Security Center:Défense contre les attaques par force brute

Fonctionnement

Activez la défense contre les attaques par force brute en créant une politique de protection. Une fois la politique créée, si le nombre de tentatives de connexion échouées depuis une adresse IP dépasse la limite spécifiée dans un délai défini, la politique se déclenche. Elle génère alors automatiquement une règle de blocage d'IP, qui apparaît dans l'onglet System Rules. Cette règle empêche l'adresse IP de se connecter au serveur pendant une période déterminée. La règle est activée automatiquement dès sa création et reste active pendant la durée indiquée dans la politique.

Créer une politique de protection

Créez une politique de protection pour définir les conditions spécifiques qui déclenchent une action de défense. Vous pouvez configurer plusieurs politiques et en appliquer différentes à différents serveurs selon leurs cas d'utilisation.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, choisissez Protection Configuration > Host Protection > Rule Management. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.

3. Sur la page Rule Management, cliquez sur l'onglet Defense Policy.

4. Si vous n'avez pas autorisé Security Center à accéder à vos ressources cloud, cliquez sur Authorize Now.

   Pour plus d'informations sur l'autorisation, consultez la rubrique Rôle lié au service pour Security Center.

5. Cliquez sur Create Policy. Dans le panneau Create Policy, configurez la politique de protection.

   Security Center fournit une politique de protection par défaut : si plus de 80 tentatives de connexion échouées sont détectées sur un seul serveur en 10 minutes, l'adresse IP source est bloquée pendant 6 heures. Vous pouvez appliquer directement cette politique par défaut en sélectionnant les serveurs cibles. Vous pouvez également créer une politique personnalisée en configurant les paramètres décrits dans le tableau suivant.

   Paramètre	Description
   Policy Name	Saisissez un nom pour la politique de protection.
   Defense Rule:	Spécifiez les conditions qui déclenchent la politique. Si le nombre de tentatives de connexion échouées dépasse le seuil dans une fenêtre de temps spécifiée, l'adresse IP source est bloquée pendant une période déterminée. Par exemple : s'il y a plus de 3 tentatives de connexion échouées en 1 minute, bloquez l'adresse IP pendant 30 minutes.
   Protection Scenario	Protection requise : RDP Brute Force et SSH Brute Force. Vous ne pouvez pas désélectionner ces options. Protection facultative : SQL Server Exposed Brute-Force Attack. Cette option permet de sécuriser votre base de données et de protéger les données sensibles. Important Pour que ce scénario de protection prenne effet, vous devez activer l'option d'audit des connexions dans SQL Server. Pour plus d'informations, consultez la rubrique Activer l'audit des connexions pour SQL Server.
   Set as Default Policy	Définit cette politique comme politique par défaut, ce qui l'applique automatiquement à tous les serveurs qui ne disposent pas d'une autre politique de protection. Remarque Si vous sélectionnez Set as Default Policy, la politique s'applique à tous les serveurs sans politique spécifique, que vous ayez ou non sélectionné des serveurs dans la section Select a server:.
   Select a server:	Sélectionnez les serveurs auxquels cette politique s'applique. Vous pouvez sélectionner des serveurs protégés par Security Center ou filtrer les serveurs par nom ou par adresse IP.

6. Cliquez sur OK.

   Important

   Chaque serveur ne peut avoir qu'une seule politique de protection contre les attaques par force brute.

   • Si un serveur sélectionné pour cette politique ne dispose pas d'une politique existante, la nouvelle politique est appliquée avec succès.

   • Si un serveur sélectionné possède déjà une politique et que vous souhaitez la remplacer par la nouvelle, cliquez sur OK dans la boîte de dialogue Confirm Defense Rule Changes.

   • Si vous appliquez une nouvelle politique à un serveur couvert par une politique précédente, le nombre de serveurs protégés par la politique précédente diminue.

Gérer les règles système

Une règle système est une règle de blocage d'IP générée automatiquement lorsqu'une politique de protection se déclenche. Les étapes suivantes décrivent comment afficher, activer et désactiver les règles système.

1. Connectez-vous à la console Security Center. Dans le volet de navigation de gauche, choisissez Protection Configuration > Host Protection > Rule Management. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.

2. Sur la page Rule Management, cliquez sur l'onglet Defense Policy.

3. Dans le sous-onglet System Rules, effectuez les opérations nécessaires.

   • Afficher les règles système

     Vous pouvez consulter l'adresse IP bloquée, le port, les serveurs concernés, le nom de la politique, le mécanisme de blocage, la date de fin de validité (Valid Until) et le statut de chaque règle. Security Center sélectionne automatiquement le mécanisme de blocage approprié en fonction du statut d'installation du client :

     • Security Center : Privilégie l'utilisation de l'agent Security Center pour bloquer les tentatives de connexion. Ce mécanisme est utilisé automatiquement si vous disposez de l'édition Advanced, Enterprise ou Ultimate de Security Center et si l'interrupteur Malicious Network Behavior Prevention est activé. Pour savoir comment activer l'interrupteur Malicious Network Behavior Prevention, consultez la rubrique Défense proactive.

     • ECS Security Group : Lorsque cette règle de blocage est activée, une règle correspondante est automatiquement créée dans le groupe de sécurité. La règle est automatiquement supprimée à son expiration ou lors de sa désactivation.

