Prise en charge des conseils en matière de configuration de la sécurité

Microsoft Corporation

Microsoft fournit des instructions sur la façon de sécuriser nos propres systèmes d’exploitation. Nous avons développé les trois niveaux de paramètres de sécurité suivants :

• Enterprise Client (EC)

• Stand-Alone (SA)

• Sécurité spécialisée - Fonctionnalités limitées (SSLF)

Nous avons testé de façon approfondie ces conseils pour les utiliser dans de nombreux scénarios client. Les conseils s’imposent à toute organisation qui souhaite contribuer à Windows ordinateurs basés sur des clients.

Nous appuyerons entièrement nos guides en raison des tests approfondis que nous avons effectués dans les problèmes de compatibilité de l’application sur ces guides. Visitez les sites web Microsoft suivants pour télécharger nos guides :

• Windows Guide de sécurité Vista :
  

  http://technet.microsoft.com/en-us/library/bb629420.aspx

• Windows Points de comparaison de sécurité XP :

  http://go.microsoft.com/fwlink/?LinkId=14839

• Windows Ligne de base de la sécurité Server 2003 :

  http://go.microsoft.com/fwlink/?linkid=14845

• Windows guide de sécurité 2000 :
  

  http://go.microsoft.com/fwlink/?LinkId=28591

Si vous avez des problèmes ou des commentaires après avoir implémenté les Guides de sécurité Microsoft, vous pouvez envoyer des commentaires en envoyant un message électronique à secwish@microsoft.com.



Des instructions de configuration de sécurité pour Windows d’exploitation, Internet Explorer et la suite de productivité Office sont fournies dans le Gestionnaire de conformité de sécurité Microsoft : http://technet.microsoft.com/en-us/library/cc677002.aspx.

Centre de sécurité Internet

Le service CIS a développé des références pour fournir des informations qui aident les organisations à prendre des décisions en connaissance de cause sur certains choix de sécurité disponibles. CiS offre trois niveaux d’évaluation de la sécurité :

• Hérité

• Entreprise

• Sécurité élevée

Si vous éprouvez des problèmes ou des commentaires à faire part de vos commentaires après avoir implémenté les paramètres d’évaluation du système d’évaluation CIS, contactez le service CIS en envoyant un courrier électronique à win2k-feedback@cisecurity.org.

Notez que les recommandations du CIS ont changé depuis la publication initiale de cet article (3 novembre 2004). Les recommandations actuelles de CIS ressemblent à celles de Microsoft. Pour plus d’informations sur les conseils que Microsoft fournit, lisez la section « Microsoft Corporation » plus tôt dans cet article.

The National Institute of Standards and Technology

La fonction NIST est responsable de la création d’instructions de sécurité pour le gouvernement fédéral des États-Unis. La fonction NIST a créé quatre niveaux d’aide à la sécurité qui sont utilisés par les agences fédérale, les organisations privées et les organisations publiques des États-Unis :

• SoHo

• Hérité

• Entreprise

• Sécurité spécialisée - Fonctionnalités limitées

Si vous avez des problèmes ou des commentaires après avoir implémenté les modèles de sécurité NIST, contactez la loi.N en envoyant un courrier électronique à itsec@nist.gov.

Notez que les recommandations de la NIST ont changé depuis la publication initiale de cet article (3 novembre 2004). Les recommandations actuelles de NIST ressemblent à celles de Microsoft. Pour plus d’informations sur les conseils que Microsoft fournit, lisez la section « Microsoft Corporation » plus tôt dans cet article.

Agence des systèmes d’information sur la défense

DisA crée des recommandations spécifiquement pour une utilisation dans le Département de la défense des États-Unis (DOD). Les utilisateurs du service DOD des États-Unis qui éprouvent des problèmes ou des commentaires après avoir implémenté les instructions de configuration disA peuvent fournir des commentaires en envoyant un courrier électronique à fso_spt@ritchie.disa.mil.

Notez que les recommandations de DISA ont changé depuis la publication initiale de cet article (3 novembre 2004). Les recommandations actuelles de disa sont similaires ou identiques aux conseils que Microsoft fournit. Pour plus d’informations sur les conseils que Microsoft fournit, lisez la section « Microsoft Corporation » plus tôt dans cet article.

L’Agence de sécurité nationale (NSA)

La NSA a donné des instructions pour aider à sécuriser les ordinateurs à haut risque dans le département américain de la défense (DOD). Celle-ci a développé un niveau unique de conseils correspondant approximativement au niveau de sécurité élevé développé par d’autres organisations.

Si vous éprouvez des problèmes ou avez des commentaires à faire part de vos commentaires après avoir implémenté les guides de sécurité de LNS pour Windows XP, vous pouvez envoyer des commentaires en envoyant un message électronique à XPGuides@nsa.gov. Pour transmettre des commentaires sur les guides Windows 2000, envoyez un courrier électronique à w2kguides@nsa.gov.

