CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2010-15
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-015.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-015/ 1 Bulletins Microsoft du mois d'avrilCette semaine, Microsoft a publié son lot de correctifs de sécurité pour le mois d'avril dans le cadre de son cycle mensuel. En tout, onze bulletins ont ainsi été publiés. Cinq sont considérés comme critiques, cinq comme importants et un comme modéré par l'éditeur. Les logiciels touchés sont :
La mise à jour concernant VBScript corrige l'alerte CERTA-2010-ALE-003. Il est recommandé d'appliquer les correctifs dans les plus brefs délais. 2 Fin de vie de la version 0.94.x de ClamAVCette semaine ClamAV a publié sur son site Internet un article faisant part de la fin de vie de la version 0.94.x de son antivirus. Il est expliqué dans cette annonce qu'un bogue affecte toutes les versions antérieures à la 0.95 empêchant d'intégrer des signatures de plus de 980 octets dans les mises à jour incrémentielles. Cette limite diminue les capacités de l'antivirus dans son traitement de signature antivirale complexe. À partir du 15 avril 2010, ClamAV va donc propager une signature particulière désactivant toutes les installations de l'antivirus antérieures à la version 0.95. ClamAV prévoit le début de la diffusion de base de signatures supérieure au mois de mai 2010. Le CERTA recommande donc aux utilisateurs de ce logiciel de migrer le plus rapidement possible vers la dernière version au risque de voir la protection antivirale totalement désactivée. DocumentationAnnonce de fin de vie de ClamAV :http://www.clamav.net.lang/fr/2009/10/05/eol-clamav-094/ 3 Durcissement de la configuration des systèmes Windows 8/8 : désactivation des services inutilesAfin de réduire la surface d'attaque des systèmes Windows utilisés en tant que serveurs ou que postes de travail, les services applicatifs qui ne sont pas utilisés doivent être désactivés. La liste des services applicatifs et leur état (en cours d'exécution, arrêté, désactivé, exécution automatique ou manuelle, etc.) est récupérable grâce au composant enfichable services.msc ou via l'utilitaire en ligne de commande sc. Ainsi, dans la mesure où ils ne sont pas utilisés, les services suivants devraient être désactivés. La plupart sont activées par défaut lors d'une installation standard, mais ces services peuvent affaiblir la sécurité du système. L'établissement de cette liste prend en compte l'historique des services en termes de vulnérabilités, la divulgation d'informations qu'ils entraînent ainsi que l'absence usuelle d'utilité fonctionnelle.
Les noms des services applicatifs peuvent varier selon la version de Windows. De plus, de nouveaux services ont été ajoutés dans les systèmes récents, par exemple WinHttpAutoProxySvc. Cette liste de services n'est pas exhaustive et doit être adaptée selon le contexte d'utilisation de la machine concernée. Il faudra notamment prendre en compte la présence de programmes spécifiques d'administration à distance ou requérant des fonctionnalités particulières. À titre d'exemple, d'autres services peuvent être désactivés : accès du périphérique d'interface utilisateur, acquisition d'image Windows (WIA), agent de protection d'accès réseau, assistance TCP/IP NetBIOS, audio Windows, client DHCP, gestionnaire de connexion automatique d'accès distant, gestionnaire de l'album, etc. Enfin, la désactivation d'un service peut avoir des conséquences, il est donc nécessaire de valider l'absence d'impact dans un environnement de qualification avant de mettre en production une configuration dans laquelle les services activés sont réduits. ConclusionCet article termine une série de recommandations sur le durcissement de la configuration des systèmes Windows. Bien d'autres éléments peuvent être configurés par GPO (grâce aux composants enfichables gpedit.msc et secpol.msc) et d'autres fonctionnalités peuvent être désactivées (support des protocoles IPX, IPv6, interface FireWire, mode débogage noyau, etc.) ou activées (DEP, pare-feu local, signature des échanges RPC, ordre de chargement des fichiers de type DLL, etc.). Microsoft fournit des guides de sécurisation détaillant la configuration conseillée d'une grande partie des GPO disponibles. Il est également nécessaire de réaliser une veille technique pour se tenir informé de nouveaux éléments de durcissement (contenus par exemple dans les contre-mesures temporaires des bulletins de sécurité Microsoft). D'autre part, un travail identique de durcissement de la configuration doit être effectué sur les différents programmes installés sur les postes de travail (navigateurs, suite bureautique, Acrobat Reader, etc.) et sur les différents services offerts par les serveurs (Exchange, serveurs Web, serveurs de gestion de base de données, etc.). Enfin, des audits réguliers de configuration doivent être réalisés, de façon manuelle ou automatique, pour vérifier que les éléments configurés n'ont pas subît de régression ou d'erreurs de configuration. 4 Du problème de configuration à l'incident de sécuritéDe très nombreux sites fonctionnant avec WordPress ont récemment fait l'objet d'attaques. Celles-ci ont consisté, pour l'essentiel, à modifier la valeur siteurl dans la base de données pour rediriger les visiteurs vers un site malveillant. A priori, ce n'est pas une vulnérabilité du logiciel qui a été exploitée, mais un défaut de configuration du serveur. En effet, les sites WordPress attaqués étaient presque tous hébergés chez le même prestataire. Or, les paramétrages des droits de fichier des différents serveurs du prestataire permettaient d'accéder en lecture au fichier de configuration de WordPress, ce dernier contenant en clair les identifiants de connexion à la base de données. Cet incident est loin d'être un cas isolé. De nombreux administrateurs (ou webmestres) commettent l'erreur de positionner des droits trop permissifs pour des fichiers sensibles, notamment ceux contenant des identifiants de connexion. Ces informations sont généralement facilement retrouvées à l'aide de moteurs de recherche, et font parfois l'objet de publications sur des sites spécialisés. D'une manière générale, il est fortement recommandé aux administrateurs et aux webmestres de vérifier que les fichiers de configuration des sites ne sont pas accessibles depuis l'Internet. La lecture régulière des journaux d'accès donne également des indications quant à la fuite éventuelle d'informations sensibles.
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
uvre le
protocole 
uvre le protocole SSPD (