Accueil › Archive pour Système › Page 13

Système

TP PowerShell – Mesurer la taille de son token Kerberos-ActiveDirectory

Posté le de — Aucun commentaire ↓

La taille est un problème pour certains d’entre nous, ceux qui sont concernés savent de quoi je parle… Accès aléatoire aux ressources réseau, problème au logon, etc.
Bref ça rentre plus…

En effet jusqu’à Windows 2008R2 la taille du token Kerberos une infra Active Directory est par défaut limité à 12Ko (et 48Ko à partir de 8 et 2012). On peut très simplement changer ce réglage en réglant la clé de registre suivante sur les machines:

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters
    Entrée : MaxTokenSize
    Type de données : REG_DWORD
    Valeur : 48000
    Source : [MS KB938118](https://support.microsoft.com/fr-fr/kb/938118)

Le problème c’est qu’il est compliqué d’estimer la taille des tokens de vos utilisateurs pour anticiper les problèmes. Ces derniers ne sont d’ailleurs pas toujours évidents à détecter, car l’ordre des tickets stocké dans le token n’est pas déterministe, et Windows tronque ce qui dépasse quand c’est nécessaire : ainsi d’un logon à l’autre vous pouvez avoir des accès différents aux ressources accédées via des groupes AD.

Seul un Event Id 31 du KDC dans l’eventvwr vous permet d’avoir l’info quand le problème se présente. Pas mal d’info ici

Mais ce qu’on aimerait bien c’est de pouvoir connaître les utilisateurs qui posent problème ou vont bientôt poser problème. … Lire la suite

Gestion des mots de passes dans les z’internet aujourd’hui

Posté le de — Aucun commentaire ↓

Allez le vendredi c’est permis ! un peu de lecture avant ce week-end pour se détendre…
un TP rapide sur comment qu’on gère les mots de passes quand on est un g33k un vrai (avec des poils et tout)

C’est quoi un bon mot de passe ?

Tout d’abord quelques rappels théoriques sur comment on gère des mots de passes :
Un bon mot de passe, entre autre :

  • doit respecter des règles de complexité (genre pas : 1234, azerty ou motdepassse)
  • doit être renouvelé régulièrement (genre : date pas de 1999)
  • doit être différent selon ce qu’il protège (banque != torrents)
  • doit pas être stocké en clair ou accessible à tiers (pas sous le clavier ou sur la porte du réfrigérateur donc)

Toutes ces bonnes pratiques sont listés dans le doc de l’ANSSI sur ce sujet, disponible ici :

NP_MDP_NoteTech.pdf

Comment ça fonctionne dans la vraie vie ?

En aucun cas un site internet ne stocke (ou « ne devrait stocker » en tous cas) votre mot de passe en clair. Un bon site (non, n’est pas un site mort…) stocke un « hash, empreinte ou encore condensat de votre mot de passe (Exemple d’algorithme de hash : MD5, … Lire la suite

Centraliser les définitions de GPO dans un domaine

Posté le de — Aucun commentaire ↓

Je partage rapidement un lien vers cet article :

Scenario 2: Editing Domain-Based GPOs Using ADMX Files qui explique comment mettre en place un Magasin centralisé de modèle de GPO sur un domaine. C’est simple et ça permet que tout le monde utilise les même définitions de politiques ‘.admx’ sur un domaine.

Une fois en place, pour ajouter un modèle il suffit de juste de copier les .admx voulus dans ce dossier-là :

\\mon.domaine.com\sysvol\mon.domaine.com\Policies\PolicyDefinitions
(avec leurs infos de langage dans les sous dossiers en-us, fr-fr ou votre langue).

C’est pas long à mettre en œuvre et ça permet d’éviter pas mal de bêtises côté GPO…

@++… Lire la suite

Microsoft Security Compliance Manager et GPO de sécurités

Posté le de — Aucun commentaire ↓

Un rapide post pour vous faire part d’une découverte faite ce jour d’une petite perle de Microsoft :

Microsoft  Security Compliance Manager

Ce « petit » outil a le bon gout de donner l’ensemble des recommandations de Microsoft en matière de politique de sécurité, et ce, produit par produit, et de nous permettre de bien les gérer.

=> Papa, maman et le café, quoi.

C’est un peu gros, mais je prends l’exemple du serveur standard 2008R2 qui a lui seul se prend 234 réglages unique. Pour vous permettre de gérer vos GPOs, on peut aussi définir nos propres « baselines » dans l’outil à partir de celles par défaut proposée. Et comme ils ont pensé à tout et que se taper la comparaison 1 à 1 des 234 settings avec vos GPO maisons peut s’avérer fastidieux.

L’outil propose d’importer des GPO existantes (genre les nôtres en places) et de comparer, corriger, puis fusionner avec celle proposée en standard par Microsoft :

Et une fois qu’on a nos GPOs, celles de Microsoft et nos objets résultat ; on se dit qu’on aimerait bien passer tout ça au mixeur et obtenir une jolie GPO toute belles !
=> Il suffit de demander … Lire la suite