Configuration de la sécurité Windows

Protection des postes de travail Windows 11

Avec l’avènement des interconnexions entre les réseaux privés et publics, de plus en plus d’entreprises ouvrent leur système d’information à leurs partenaires.

Il devient donc primordial de connaître les ressources critiques et de protéger les postes de travail fixes et itinérants des collaborateurs de l’entreprise.

Lorsque l’administrateur souhaite mettre en place une architecture sécurisée, il doit tout d’abord connaître les forces en présence en évaluant ses propres compétences, rédiger une documentation détaillée du système d’information (SI) et maîtriser la prise en charge organisationnelle. La seconde étape consiste à oublier les stéréotypes pour se mettre à la place de l’attaquant, en essayant de connaître ses motivations : un employé mécontent, de l’espionnage pour obtenir des gains financiers, une réponse à un défi...

L’administrateur sécurité doit défendre tous les points de son SI en étant vigilant en permanence, alors que le pirate informatique peut choisir le point le plus faible en attaquant quand il le souhaite. Les différents réseaux doivent être contrôlés et sécurisés : le réseau local, le réseau distant et les partenaires professionnels du type extranet, afin de se prémunir d’une surveillance du réseau, d’une usurpation d’identité ou d’une modification des données...

Le système Windows 11 possède les mêmes bases de sécurité que Windows 10, qui lui-même les tenait de Windows 7, comme le contrôle d’accès utilisateur ou le Centre de notifications, mais apporte des améliorations sur les fonctionnalités AppLocker et BitLocker.

Certaines fonctionnalités de Windows 10 ont été conservées : Credential Guard et Device Guard.

En outre, la fonctionnalité WIP (Windows Information Protection) a remplacé EDP (Enterprise Data Protection).

Grâce à celle-ci, l’administrateur peut créer une stratégie de protection selon quatre niveaux :

0 - Désactivée....

Sécurisation des données hors connexion

Contre le vol de disques durs ou de médias amovibles comme les clés USB, la vigilance est primordiale.

Pour pallier cette problématique, Microsoft propose la technologie de chiffrement de lecteur BitLocker, apparue avec le système Windows Vista.

Gestion des mises à jour de sécurité

La sécurité d’un système d’exploitation passe également par la correction de bugs dans celui-ci et l’ajout de fonctionnalités. Microsoft publie régulièrement des mises jour pour son système d’exploitation phare. Avec Windows 11, l’entreprise a annoncé une amélioration de la taille de celles-ci, avec un volume en baisse de 40 %.

Les mises à jour sont maintenant regroupées selon leur objectif :

Maintenir Windows 11 à jour permet de s’assurer de la stabilité et de la protection du système. Le service Windows Update gère le téléchargement et l’installation des mises à jour des produits Microsoft, lorsque l’utilisateur est connecté au réseau internet. En cas de déconnexion durant un téléchargement, une reprise est effectuée dès lors que la connexion...

Contrôle des applications avec AppLocker

Le contrôle des applications installées et sous licence sur les postes d’une entreprise est un enjeu majeur pour tout administrateur système. Face à ce défi, Microsoft propose la fonctionnalité AppLocker, qui restreint l’exécution et l’installation des logiciels définies depuis un serveur Windows sur des clients Windows 8.1 (Entreprise), Windows 10 et 11. Il en résulte une réduction de la charge d’administration et un contrôle accru des types de fichiers exécutables, évitant ainsi la propagation des logiciels malveillants, comme les chevaux de Troie.

AppLocker combine l’inventaire et la standardisation des applications, la protection contre les logiciels non autorisés et la conformité des licences.

AppLocker remplace la fonctionnalité des stratégies de restriction logicielle des versions précédentes de Windows. Par exemple, lors de la mise à jour vers Windows 10, puis 11 d’un ordinateur Windows 7 possédant une stratégie de restriction logicielle appliquée, une nouvelle règle AppLocker devra être créée pour supporter le blocage d’un logiciel.

Les règles de restriction sont disponibles pour l’exécution de logiciels, de scripts et pour l’installation de programmes.