Notez que les recommandations de LSA ont changé depuis la publication initiale de cet article (3 novembre 2004). Les recommandations actuelles de NSA sont similaires ou identiques aux conseils que Microsoft fournit. Pour plus d’informations sur les conseils que Microsoft fournit, lisez la section « Microsoft Corporation » plus tôt dans cet article.

Modifications des listes de contrôle du système de fichiers et de l’accès au Registre

Windows XP et les versions ultérieures Windows ont considérablement réduit les autorisations dans le système. Par conséquent, il ne devrait pas être nécessaire d’apporter d’importantes modifications aux autorisations par défaut. 

Des modifications supplémentaires de la liste de contrôle d’accès discrétionnaire peuvent invalider l’ensemble ou la plupart des tests de compatibilité d’application effectués par Microsoft. Souvent, des modifications telles que celles-ci n’ont pas subi les tests approfondis effectués par Microsoft sur d’autres paramètres. Les cas de support et l’expérience de champ montrent que les modifications DACL modifient le comportement fondamentaux du système d’exploitation, de façon inattendue. Ces modifications affectent la compatibilité et la stabilité de l’application, et réduisent les fonctionnalités en ce qui concerne les performances et les fonctionnalités.

En raison de ces modifications, nous vous déconseillons de modifier les DACL du système de fichiers sur les fichiers inclus avec le système d’exploitation sur les systèmes de production. Nous vous recommandons d’évaluer toute modification de la base de ressources par rapport à une menace connue afin de comprendre les avantages potentiels que ces modifications peuvent apporter à une configuration spécifique. Pour ces raisons, nos guides ne font que des modifications DECL minimales et Windows 2000. Pour Windows 2000, plusieurs modifications mineures sont requises. Ces modifications sont décrites dans le guide Windows sécurité 2000.

Les modifications étendues apportées aux autorisations qui sont propagées dans le système de fichiers et dans le Registre ne peuvent pas être annulées. Les nouveaux dossiers, tels que les dossiers de profil utilisateur qui n’étaient pas présents lors de l’installation d’origine du système d’exploitation, peuvent être affectés. Par conséquent, si vous supprimez un paramètre de stratégie de groupe qui effectue des modifications DACL, ou si vous appliquez les valeurs par défaut du système, vous ne pouvez pas récupérer les listes DACL d’origine. 

Les modifications apportées à la daCL dans le dossier %SystemDrive% peuvent entraîner les scénarios suivants :

• La Corbeille ne fonctionne plus comme prévu et les fichiers ne peuvent pas être récupérés.

• Une réduction de la sécurité qui permet à un non-administrateur d’afficher le contenu de la Corbeille de l’administrateur.

• Échec du fonctionnement des profils utilisateur.

• Une réduction de la sécurité qui offre aux utilisateurs interactifs un accès en lecture à certains ou à tous les profils utilisateur sur le système.

• Problèmes de performances lorsque de nombreuses modifications DACL sont chargées dans un objet de stratégie de groupe qui inclut de longues heures d' logo ou des redémarrages répétés du système cible.

• Problèmes de performances, y compris les problèmes de système, toutes les 16 heures environ à mesure que les paramètres de stratégie de groupe sont réapprovisionés.

• Problèmes de compatibilité d’application ou incidents d’application.

Pour vous aider à supprimer les pire résultats de ces autorisations de Registre et de fichier, Microsoft fournit des efforts commerciaux raisonnables en accord avec votre contrat de support. Vous ne pouvez toutefois pas pour le moment les récupérer. Nous ne pouvons garantir que vous pouvez revenir aux paramètres préinstallés recommandés en reformantant le disque dur et en réinstallant le système d’exploitation.

Par exemple, les modifications apportées aux listes DACL du Registre affectent de grandes parties des ruches du Registre et peuvent entraîner l’absence de fonctionnement attendu des systèmes. La modification des listes DACL sur des clés de Registre unique pose moins de problème à de nombreux systèmes. Toutefois, nous vous recommandons d’envisager et de tester soigneusement ces modifications avant de les implémenter. Là encore, nous ne pouvons garantir que vous pouvez revenir aux paramètres préinstallés recommandés si vous reformatez et réinstallez le système d’exploitation.

Client réseau Microsoft : communications signées numériquement (toujours)

Lorsque vous activez ce paramètre, les clients doivent signer le trafic de blocage des messages du serveur (SMB) lorsqu’ils contactent des serveurs qui ne nécessitent pas de signature SMB. Les clients sont ainsi moins vulnérables aux attaques de sessions. Elle présente une valeur significative, mais sans activer une modification similaire sur le serveur pour permettre au serveur réseau Microsoft de signer numériquement les communications (toujours) ou le client de réseau Microsoft : signer numériquement les communications (si le client accepte), le client ne pourra pas communiquer avec le serveur.

