13 mai 2017
comment 0

Sécurités , mes préconisations …


Bonjour à tous …

Petite mise à jour, et conseils de sécurité pour vos réseaux. Je suis conscient que tout n’est pas applicable.

 

Préconisations pour les attaques frontales internet:

  • Vérifiez vos règles de parfeu sur votre fwall
  • Toute application disponible sur internet doit être dans une DMZ, cela permet de limiter les dégâts si celui-ci se fait hacker. Le hacker pourra donc plus difficilement faire un rebond vers l’intérieur.
  • Mise en place de fail2ban sur les services disponibles depuis l’extérieur.
  • Mise en place de l’https pour éviter que les mots de passe ne transitent en clair sur les réseaux (facile avec let’s encrypt ) puis forcer le passage par l’https.

 

Préconisations pour la sécurité des postes utilisateurs:

  • Vos logiciels doivent être à jour !! –> Avec WAPT 😉
  • Vos postes windows doivent également être à jour ! (au moins les correctifs de sécurité ! )
  • Vos serveurs linux doivent également être à jour.
  • Les services (logiciels) installés sur vos serveurs doivent également être à jour.
  • Vous devez mettre en place le SRP ! (stratégie de restriction logiciel)
    • Dans l’idéal un utilisateur ne doit pas pouvoir exécuter quelque chose dans un dossier où il a l’accès en écriture
  • Désactiver les macros dans Microsoft Office et Libre Office ou les sécuriser.
  • Désactiver l’exécution des js dans les lecteurs pdf (Adobe Reader)
  • Bloquer avec le Firewall (Winfows ?) les ports de la machine laissés ouverts inutilement.

 

Préconisations sur le téléchargement d’éléments dangereux :

  • Filtrer les pièces jointes dangereuses sur votre système d’email
  • Mettre un système de proxy filtrant obligatoire.
    (impossibilité pour les utilisateurs de sortir directement sur internet)
  • Dans l’idéal mettre en place un snort sur le fwall pour snifer et analyser les trams et bloquer les comportements étranges.

Préconisations pour limiter les dégâts dans le cas où un ransomware a réussi a débuter une attaque:

  • Pour serveur de fichiers (samba) , limitation des dégâts pour ransomware:
    • Mettre en place un audit de suppression des fichiers, avec samba : vfs objects = full_audit
    • Mettre en place un fail2ban qui analyse les logs audit samba
    • Mettre en place un fichier detecte_ransomware.doc sur le serveur de fichiers.
    • Dans les deux cas: si un comportement étrange est détecté (extension étrange ou suppression du fichier de détection)  , le fail2ban peut enclencher une action pour stopper l’attaque !
    • Ne pas donner aux utilisateurs plus d’accès que nécessaire aux différentes ressources. (Faire le tri dans les droits d’accès des utilisateurs) pour limiter les dégâts.
    • Bien évidement avoir des sauvegardes fonctionnelles !

 

Préconisation pour les administrateurs réseaux:

  • Ne jamais utiliser un compte membre du groupe « domain admins » ! Faire un groupe uniquement administrateurs des postes.
  • Vos utilisateurs ne doivent bien évidemment pas être administrateurs de leur poste ni membres du groupe domain admins…

 

Sécurisation physique du poste de travail :

  • Dans le bios: Bloquer le démarrage sur le disque dur directement.
  • Bloquer l’accès bios par un mot de passe
  • Bloquer l’accès matériel (accès a la carte mère), sinon il devient facile de faire un reset mot de passe du bios…

 

Sécuriser l’accès physique aux différents éléments actifs du réseau :

  • On parle ici de bloquer physiquement l’accès avec une porte et une clé ou autre…  🙂

 

Sécurisation de l’accès au réseau:

  • Mise en place de 802.1X pour bloquer l’accès au réseau aux postes (pc portable) non autorisé.
  • Même chose pour le wifi !


Communication utilisateurs  :

  • Il faut communiquer les risques aux utilisateurs !  Pour qu’ils soient méfiants !

Veille Techno :

  • Tenez-vous au courant à travers les différents articles du net! La faille qu’utilise Wannacrypt a été rendue publique une semaine avant l’attaque de grande ampleur !
  • Analyser les contenus bloqués par votre système d’email ou proxy. Mieux connaître son ennemi pour mieux se préparer aux attaques ! Votre système a bloqué une attaque, bloquera t-il les prochaines ?
2 avril 2017
comment 0

Live youtube wapt

Bonjour a tous !

Pour ceux qui l’auraient loupée, on a fait un live youtube wapt pour fêter les 200000 postes administrées avec wapt ! Au passage on vous montre les nouvelles features, on vous parle des futures évolution et on répond a vos questions !

