Paramètres, maintenance et conformité

Introduction

La sécurité est une priorité de l’entreprise autant au niveau des périphériques que des données. La sécurité est au cœur de l’entreprise et un véritable enjeu du côté de l’informatique. Trop souvent, les menaces proviennent de l’intérieur de l’entreprise, avec des postes qui ne sont pas à jour, des configurations altérées par les utilisateurs ou des versions d’antivirus qui ne sont plus capables de protéger le système. En plus de la sécurité, un des problèmes majeurs auquel l’IT doit particulièrement faire attention est l’homogénéité du parc et la conformité des machines qui le composent. Il arrive que les GPO ne soient pas appliquées partout et que des postes ne reçoivent pas correctement les politiques globales de l’entreprise. Ces problèmes sont symptomatiques d’une gestion difficile des postes de travail, serveurs et périphériques de l’entreprise. L’analyse et la maîtrise de ces points critiques peuvent faire la différence entre un parc sain, et une infrastructure faible et vulnérable. Connaître son parc et suivre son évolution est la clé d’une infrastructure maîtrisée et d’un environnement de travail sûr...

Concepts et composants

Pour bien comprendre et maîtriser la gestion de la conformité au sein de ConfigMgr, il est primordial d’étudier et de comprendre les différents composants qui en font un outil très puissant et utile dans l’entreprise. La maîtrise des concepts est essentielle pour pouvoir mettre en place le plus efficacement possible les éléments de configuration. Avec la console d’administration Microsoft Endpoint Configuration Manager, vous bénéficiez d’une interface unifiée qui permet de gérer les configurations, la conformité, et l’accès aux ressources de tous les périphériques, traditionnels ou modernes, de l’entreprise à partir d’un point unique. Une grande partie de ces fonctionnalités sont présentes dans la console ConfigMgr mais peuvent être exploitées directement dans le centre d’administration MEM (Intune) pour unifier les accès à l’entreprise.

La gestion de la conformité permet de vérifier et de reconfigurer au besoin de nombreux paramètres, notamment l’installation et les configurations du système d’exploitation, des applications requises ou facultatives ou la présence d’applications interdites. La conformité permet aussi de gérer l’accès des périphériques aux données de l’entreprise depuis Internet. Plusieurs outils peuvent être utilisés par la fonctionnalité pour vérifier les configurations et les modifier si cela s’avère nécessaire. Ces outils sont aussi variés que les scripts, les clés de registre, les propriétés dans la base WMI et tous les paramètres OMA-DM des périphériques modernes qui peuvent être modifiés automatiquement si une alerte de non-conformité est levée lors de l’analyse.

La conformité est évaluée en définissant une ligne de base (Baseline) qui contient les éléments de configuration que vous voulez évaluer en vous basant sur des paramètres (Settings) et les règles de conformité (Compliance Rules) qui définissent comment évaluer ces paramètres. Il est possible d’importer des lignes...

Prérequis

Pour pouvoir mettre en place la gestion de la conformité, il est nécessaire de prendre en compte les éléments à configurer et de les mettre en place s’ils ne sont pas déjà présents sur les sites. Dans un premier temps, les périphériques doivent être activés pour les paramètres de la conformité en paramétrant la fonctionnalité dans les paramétrages du client. Pour ce faire, naviguez dans Administration - Overview - Client Settings. Il est recommandé de créer une stratégie dédiée et de ne pas modifier la stratégie par défaut.

Les paramètres suivants sont à configurer :

Configuration Items : fonctionnement

Nous allons voir dans cette section le fonctionnement, la création, la configuration, l’utilisation des éléments de configuration et comment s’approprier l’outil. Dans un premier temps, nous étudierons le lien entre les options et les règles de conformité. Puis, dans un second temps, nous nous concentrerons sur les profils et données utilisateur. 

Il existe différents types d’éléments de configuration.

