Select the product you need help with
Meilleures pratiques et conseils destinés aux rédacteurs de listes de contrôle d'accès discrétionnaires sur des servicesNuméro d'article: 914392 - Voir les produits auxquels s'applique cet article SommaireRésuméLes listes de contrôle d'accès discrétionnaires (DACL, Discretionary Access Control List) sur les services sont des composants importants de la sécurité des stations de travail et des serveurs. Cet article de la Base de connaissances Microsoft indique comment interpréter les DACL sur les services. Il comporte également des meilleures pratiques destinées aux rédacteurs de DACL sur des services lorsqu'ils développent et évaluent la sécurité de leurs programmes. INTRODUCTIONCet article de la Base de connaissances Microsoft peut vous servir de support pour l'évaluation de la sécurité des listes de contrôle d'accès discrétionnaires (DACL) sur des services. Plus d'informationsPour afficher les DACL sur un service, utilisez la commande sc avec l'argument sdshow tel qu'indiqué dans l'exemple ci-dessous, où nom_service désigne le nom du service dont vous voulez afficher les DACL. sc sdshow nom_service La commande génère des résultats semblables aux lignes suivantes : (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;PU)(A;;CCDCLCSWLOCRRC;;;LS) Cet exemple de sortie de la commande sc illustre la description de sécurité d'un service dans le langage SDDL (Security Descriptor Definition Language). Pour plus d'informations sur la syntaxe du langage SDDL, reportez-vous au site Web de Microsoft à l'adresse suivante (en anglais):http://msdn2.microsoft.com/en-us/library/aa379567.aspx Il y a plusieurs choses à examiner pour déterminer si la DACL d'un service est vulnérable. Les tableaux suivants indiquent comment lire les résultats de la commande sc et comment interpréter chaque chaîne d'autorisation ainsi que le bénéficiaire de l'autorisation.
(http://msdn2.microsoft.com/en-us/library/aa379567.aspx)
Vous pouvez évaluer de façon indépendante chaque chaîne de caractères entre parenthèses en utilisant la clé suivante : (A-Autoriser/D-Refuser;;Chaîne des autorisations;;;SID ou acronyme du groupe ou du compte prédéfini) Chaque paire de lettres de la chaîne des autorisations correspond à un droit ou une autorisation spécifique, comme indiqué ci-après. Réduire ce tableau
Soyez très vigilant avec l'autorisation ChangeConf (DC). Examinez-la lorsque vous évaluez si votre service est vulnérable face à une attaque de type élévation de privilège. Cette autorisation permet à l'utilisateur désigné de modifier la configuration du service afin d'y inclure le fichier binaire exécuté lors du démarrage du service. Soyez aussi extrêmement vigilant avec les autorisations WDac (WD) et WOwn (WO) car l'une comme l'autre peuvent être utilisées pour élever les autorisations au niveau de Système local. Assurez-vous que ces droits ne sont pas attribués à un utilisateur dont le niveau d'autorisation est peu élevé. Le tableau suivant répertorie les codes utilisés pour identifier le type d'utilisateur auquel est attribué le droit d'accès. Ces codes utilisent la syntaxe du langage SDDL. Réduire ce tableau
Interprétation d'une chaîne de DACL au format SDDLLes informations suivantes indiquent comment interpréter l'exemple de chaîne de DACL figurant au début de l'article. L'interprétation donnée ci-après énumère une à une chaque entrée de contrôle d'accès (ACE, Access Control Entry).
L'exemple de DACL suivant n'attribue pas les droits ChangeConf aux utilisateurs authentifiés : (A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;DT;;;LS)(A;;DT;;;NS)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;NO) Dans cette DACL, les utilisateurs authentifiés (AU) ne se voient attribuer que les droits suivants :
Le groupe Système local (SY) dispose des mêmes autorisations que le groupe Utilisateurs avec pouvoir, à ceci près qu'il reçoit également les autorisations Stop et Pause, ce qui paraît approprié. Les deux entrées de contrôle d'accès suivantes sont courtes et accordent aux comptes Service local et Service réseau l'autorisation de suspendre le service. Là aussi, cela semble approprié car les comptes Service local et Service réseau sont tous les deux des comptes locaux puissants. Le groupe Opérateurs de configuration réseau (NO), quant à lui, se voit attribuer l'autorisation ChangeConf. Il a été ajouté dans Windows XP pour permettre aux utilisateurs approuvés de modifier les paramètres réseau sans avoir pour autant toutes les autorisations d'administration. Par défaut, le groupe Opérateurs de configuration réseau est vide. Il est parfois utilisé pour attribuer des autorisations de configuration du réseau à certains utilisateurs. Par exemple, le propriétaire d'un ordinateur portable peut se voir accorder cette autorisation. Les utilisateurs du groupe Opérateurs de configuration réseau ont généralement le contrôle physique de leur ordinateur. Toutefois, le but de ce groupe n'est pas d'attribuer aux utilisateurs toutes les autorisations d'administration. Par conséquent, cette DACL sur le service ne doit pas accorder l'autorisation ChangeConf au groupe Opérateurs de configuration réseau. Meilleurs pratiquesIl convient de restreindre les DACL sur les services aux utilisateurs qui ont besoin d'un type d'accès particulier. Soyez particulièrement vigilants avec les droits ci-dessous. Si ces droits sont attribués à un utilisateur ou à un groupe dont les droits sont limités, ces droits peuvent être utilisés pour élever les droits au niveau de ceux de Système local sur l'ordinateur.
http://msdn2.microsoft.com/en-us/library/ms685981.aspx
(http://msdn2.microsoft.com/en-us/library/ms685981.aspx)
PropriétésNuméro d'article: 914392 - Dernière mise à jour: jeudi 15 février 2007 - Version: 1.4 Les informations contenues dans cet article s'appliquent au(x) produit(s) suivant(s):
L'INFORMATION CONTENUE DANS CE DOCUMENT EST FOURNIE PAR MICROSOFT SANS GARANTIE D'AUCUNE SORTE, EXPLICITE OU IMPLICITE. L'UTILISATEUR ASSUME LE RISQUE DE L'UTILISATION DU CONTENU DE CE DOCUMENT. CE DOCUMENT NE PEUT ETRE REVENDU OU CEDE EN ECHANGE D'UN QUELCONQUE PROFIT. | Traductions disponibles
 |
Retour au début