20 mars 2017
comment 0

Solution de parfeu simple et efficace

 

Petit article vite fait pour vous faire découvrir une solution simple et efficace.
On est en règle général tous d’accord pour dire qu’iptables est une solution fiable et efficace mais dont la syntaxe est imbuvable.

J’ai découvert Shorewall a mon nouveau boulot chez tranquilit
Shorewall est une surcouche a iptables ,  permettant de simplifier celui-ci.

J’aime de plus en plus les solutions sans fioriture, pas d’interface web, le tous se résume en quelques fichiers de conf qui deviennent simple a « backuper ».

Le problème avec les solutions tout empaqueter comme pfsense (je ne crache pas sur pfsense non plus) c’est qu’on ne sait pas trop ce qui se passe derrière. J’aime pas trop ça pour débugger c’est pas le top.

L’autre avantage de prendre une solution baser sur linux c’est que vous n’êtes pas lier a un matériel comme sonicwall ou cisco par exemple, et pas de licence …

Bref je vous laisser tester ! Je trouve que ça vaut le coup !

17 décembre 2016
comment 0

Gestion wapt – all in one package

Salut ça fait longtemps !      Aujourd’hui un article wapt, ça change ^^

Je vous propose de manager wapt de manière différente. On va oublier 30 secondes la console et on va créer un paquet wapt qui va installer des paquetwapt…

Avant WAPT, j’utilisais WPKG. Et ce que j’aimais bien faire c’était gérer les paquets à installer en fonction du nom des postes.

On va faire la même chose avec wapt. Le principe de fonctionnement est le suivant: J’installe sur tous mes postes un paquet wapt nommé tis-all-in-on-package

Et dans ce paquet je définis la liste paquets wapt à installer, supprimer ou oublier. en fonction de différents tests.

J’ai donc fait un paquet wapt d’exemple  ici :
https://wapt.lesfourmisduweb.org/tous-les-packages?recherche=smp-all-in-one-package

Il inclut un certain nombre d’exemples que vous pouvez reproduire !

Je peux donc aller aussi loin que python me le permet dans la finesse de choix des paquets à installer.  Lorsque l’on a un gros parc, c’est quelque chose de très pratique. Un seul paquet wapt gère l’ensemble du parc.

Je sais que certain d’entre vous aimerait gérer la liste des logiciels àge installer en fonction des OU présente dans l’ad. Avec ceci cela pourrait être possible 😉

 

5 novembre 2016
comment 0

Checker les dernières version des logiciels en ligne

checklist

Bonjour

Dernière petite nouveauté pour mon dépôt.
Avant, pour savoir que je devais faire un paquet wapt je devais m’amuser à aller vérifier les sites à la main et c’était un peu au petit Bonheur la chance ou alors je devais attendre qu’un utilisateur m’indique une mise à jour.

J’ai donc fait un petit script qui va surfer et vérifier à ma place toutes les heures si une mise à jour est disponible et va ensuite m’envoyer un email si la version a changé depuis la dernière fois.

Je ne vais pas publier ce script car vraiment il n’est pas très propre et au prochain changement de design des sites, tout peut sauter. Je modifierais donc en conséquence

En revanche, vous avez ici :
https://wapt.lesfourmisduweb.org/wapt/resultupdate.json

…la sortie du script, et vous pouvez donc l’exploiter si vous le souhaitez.

Edit 2019: Je viens de mettre en place un bot twitter qui tweet les mises à jours dispo, c’est dispo ici : https://twitter.com/patchmanagement

21 juillet 2016
comment 0

Self Service Password, google apps, office 365 et check password script

change-your-password-623x427

Un petit article utile pour samba et Windows Active Directory

Dans mon établissement nous avons de plus en plus de classe portable (les élèves apporte leur propre pc portable).

Les identifiants et mot de passe pour accéder au wifi, owncloud, etc sont ceux de l’AD, si l’utilisateur veut changer son mot de passe, il doit se connecter a un pc du domaine pour le changer, pas pratique.

J’ai donc mis en place « Self Service Password »:
http://ltb-project.org/wiki/documentation/self-service-password

C’est une page web qui permet de changer son mot de passe :

ssp_change_nooptions

 

Mais cet interface permet donc d’aller encore plus loin et pourrait bien vous changer la vie. En cas d’oublie de mot de passe, le système peut proposer plusieurs méthode pour le réinitialiser:

 

  • Reset by questions
  • Reset by mail challenge (token sent by mail)
  • Reset by SMS (trough external Email 2 SMS service)

Quelques fonctions supplémentaire sont notamment disponible, notamment le fait de gérer plus finement la politique de mot de passe.