Avec ConfigMgr Current Branch, vous n’avez plus besoin de choisir le type d’élément de configuration lors de la création. Microsoft a retravaillé le processus de création pour créer des catégories de plateformes permettant de mieux identifier les paramètres qui s’appliquent aux différents plateformes et modes de gestion.

Baselines

Les lignes de base (ou Baselines) de Microsoft Endpoint Configuration Manager sont composées d’éléments de configuration, de mises à jour logicielles ou d’autres lignes de base de configuration. Elles ne sont pas applicables aux stratégies de mise à niveau de l’édition Windows 10, aux profils et données utilisateurs, etc. Elles peuvent contenir des révisions spécifiques de certains éléments de configuration ou être configurées pour ne garder que la dernière version des éléments de configuration qui en font partie. Les lignes de bases peuvent ensuite être déployées vers une collection pour que les périphériques de cette collection puissent télécharger la ligne de base et les éléments de configuration afin d’évaluer la conformité du système face à ces politiques. Les lignes de base peuvent être importées facilement si elles ont été créées sur une architecture différente et exportées dans un environnement de développement, par exemple.

1. Création et déploiement d’une baseline

 Pour créer une ligne de base de configuration, vous devez naviguer dans Assets and Compliance - Overview - Compliance Settings - Configuration Baselines.

 Cliquez sur Create Configuration Baseline pour ouvrir l’assistant de création d’une ligne de base. Les paramètres suivants sont à configurer.

• Name : le nom de la ligne de base, qui doit être unique et d’un maximum de 256 caractères.

• Description : la description de la ligne de base, qui doit permettre de facilement identifier son rôle et ses actions. 512 caractères maximum.

• Configuration data : la liste des objets qui seront ajoutés à la ligne de base de configuration. Peuvent être ajoutés des éléments de configuration, des mises à jour logicielles et d’autres lignes de base en cliquant sur Add puis en sélectionnant le type d’objet à ajouter à la ligne de base. Pour supprimer un objet, cliquez sur Remove. Pour choisir la révision la plus adaptée à la ligne de base pour les éléments de configuration, cliquez...

Best Practices

Les bonnes pratiques, ou Best Practices, sont les recommandations qui sont faites par les éditeurs pour permettre aux administrateurs et utilisateurs de tirer le meilleur parti des outils mis à leur disposition. Ces meilleures pratiques peuvent concerner l’administration et le fonctionnement général, ou l’utilisation et les objets de l’outil. Elles peuvent permettre de renforcer la sécurité des systèmes. Ces meilleures pratiques ne s’appliquent bien évidemment pas dans tous les cas, mais peuvent permettre de mieux comprendre certaines fonctionnalités et de les utiliser de manière optimale dans votre environnement. En adaptant ces ressources à votre infrastructure ConfigMgr, vous pouvez mettre en place rapidement des lignes de base de configuration qui répondent aux standards de Microsoft et des autres grands éditeurs logiciels, s’ils proposent des modèles.

Remédiation

La remédiation est l’action qui vise à corriger une erreur ou un paramètre non conforme dans le parc informatique. C’est la deuxième composante majeure de la gestion de la conformité. Il est très important de connaître l’état de la conformité de l’ensemble des éléments de l’infrastructure, mais il est encore plus nécessaire de pouvoir remédier à ces errements et réparer les postes qui ne sont pas aux normes de l’entreprise. Pouvoir prendre des actions rapides en cas de manquement à la sécurité est primordial et l’on ne peut se permettre de laisser un ou plusieurs périphériques vulnérables dans l’environnement de l’entreprise. La remédiation va permettre de répondre rapidement et efficacement aux manquements remontés lors des phases d’évaluation.

Comme nous allons le voir dans cette section, il existe deux types de remédiation : la remédiation manuelle et la remédiation automatique. Nous n’avons abordé le sujet que maintenant, bien que les actions soient disponibles lors de la création des éléments de configuration, parce qu’il est nécessaire de bien comprendre les concepts et l’utilisation de la gestion de la conformité en profondeur avant de pouvoir passer à une phase de remédiation, notamment automatisée.

