Veille Technologique Sécurité - cert devoteam

Avril 2001
ATTAQUES
OUTILS
HARDENING WINDOWS 2000
Description
Le document 'Hardening Windows 2000', proposé par Philip Cox, est extrait du livre 'Windows 2000 Security
Handbook' édité chez Osborne/McGraw-Hill. La partie présentée a pour vocation de guider l’utilisateur vers une
méthode de sécurisation des systèmes d’exploitation Windows 2000 Server, et par extension Windows 2000
Professional.
La stratégie retenue afin d’optimiser le processus de sécurisation est basée sur un principe simple et pour le moins
efficace. S’il fallait résumer celui-ci, il affirmerait que «tout ce qui n'est pas utile au système est inutile au
système».
A première lecture, cette observation peut paraître naïve, cependant il est facile constater qu’un grand nombre
d’attaques ont pour cible des services additionnels, souvent installés par défaut. En effet, on enregistre tous les jours
l’apparition de nouvelles vulnérabilités. Celles-ci affectent des applications ou services pour la plupart inutilisés. Ceuxci
constituent donc, potentiellement, un danger réel. Une politique paranoïaque se révèle souvent plus efficace que
tout autre.
Le document se place donc dans un contexte où les systèmes sont exposés à un environnement hostile, et se
prémunir consiste ici à présenter le minimum de faiblesses afin d’être le moins vulnérable. Tout service, application,
couche ou protocole est un talon d’Achille pour le système et les segments de réseau qui l’entourent.
Le document se pose donc comme un guide de sécurisation dans le cadre de l’installation d’un système d’exploitation
Windows 2000. La majorité des recommandations traite principalement de problèmes de configuration. Cependant
l’étendue des domaines couverts est très vaste et celle-ci reflète parfaitement les dangers qu’un administrateur
réseau pourrait rencontrer dans le contexte décrit. De plus, l’auteur rappelle que bon nombre de paramètres ne sont
pas décrits, voire simplement documentés, ce qui rend la tâche encore plus difficile.
Ainsi ce guide décrit en détails la marche à suivre afin d’obtenir le système le plus fiable possible. Les domaines
suivants sont en grande partie développés :
- Installation minimale du système
- Renforcement du système par désactivation ou désinstallation des services inutilisés et des applications
dépendantes
- Reconfiguration de Syskey afin d’empêcher les attaques sur la base SAM (Security Account Manager)
- Mise en place d’une politique de sécurité fiable sur les droits, comptes, mots de passe et options de sécurité des
utilisateurs
- Suppression 'physique' des services afin de consacrer une machine par service
- Filtrage et renforcement des connexions TCP/IP et mise en place d’IPSec
- Installation des correctifs (ou Service Packs)
- Protection des binaires sensibles
- Restriction des droits détenus par l’utilisateur anonyme
Cette liste reflète la plupart des oublis ou écueils. En effet, l’administrateur réseau, ou tout autre utilisateur désireux
d’installer un système fiable et sécurisé semble se focaliser sur la protection. Ainsi, l’utilisation d’EFS (Encrypting File
Système) afin de chiffrer les données sensibles, l’installation de logiciel vérifiant l’intégrité du système tel que Tripwire
ne seront jamais négligés au détriment des directives rappelées ci-dessus.
Si l’on s’intéresse aux bulletins Microsoft ayant recensé une vulnérabilité dans le système d’exploitation
Windows 2000 Server ou Professional, on obtient le tableau suivant:
Bulletin Titre S P Origine de la vulnérabilité Evitable
MS01-022 WebDAV Service Provider Can Allow Scripts to Levy X X Composant accédant aux Oui
Requests as User
ressources ‘WebDAV’ (msdaipp.dll)
MS01-017 Erroneous VeriSign-Issued Digital Certificates Pose X X Falsification de certificats Non
MS01-013
Spoofing Hazard
Windows 2000 Event Viewer Contains Unchecked Buffer X X Visualiseur d’évènements Non
MS01-011 Malformed Request to Domain Controller Can Cause CPU X Service utilisé par le contrôleur de
Exhaustion
domaines
MS01-007 Network DDE Agent Requests Can Enable Code to Run in
System Context
X X Network DDE Oui
MS01-006 Invalid RDP Data Can Cause Terminal Server Failure X Protocole RDP Oui
MS01-005 Packaging Anomaly Could Cause Hotfixes to be Removed X X Catalogue système Non
MS01-001 Web Client Will Perform NTLM Authentication Regardless
of Security Settings
X X ‘Web Extender Client’ Oui
MS00-099 Directory Service Restore Mode Password Vulnerability X Outil ‘Configure your server’ Oui (3)
Veille Technologique Sécurité N°33 Page 38/59
© APOGEE Communications - Tous droits réservés Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE
Non (1)