Sécurité réseau : ne stockez pas la valeur de hachage du Gestionnaire réseau lors du prochain changement de mot de passe

Lorsque vous activez ce paramètre, la valeur de hachage du Gestionnaire de réseaux lans (LM) pour un nouveau mot de passe n’est pas stockée lorsque le mot de passe est modifié. Le hachage LM est relativement faible et sujet à des attaques en comparaison avec le hachage Microsoft Windows NT plus puissant au niveau du chiffrement. Bien que ce paramètre offre une sécurité supplémentaire étendue à un système en empêchant de nombreux utilitaires courants de fissurage de mot de passe, le paramètre peut empêcher certaines applications de démarrer ou de s’exécutent correctement.

Chiffrement système : utiliser des algorithmes compatibles FIPS pour le chiffrement, le hachage et la signature

Lorsque vous activez ce paramètre, Internet Information Services (IIS) et Microsoft Internet Explorer utilisent uniquement le protocole TLS 1.0 de transport Layer Security (TLS). Si ce paramètre est activé sur un serveur exécutant IIS, seuls les navigateurs web qui supportent TLS 1.0 peuvent se connecter. Si ce paramètre est activé sur un client web, le client ne peut se connecter qu’aux serveurs qui supportent le protocole TLS 1.0. Cette exigence peut affecter la capacité d’un client à visiter des sites web qui utilisent SSL (Secure Sockets Layer). Pour plus d’informations, cliquez sur le numéro d’article suivant pour le consulter dans la Base de connaissances Microsoft :

811834 Impossible de visiter les sites SSL une fois que vous avez activé le chiffrement conforme AUP en outre, lorsque vous activez ce paramètre sur un serveur qui utilise les services Terminal Server, les clients sont obligés d’utiliser le
client RDP 5.2 ou version ultérieure pour se connecter.

Pour plus d’informations, cliquez sur le numéro d’article suivant pour le consulter dans la Base de connaissances Microsoft :

811833 Les effets de l’activation du paramètre de sécurité « Chiffrement système : utiliser des algorithmes compatibles FIPS pour le chiffrement, le hachage et la signature » dans Windows XP et les versions ultérieures de Windows

Le service de mise à jour automatique ou le service de transfert intelligent en arrière-plan (BITS) est désactivé

L’un des principaux piliers de la stratégie de sécurité Microsoft est de s’assurer que les systèmes sont mis à jour. L’un des composants clés de cette stratégie est le service de mises à jour automatiques. Les services Windows mise à jour logicielle et de mise à jour automatique utilisent le service de mises à jour automatiques. Le service de mises à jour automatiques s’appuie sur le service BITS (Background Intelligent Transfer Service). Si ces services sont désactivés, les ordinateurs ne pourront plus recevoir de mises à jour de Windows Update via les mises à jour automatiques, de Software Update Services (SUS) ou de certaines installations de Microsoft Systems Management Server (SMS). Ces services ne doivent être désactivés que sur les systèmes qui ont un système de distribution de mises à jour efficace ne s’appuyant pas sur BITS.

Le service NetLogon est désactivé

Si vous désactivez le service NetLogon, une station de travail ne fonctionne plus correctement en tant que membre du domaine. Ce paramètre peut être approprié pour certains ordinateurs qui ne participent pas aux domaines. Toutefois, il doit être soigneusement évalué avant d’être déployé.

NoNameReleaseOnEtaand

Ce paramètre empêche un serveur de abandonner son nom NetSINS s’il entre en conflit avec un autre ordinateur du réseau. Ce paramètre est une bonne mesure préventive en cas d’attaque par déni de service contre des serveurs de noms et d’autres rôles serveur très importants.

Lorsque vous activez ce paramètre sur une station de travail, la station de travail refuse de abandonner son nom NetSINS, même si ce nom entre en conflit avec le nom d’un système plus important, tel qu’un contrôleur de domaine. Ce scénario peut désactiver une fonctionnalité importante du domaine. Microsoft prend vivement en charge les efforts du secteur en matière de fournir des conseils de sécurité ciblés sur les déploiements dans des domaines de haute sécurité. Toutefois, ces instructions doivent être testées de façon approfondie dans l’environnement cible. Nous recommandons vivement aux administrateurs système qui ont besoin de paramètres de sécurité supplémentaires au-delà des paramètres par défaut, d’utiliser les guides émis par Microsoft comme point de départ pour les besoins de leur organisation. Pour obtenir de l’aide ou poser des questions sur les guides tiers, contactez l’organisation qui vous a émis les conseils.