Accès aux ressources de l’entreprise

La gestion des périphériques passe par l’étape importante de provisionnement et de configuration des périphériques. Microsoft propose la possibilité de déployer des certificats et des configurations VPN, Wi-Fi, e-mail, Windows Hello for Business et de connexion à distance. Si plusieurs profils d’un même type sont déployés sur le même utilisateur, le paramétrage optionnel n’est pas envoyé au périphérique. Si le paramétrage est obligatoire, la valeur par défaut est envoyée, sinon le déploiement échoue.

Suivi et dépannage de la conformité et des configurations

La gestion de la conformité est une des fonctionnalités de ConfigMgr qu’il est nécessaire de superviser et dont les résultats doivent être exploités pour bénéficier au mieux de la puissance de l’outil. Même si des fonctionnalités de remédiation automatique existent, comme elles ont été détaillées dans la section Remédiation, il faut d’abord bien comprendre les tenants et aboutissants, connaître son parc et ses faiblesses pour ensuite agir de la meilleure des manières.

1. Suivi des indicateurs

Les trois principales sources pour bien exploiter la gestion de la conformité sont le suivi de déploiement, l’exploitation sur le serveur de site et celle sur le client. Bien évidemment, ces solutions sont complémentaires et permettent, en les combinant, de tirer le meilleur parti des outils de conformité. Les rapports sont un outil très puissant d’exploitation des informations. Nous traiterons ici le suivi du déploiement des lignes de base. Bien qu’il soit similaire à celui des applications, il apporte des informations supplémentaires qu’il est intéressant d’exploiter.

a. La console d’administration

Les déploiements de lignes de base dans ConfigMgr se comportent de façon similaire aux déploiements d’applications ou de package. C’est pour cela q’il peut être suivi avec les mêmes méthodes. Dans un premier temps, dans l’espace de supervision Monitoring - Overview - Deployments, l’ensemble des déploiements s’affichent et peut être filtré pour n’afficher que les applications ou lignes de base intéressantes. En double cliquant sur la ligne de base à superviser, vous pouvez afficher l’état de conformité.

Ici, la ligne de base pour la stratégie de protection de données d’entreprise (EDP) et son seul élément de configuration sont conformes (Compliant). Ainsi, la ligne de base est affichée en vert pour le périphérique ENI-INSIDER10. Pour chaque périphérique, il est possible de voir l’état de chacun des paramètres...

Exécution de scripts

L’arrivée de la fonctionnalité d’exécution de scripts a changé la façon dont l’entreprise peut administrer ses machines et réagir à des besoins de sécurité ou d’administration.

Conclusion

Les entreprises ont des parcs informatiques de plus en plus variés où les périphériques modernes ont la part belle, et il est nécessaire de garder le contrôle de tous les systèmes qui composent l’infrastructure. Un œil constant doit aussi être gardé sur la sécurité et les administrateurs doivent être sûrs à tout moment que le parc n’est pas compromis par un système qui ne serait pas aux normes de sécurité. C’est dans cette optique que la gestion de la conformité prend tout son sens. La possibilité pour les administrateurs d’évaluer les systèmes et de vérifier leur configuration leur permet de cibler les périphériques qui ne sont pas conformes ou les utilisateurs qui ne suivent pas les règles. En vérifiant ces informations, combinées à de la remédiation, les administrateurs peuvent facilement conserver des configurations en accord avec les pratiques de sécurité de l’entreprise. Nous avons vu dans ce chapitre les différentes notions et les concepts de la gestion de la conformité. Nous avons étudié le fonctionnement des lignes de base, de leur composition à leur déploiement. Nous avons vu les meilleures pratiques préconisées par Microsoft, notamment à travers l’outil...