Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen RevisionVorhergehende Überarbeitung
fr:it-security:smb-hardening [2024/02/05 20:10] – psycorefr:it-security:smb-hardening [Unbekanntes Datum] (aktuell) – gelöscht - Externe Bearbeitung (Unbekanntes Datum) 127.0.0.1
Zeile 1: Zeile 1:
-{{tag>francais startpage it-security windows active-directory}} 
-====== Hardening SMB ====== 
  
-===== Contexte technique du protocole SMB ===== 
- 
-[[wpde>Server Message Block]] est vulnérable aux attaques de relais NTLM lorsque les paquets ne sont pas signés. Cette [[wpde>Man-in-the-Middle-Angriff|Man-In-The-Middle-Attack]] détourne les authentifications entre les clients et les serveurs. L'authentification permet de lancer une session sur le serveur et de détourner des données. 
-La signature SMB attribue explicitement chaque session initiée au client. Ainsi, le détournement de l'authentification reste certes toujours possible, mais il est rejeté, car la session n'est pas signée. 
- 
-Dans SMBv1, la signature SMB est désactivée par défaut. Ce protocole est obsolète, comporte des erreurs, n'est pas sûr et devrait être désactivé de manière générale. 
-SMBv2 active certes la signature SMB par défaut, mais ne l'utilise que si le serveur ou le client l'exige comme condition préalable. Ce n'est généralement pas le cas. 
- 
-^  ^ Serveur ^ ^ ^ 
-^ Client ^ Nécessite ^ Activé ^ Désactivé (SMBv1) ^ 
-| Requis | @lightgreen:Signé | @lightgreen:Signé | @lightgrey:Non supporté | 
-| Activé | @lightgreen:Signé | @orange:Signé SMBv1, non signé SMBv2 | @#FA8258:non signé | 
-| Désactivé (SMBv1) | @lightgrey:non pris en charge | @#FA8258:non signé | @#FA8258:non signé | 
- 
-Il en résulte que la signature SMB doit être activée sur le serveur comme condition préalable. 
- 
-===== Déroulement ===== 
- 
-<mermaid> 
-  flowchart 
-    Z[Déroulement] 
-    A[Désactiver SMBv1] 
-    B[Signature SMB] 
-    C(client) 
-    D(serveur) 
-    E(activation facultative) 
-    F(activation forcée) 
-    Z--->A 
-    Z-->B 
-    B-->C 
-    B-->D 
-    C--->E 
-    D--->F 
-</mermaid> 
- 
-==== Étape 1 - Désactiver SMBv1 ==== 
- 
-=== Clients === 
- 
-Les clients peuvent être gérés via le script de connexion. Via Powershell (droits admin. nécessaires), le statut peut être consulté comme suit : 
- 
-<code powershell>Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol</code> 
- 
-La désactivation de SMBv1 est également possible via Powershell (redémarrage nécessaire) : 
- 
-<code powershell>Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol</code> 
- 
- 
-=== Serveur === 
- 
-Les mêmes commandes s'appliquent aux serveurs. Un redémarrage devrait être prévu au préalable. 
- 
-==== Étape 2 - Activer la signature SMB en option côté client ==== 
- 
-L'étape suivante consiste à activer la signature SMB en option côté client. Pour ce faire, une stratégie de groupe globale peut être définie. 
-Les directives correspondantes se trouvent ici : 
- 
-<code> 
-Computerkonfiguration       -> 
- Windows-Einstellungen      ->  
-  Sicherheitseinstellungen  -> 
-   Lokale Richtlinien       -> 
-    Sicherheitsoptionen 
-    </code> 
- 
-{{it-security:gpo-smb1.png?800|}} 
- 
-Il est également possible de définir les paramètres dans le registre. 
- 
-<code reg> 
-Windows Registry Editor Version 5.00 
- 
-[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters] 
-"EnableSecuritySignature"=dword:00000001 
-"RequireSecuritySignature"=dword:00000000 
-</code> 
- 
-==== Étape 3 - Forcer la signature SMB côté serveur ==== 
- 
-=== Option 1 : via la stratégie de groupe === 
- 
-<code text> 
-Computerkonfiguration       -> 
- Windows-Einstellungen      ->  
-  Sicherheitseinstellungen  -> 
-   Lokale Richtlinien       -> 
-    Sicherheitsoptionen 
-    </code> 
- 
-{{it-security:gpo-smb2.png?800|}} 
- 
-=== Option 2 : via Powershell === 
- 
-== Obtenir le statut == 
- 
-<code powershell> 
-Get-SmbClientConfiguration | select RequireSecuritySignature, EnableSecuritySignature 
-Get-SmbServerConfiguration | select RequireSecuritySignature, EnableSecuritySignature 
-</code> 
- 
-== Activer le forçage == 
- 
-<code powershell> 
-Set-SmbClientConfiguration -EnableSecuritySignature $true 
-Set-SmbServerConfiguration -EnableSecuritySignature $true 
-Set-SmbServerConfiguration -RequireSecuritySignature $true 
-Set-SmbClientConfiguration -RequireSecuritySignature $true 
-</code> 
- 
----- 
- 
-Références 
- 
-<sup> 
-https://learn.microsoft.com/de-de/troubleshoot/windows-server/networking/overview-server-message-block-signing 
-</sup> 
- 
-<sup> 
-https://en.hackndo.com/ntlm-relay/ 
-</sup>