendus étanches au regard des étages supérieurs, ou s inscrire dans des unités totalement cuvelées. 5.1.1.1.6 Contrôles des accès anti-intrusion Dans le cadre général, un premier niveau de contrôle d accès (niveau de l enceinte du site), ainsi qu un second niveau (accès aux bâtiments), doivent être installés séparément ou confondus selon la nature du site, leur nature (contrôle humain, électronique, mixte...) et leur type (contrôle visuel, portiques, badges, cartes électronique...). Pour les locaux sensibles (serveurs, PABX,...), un contrôle d accès dans un régime restrictif quel qu en soit le type et la nature sera indépendant ou intégré aux autres contrôles d accès. N /SGDN/DCSSI/SDO/BAS Page 12 sur 41
Des systèmes anti-intrusion, actifs ou passifs, à différents niveaux (enceinte, bâtiments, locaux sensibles...) doivent être mis en œuvre. Leur type et leur nature (grillage, barreaux, radars, infrarouge...) doivent être choisis d une manière cohérente au regard de l environnement. Les alarmes, des contrôles d accès et des dispositifs anti-intrusion, ainsi que leurs renvois intégrés ou non dans une unité de gestion centralisée, doivent impérativement être complémentés par des consignes et des procédures. Ces mesures organisationnelles doivent être cohérentes entre elles ainsi qu au regard de leur environnement. Une redondance minimum et une autonomie sont indispensables afin de permettre une continuité a tous les niveaux des contrôles d accès et des dispositifs anti-intrusion. AVERTISSEMENT Les alarmes techniques et celles concernant les contrôles d accès/anti-intrusion sont de natures différentes. On s attachera à ce quelles ne soient pas gérées par les mêmes personnes et quelles ne soient pas techniquement regroupées. 5.1.2 La défense au niveau du réseau Il faut comprendre ici la défense des flux circulant sur le réseau (limiter les flux autorisés, les chiffrer (contre l écoute et le piratage de session), limiter l utilisation de logiciels d écoute 1...), ainsi que des flux entrants ou sortants du périmètre du réseau (mettre en place des moyens de filtrage, limiter les flux autorisés, limiter les connexions non contrôlées comme les modems). 5.1.2.1 Utilisation de commutateurs La mise en place d un environnement réseau sécurisé passe par la mise en œuvre de commutateurs bien administrés. En effet si l on se passe de commutateurs 2 et que l on utilise des concentrateurs 3, tout le trafic est «diffusé» sur la totalité du réseau local, sans contrôle possible par l expéditeur ou le destinataire. Ainsi, si quelqu un écoute le trafic local, il peut recevoir des informations qui ne lui sont pas destinées. L utilisation de commutateurs est d autant plus recommandée que la grande majorité des protocoles utilisés par les applications classiques (messagerie électronique, navigation Web, accès à des fichiers distants...) ne sont pas chiffrés. Cependant, il faut noter que la protection apportée par un commutateur n est pas parfaite, car sujette à des attaques au niveau du protocole de résolution d adresse (ARP), et doit être complétée par d autres mesures découlant du principe de défense en profondeur. 5.1.2.2 Mise en place d outils de détection d intrusion 5.1.3 La défense au niveau des hôtes Elle consiste à durcir le système d exploitation d un composant, ainsi que ses relations avec les autres composants du SI. 5.1.4 La défense au niveau des applications La sécurisation d une application s appuie sur des mécanismes propres à l application, mais aussi sur la sécurisation du système d exploitation sans lequel elle ne peut exister. 5.1.5 La défense au niveau des données Les données, stockées comme transmises, sont particulièrement vulnérables (mots de passe, contenu de fichiers, de messages électroniques...). Le chiffrement et/ou des mesures de contrôle d accès discrétionnaires permettent de protéger les données stockées. De même, des données transmises sous forme chiffrée seront moins vulnérables en cas d interception. 1également appelés «sniffers» 2également appelés «switchs» 3également appelés «hubs» N /SGDN/DCSSI/SDO/BAS Page 13 sur 41
5.2 Principe du moindre privilège Le principe du moindre privilège est de ne permettre que ce qui est strictement nécessaire à la réalisation de la fonction recherchée. Comme le principe de défense en profondeur, il se décline à tous les niveaux d un SI. Il se traduit, par exemple, par la limitation des droits accordés à un utilisateur à ceux nécessaires pour remplir sa mission (utilisation du système, administration, gestion des sauvegardes...) et à aucun autre. N /SGDN/DCSSI/SDO/BAS Page 14 sur 41
6 Sécuriser : mesures générales 6.1 Relevé de configuration Il est recommandé d établir et de tenir à jour un relevé de configuration des serveurs en distinguant les différents types de serveurs et leur localisation dans l architecture globale du système d information. Pour chacun de ces types, un document décrira les choix de configuration réalisés, et la liste des mesures particulières à ces systèmes comme, par exemple : les choix réalisés lors de l installation, en terme de partitions, de paramétrages du BIOS... les procédures liées à l identification/authentification des utilisateurs et des administrateurs ; la liste des applications installées et leur version ; la liste des services installés, leur propriété (démarrage automatique, manuel...), la liste des services désinstallés ; le niveau de mise à jour appliqué, en détaillant les mises à jour principales, comme les «Service Packs» de Windows, les correctifs cumulatifs, postérieurs aux Service Packs, tels que les «Rollup Patches» de Windows et les correctifs individuels, postérieurs aux Rollup Patches, appelés «Hotfixes» dans les environnements Windows ; les règles de contrôle d accès aux ressources, et les droits positionnés sur les clés de registre, répertoires et fichiers ; les règles d audit et de journalisation ; les mesures de chiffrement et d empreintes des fichiers critiques contenus sur les serveurs. Les aspects liés à l organisation doivent également être décrits. Ce document devra en particulier être utilisé pour toute nouvelle installation de serveurs de même type. Un volet exploitation devra préciser les tâches liées à la sécurité devant être assurées. On pourra pour cela s inspirer de la structure du présent document. L objectif de ce document est multiple : assurer une continuité de service en cas d absence de l administrateur chargé de l installation du système ; faciliter la constitution d annexes techniques à la PSSI ; savoir sur quels composants assurer une veille technologique. Ce relevé de configuration papier du serveur contient des informations permettant d accéder aux paramétrages du serveur, d identifier les versions du système, des applications, des services, etc. Il doit donc être identifié comme confidentiel et stocké dans un endroit protégé (local fermé à clé par exemple). D une façon pratique, ce relevé de configuration peut être constitué en consignant les choix réalisés lors de l application des différentes parties de ce document. Ce relevé devra bien évidement faire l objet de mises à jour aussi souvent que nécessaire, comme indiqué au paragraphe 8.1.1 page 31. 6.2 Préalables de l installation 6.2.1 Vérification du système sous-jacent Il est important d installer le système sur d un disque vierge (ou tout au moins de reformater intégralement la partition système) et non pas de procéder à une mise à jour du système à partir d une version antérieure de Windows (95, 98, Me ou NT). En effet, cette opération entraînerait des modifications de droits sur les comptes utilisateurs et sur les droits d accès à la base de registres (compte administrateur sans mot de passe par exemple). Le fichier \%systemroot%\system32\ $winnt$.inf permet de savoir si l installation a été réalisée en mettant à jour un ancien système d exploitation. Les champs suivants de ce fichier doivent donc être positionnés à la valeur «no» : winntupgrade=no ; win9xupgrade=no ; win31upgrade=no. Aucun autre système d exploitation ne devrait être installé sur le serveur. N /SGDN/DCSSI/SDO/BAS Page 15 sur 41