Les extensions suivantes peuvent être soumises à restriction avec un serveur Windows Server 2012 (ou supérieur) et des clients Windows 11 (Professionnel ou Entreprise) ayant la fonctionnalité AppLocker activée :

AppLocker propose des règles basées sur l’éditeur et donc sur la signature numérique de ses applications : par exemple, une entreprise crée une règle autorisant toute version de l’application...

Device Guard

Device Guard représente un ensemble de fonctionnalités liées à la sécurité matérielle et logicielle qui, lorsqu’elles sont définies simultanément, oblige l’utilisateur à n’utiliser que des applications préapprouvées par l’administrateur.

La fonctionnalité utilise une sécurité basée sur la virtualisation de Windows 11 Entreprise pour isoler le service d’intégrité du code du noyau.

Le poste de travail du salarié ne peut ainsi être utilisé que pour exécuter du code signé par des signataires approuvés par l’entreprise.

Device Guard nécessite un microprogramme UEFI 2.3.1 ou supérieur, supportant le démarrage sécurisé, afin d’empêcher le chargement en mémoire d’applications malveillantes au cours du processus de démarrage du système d’exploitation. De plus, un conteneur protégé par Hyper-V isolant les processus critiques de Windows 11 Entreprise est requis.

Configuration du Pare-feu Windows Defender avec fonctions avancées de sécurité

Un pare-feu est l’équivalent d’un verrou apposé sur une porte, il complique la tâche d’une personne mal intentionnée, sans protéger complètement l’ensemble de l’habitation. Il doit être utilisé en conjonction d’autres mesures, comme l’utilisation d’un antivirus ou la gestion des mises à jour de sécurité.

Il a pour fonction la protection du poste de travail Windows 11 contre les accès non autorisés d’ordinateurs présents sur un réseau (Internet, local...).

Le pare-feu fourni avec Windows XP était considéré comme peu sûr, car il ne filtrait que les communications entrantes. Le pare-feu avec fonctions avancées de sécurité livré avec Windows 11 vérifie que les paquets qui circulent sont sûrs grâce à une connexion initiée (pare-feu avec état) et procure un filtrage dans les deux sens des flux transitant.

Windows 11 gère des profils réseau, en référence au lieu dans lequel se trouve l’utilisateur. À chaque première connexion, celui-ci est invité à définir son emplacement actuel : privé (domicile), domaine (entreprise) et public (cybercafé). Par exemple, l’administrateur peut autoriser l’accès au Bureau à distance (port par défaut 3389 en TCP) lorsque l’utilisateur se trouve sur le domaine de la société, et refuser son utilisation lorsqu’il est connecté depuis un réseau moins sécurisé, comme celui d’un cybercafé. Pour chaque emplacement, le pare-feu possède un ensemble de règles par défaut appliqué.

Windows 11 est livré avec deux pare-feu, l’un proposant des actions simples, comme autoriser ou non un programme, c’est le Pare-feu Windows Defender, l’autre offrant une gestion plus précise des paramètres, c’est le Pare-feu Windows Defender avec fonctions avancées de sécurité.

Il est possible d’accéder au pare-feu depuis le Panneau de configuration, et au Pare-feu avec fonctions avancées de sécurité depuis les Outils Windows ou depuis Paramètres avancés de l’interface Pare-feu Windows....

Gestionnaire d’identification

L’authentification unique, ou SSO (Single Sign-On), permet à un utilisateur d’un système Windows 11 de ne procéder qu’à une seule authentification pour accéder à plusieurs ressources (serveurs, sites internet...). Une personne utilise souvent le même mot de passe pour accéder à des sites internet différents (Facebook, LinkedIn, messagerie électronique comme Windows Live) réduisant ainsi le niveau de sécurité de ces services : si le mot de passe partagé était subtilisé, l’ensemble des ressources qu’il protège serait compromis.

Face à cette problématique, Microsoft propose le Gestionnaire d’identification, qui est un coffre-fort électronique dont la principale fonction est le stockage sécurisé des identifiants et mots de passe utilisés régulièrement par un compte utilisateur. Windows 11 se charge ensuite de les saisir automatiquement lors de l’accès à une ressource précise.

