Améliorer la sécurité des chemins UNC : configuration optimale à suivre
Présentation
Dans ce tutoriel, nous allons évoquer la notion de chemins UNC durcis, ou en anglais, les “Hardened UNC Paths”, en environnement Active Directory. Ceci va nous permettre d’améliorer la sécurité des partages “SYSVOL” et “NETLOGON”. Nous verrons comment et pourquoi il est important de configurer cette fonctionnalité de sécurité. Avant cela, commençons par quelques rappels sur les chemins UNC.
Rappels sur les chemins UNC
Les chemins UNC (Universal Naming Convention) sont des chemins utilisés pour accéder aux ressources partagées sur un réseau, que ce soit des fichiers ou des dossiers. En environnement Windows, lorsque l’on accède à une ressource distante via le protocole SMB, un chemin UNC doit être spécifié pour mener à cette ressource.
Un chemin UNC s’écrit de cette façon sur Windows : \\nom du serveur\nom du partage\chemin\dossier\fichier
Un chemin UNC commence par un double antislash (“\\”) pour indiquer qu’il s’agit d’un chemin réseau. La première information à préciser est le nom du serveur, puis le nom du partage. À la suite, il convient de préciser le chemin à suivre à l’intérieur du partage pour atteindre la ressource désirée.
L’intérêt d’améliorer la sécurité des chemins UNC
Lorsque la fonction de durcissement des chemins UNC est activée, des mécanismes sont activés pour renforcer la sécurité de la communication entre le client et le serveur. L’objectif est de lutter contre certaines attaques, notamment les attaques par spoofing où l’attaquant va chercher à se faire passer pour le serveur auquel tente de se connecter un utilisateur souhaitant accéder à une ressource.
Cette fonctionnalité a été introduite dans Windows à la suite d’une vulnérabilité découverte en 2015, liée à l’application des stratégies de groupe en environnement Active Directory.
Configuration des chemins UNC durcis par GPO
Notre objectif va être de renforcer les accès sur les chemins UNC lors des connexions sur les partages “SYSVOL” et “NETLOGON”, hébergés sur les contrôleurs de domaine Active Directory. Ces partages contiennent les fichiers de stratégie de groupe, mais aussi, potentiellement, des scripts et exécutables.
Nous devons créer une nouvelle stratégie de groupe à partir de la console “Gestion de stratégie de groupe”. Par exemple, cette GPO peut s’appeler “Sécurité – UNC Hardened Paths”. Une fois que cette GPO est créée, nous devons la modifier et parcourir l’arborescence de paramètres de cette façon : …
Conclusion
La configuration des chemins UNC renforcés fait partie des actions à entreprendre dans le cadre de l’amélioration de la sécurité d’un environnement Active Directory. Au même titre qu’il est nécessaire de désactiver le SMBv1, le protocole LLMNR ou encore de limiter ou désactiver le protocole NTLM, cette mesure doit être déployée.
Source : www.it-connect.fr