Un email peut également être envoyée après un changement de mot de passe afin de détecter des comportements malveillant.

Une dernière fonctionnalités est très intéressante : le posthock

Le posthook est un script où est envoyé le nom d’utilisateur et le mot de passe après le changement de mot de passe.

Je profite donc du posthock pour envoyer le nouveau mot de passe à mon google apps et mon office 365 avec samba4.

En effet, pour samba4, avant, j’envoyai les mot de passe via ce genre de script :
https://github.com/baboons/samba4-gaps

Mais ce genre de script me force à stocker les mot de passe de façon réversible dans l’AD, et je n’aime pas trop ça…

L’autre méthode que j’ai envisager pour  samba est d’utiliser le
« check password script », mais malheureusement cela ne fonctionne plus avec samba4 : https://lists.samba.org/archive/samba/2016-June/200293.html

Edit 08/11/2016 :
Le « check password script » semble être pris en charge dans la version 4.5 de samba. Malheureusement je n’ai pas trouvée de solution pour récupérer le nom d’utilisateur :-/

Ce genre de système est quand même utile avec un active directory, en effet le système de synchronisation  des mot de passe office 365 synchronise les mot de passe toute les 15 minute il me semble. Avec les script office 365 que j’utilise, le changement est instantanée.

Voici donc mon script posthock pour google Apps et office 365:
https://github.com/sfonteneau/script_modify_password_googleapps_and_office365/

Attention ! Pour que le script fonctionne, la politique de complexités de mot de passe doit être sur 8 caractère minimum et 16 maximum !

J’espère un jour que le « check password script » re-fonctionne a nouveau

 

Edit 2019 :

Voir : https://blog.lesfourmisduweb.org/samba4-password-synchro/

7 avril 2016
comment 0

Owncloud – Lecteur réseau – webdav

webfolder

Encore un petit article pour un petit souci que j’ai rencontrée.
dans mon établissement où nous avons montée un owncloud. Le owncloud est très pratique pour les enseignants et élèves à l’extérieur. Avec le client installé à l’extérieur sur le poste personnel des enseignants c’est parfait.
En revanche, en interne, c’est plus compliqué. J’ai d’abord pensé à faire un partage samba pour ensuite monter un lecteur réseau sur la session, mais au niveau des droits entre samba et owncloud c’est un peu plus compliqué.

27 mars 2016
comment 0

Wifi – FreeRadius 802.1x – Squid/SquidGuard

Il y a un moment maintenant déjà, j’avais fait un article « Pourquoi il ne faut pas utiliser Squid en mode transparent ? ». J’avais là ma solution de filtrage. Mais pas  forcément la solution d’authentification.

J’avais pensée utiliser packetfence, mais c’est plus une solution de NAC. Pfsense est intéressant également, mais ne convenait pas trop à mon projet. Packetfence est d’ailleurs trop gourmand en ressource.

Je suis donc partie sur le principe me faire ma solution faite main, voici une petite vidéo de présentation de ma solution :

https://www.youtube.com/watch?v=9ItnHyWaWMo

9 mars 2016
comment 0

MAJ – Lutter contre les ransomwares

detecter-logiciel-espion

Il y a quelque temps j’avais fait un article « Lutter contre les ransomwares » :

Lutter contre les ransomwares

Aujourd’hui une petite mise a jour s’impose.

J’ai pris tous les ransomwares trouvées dans ma boite spam et j’ai commencé à les tester un par un.

Ce qui change par rapport au dernier article, ce que je dois faire:

– Ajout de l’extension JS a la liste des extensions non autorisées dans les GPO de restriction logiciel

– Blocage des MACRO dans Microsoft office avec les gpo (admx) fournis par Microsoft: https://www.microsoft.com/en-us/download/details.aspx?id=35554
Basculer le « Paramètre de notification de Macro VBA » a « Désactiver tout sans notification ». Dans mon établissement, personne n’utilise les macros. Je n’ai donc pas d’utilités à les laisser activées

Et bien sûr, maintenir son parc de logiciel à jour pour éviter qu’une faille de sécurité soit exploitée. Exemple: (http://www.lemondeinformatique.fr/actualites/lire-adobe-corrige-24-failles-dans-flash-player-dont-celle-utilisee-par-les-ransomwares-64462.html)

Édit :

Je me contente ici de décrire techniquement et froidement les méthodes.

K3nny a retranscris plus proprement ce que j’ai écris ici :

http://reseaux85.fr/index.php?title=Strat%C3%A9gie_de_Restriction_Logiciel_et_Applocker

et ici :

http://reseaux85.fr/index.php?title=S%C3%A9curit%C3%A9_-_Crypto-Locker/Ransomware