Les mots de passe deviennent complexes car le travail de mémorisation n’est plus nécessaire : ce que nous ignorons ne peut être dévoilé.

En utilisant un compte Microsoft pour s’authentifier, l’utilisateur peut ouvrir des sessions sur d’autres postes Windows 11 et ainsi accéder...

Audit

L’audit dans un domaine Active Directory ou un groupe de travail permet de suivre les actions effectuées par les utilisateurs et les ordinateurs. En fonction des informations journalisées, l’administrateur pourra visualiser et corriger un problème, mais aussi détecter une intrusion et ainsi anticiper un nouveau type d’attaque.

Généralement, les événements des échecs sont plus instructifs que ceux liés aux réussites. Tout ne doit pas être audité, car l’utilisation de cette fonctionnalité entraîne une charge de traitement supplémentaire (CPU, RAM, espace disque) auprès des postes de travail, serveurs et contrôleurs de domaine.

Un attaquant possédant des privilèges administrateur pourra supprimer ses traces, donc les événements stockés dans les journaux répertoriant ses actions malveillantes : il peut être intéressant de séparer les rôles, en octroyant par exemple le droit à un compte de service de générer les événements sur un serveur distant dédié au stockage, mais ce compte ne pourrait pas les supprimer ou les modifier. Un compte d’audit aurait accès aux journaux en lecture à des fins d’expertise. Ces actions peuvent être effectuées grâce aux événements transmis (cf. chapitre Protection et récupération du système, section Dépannage du système).

La stratégie...

Sécurité dans Microsoft Edge

Microsoft Edge est le navigateur internet livré avec Windows 11. Il ne prend plus en charge les barres d’outils, les scripts Visual Basic et ActiveX qui étaient souvent exploités par les hackers. Les extensions utiliseront uniquement HTML5 et JavaScript.

De plus, Microsoft Edge héberge chaque onglet de site visité dans un bac à sable, constituant un conteneur totalement indépendant.

Une autre fonctionnalité intéressante est la possibilité de s’authentifier sur un site internet via son compte Microsoft (code PIN et identification biométrique).

Edge apporte des améliorations sur la sécurité, telles que Navigation InPrivate, qui permet de visiter des sites internet sans laisser de traces ou encore SmartScreen qui vérifie le site visité par rapport à une liste de sites répertoriés comme malveillants. On trouve également la protection contre le suivi (fonctionnalité de tracking) visant à empêcher un site de récupérer vos habitudes de navigation afin de vous proposer des annonces publicitaires ciblées.

Le navigateur de Microsoft a été créé en utilisant le cycle de vie du développement de la sécurité (SDL) : Microsoft Edge empêche par exemple un code malveillant de s’exécuter...

Sécurité Windows et antivirus

Pour aider l’administrateur à protéger Windows 11 contre les logiciels espions et malveillants, Microsoft fournit gratuitement un antivirus. Le logiciel peut vérifier les postes de travail physiques ou virtuels et offre les fonctions communes aux programmes concurrents :

Résumé du chapitre

Windows 11 offre un large éventail d’outils de sécurité, afin de couvrir l’intégralité des besoins de l’utilisateur. Concernant la protection des postes de travail, l’UAC contribue à empêcher les programmes malveillants de s’installer sur le poste de travail en utilisant des privilèges élevés, et le Centre de notifications propose dans une vue centrale les messages récents relatifs à la sécurité. 

EFS, quant à lui, chiffre les fichiers et dossiers choisis de manière transparente sur une partition NTFS. Il n’est pas possible de chiffrer et compresser un fichier ou un dossier en même temps. L’agent de récupération est un compte d’utilisateur pouvant déchiffrer n’importe quel fichier chiffré. Il doit être créé afin d’éviter la perte définitive de données chiffrées.

BitLocker chiffre l’intégralité des partitions, en mode hors connexion. BitLocker To Go fait de même sur les périphériques amovibles USB.

Tout comme les versions précédentes des systèmes Microsoft, il est important d’installer les mises à jour de sécurité pour Windows 11, afin que le système reste stable et sécurisé. L’entreprise...