   • Activer une règle système

     Pour continuer à bloquer une adresse IP, activez l'interrupteur dans la colonne Status afin d'activer la règle. La réactivation de la règle prolonge sa période de validité à deux heures à compter du moment de la réactivation.

   • Désactiver une règle système

     Si vous confirmez qu'une tentative de connexion bloquée était un faux positif, désactivez la règle de blocage d'IP pour autoriser l'accès. Désactivez l'interrupteur dans la colonne Status pour désactiver la règle. L'adresse IP peut à nouveau accéder au serveur environ une minute après la désactivation de la règle.

Gérer les règles personnalisées

Créez des règles de blocage d'IP personnalisées pour empêcher les adresses IP malveillantes d'accéder à vos ressources cloud en fonction de vos besoins métier.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, choisissez Protection Configuration > Host Protection > Rule Management. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.

3. Sur la page Rule Management, cliquez sur l'onglet Defense Policy.

4. Dans le sous-onglet Custom Rules, effectuez les opérations nécessaires.

   • Créer une règle de blocage d'IP personnalisée

     1. Si vous n'avez pas autorisé Security Center à accéder à vos ressources cloud, cliquez sur Authorize Now.

        Pour plus d'informations sur l'autorisation, consultez la rubrique Rôle lié au service pour Security Center.

     2. Cliquez sur Create Rule. Dans le panneau Create IP Address Blocking Policy, configurez les paramètres et cliquez sur OK.

        Paramètre	Description
        Intercepted Object	Saisissez l'adresse IP à bloquer.
        All Assets	Sélectionnez les serveurs auxquels la règle de blocage d'IP s'applique. Vous pouvez sélectionner plusieurs serveurs. Vous pouvez également rechercher un serveur spécifique par son nom ou son adresse IP.
        Rule Direction	Définissez la direction du trafic à bloquer. Vous pouvez sélectionner Inbound ou Outbound.
        Security Group	Spécifie le groupe de sécurité pour la règle de blocage d'IP. La valeur par défaut est Security Center Blocking Policy Group. Lorsque la règle est activée, une règle correspondante est automatiquement créée dans ce groupe de sécurité. La règle est automatiquement supprimée à son expiration ou lors de sa désactivation.
        Expiration Time	Définit la période de validité de la règle. Après l'expiration de la règle, son statut passe à Disabled.

        Après la création d'une règle de blocage d'IP personnalisée, son statut par défaut est Disabled. Vous devez activer manuellement la règle pour qu'elle prenne effet.

   • Afficher la liste et les détails des règles de blocage d'IP personnalisées

     Dans le sous-onglet Custom Rules, vous pouvez consulter l'adresse IP bloquée, le nombre de serveurs concernés, l'heure d'expiration, la direction de la règle et le statut de chaque règle. Cliquez sur Details dans la colonne Actions d'une règle pour afficher la liste des serveurs concernés. Vous pouvez également filtrer la liste des serveurs par statut, tel que Disabled, Enabled, Enabling ou Enabling failed.

   • Modifier une règle de blocage d'IP personnalisée

     Localisez la règle que vous souhaitez modifier et cliquez sur Edit dans la colonne Actions. Dans le panneau Edit IP Address Blocking Policy, vous pouvez modifier les ressources concernées et l'heure d'expiration. Security Center applique ensuite les modifications à la règle de blocage d'IP.

     Vous ne pouvez modifier que les règles de blocage d'IP dont le statut est Disabled. Pour modifier une règle activée, vous devez d'abord la désactiver.

   • Activer ou désactiver une règle de blocage d'IP

     Activez les règles de blocage d'IP pour les adresses IP présentant un risque d'attaques par force brute. Si vous confirmez qu'une règle bloque un trafic légitime, désactivez-la. Après la désactivation d'une règle, Security Center ne bloque plus l'accès depuis l'adresse IP spécifiée vers votre serveur.

     • Enable : Activez l'interrupteur Status, puis cliquez sur OK dans la boîte de dialogue Enable IP Address Blocking Policy. La règle devient effective et son statut passe à Enabling. Plus la règle s'applique à un grand nombre de serveurs, plus le statut Enabling persiste longtemps. Une fois la règle activée, Security Center bloque le trafic malveillant tel que défini dans la règle. Voici quelques-uns des statuts possibles après l'activation d'une règle :

       • Enable Rule : Échec de l'activation de la règle de blocage sur tous les serveurs concernés.

       • Partially Successful : La règle de blocage a été activée avec succès sur certains, mais pas sur tous, les serveurs concernés.

       Cliquez sur Details dans la colonne Actions d'une règle pour afficher les détails de ses serveurs concernés. Dans le panneau Effective Server, cliquez sur Retry dans la colonne Actions pour un serveur dont le statut est Enabling failed afin de réessayer d'activer la règle.

       Remarque

       Si vous activez une règle de blocage d'IP personnalisée expirée, sa période de validité est prolongée de deux heures à compter du moment de la réactivation. Si vous devez modifier la période de validité, modifiez la règle avant de l'activer.

     • Disable : Désactivez l'interrupteur Status, puis cliquez sur OK dans la boîte de dialogue Disable IP Address Blocking Policy. La règle de blocage d'IP devient inactive, son statut passe à Disabled et Security Center ne bloque plus l'accès depuis l'adresse IP spécifiée dans la règle.

   • Supprimer une règle de blocage d'IP personnalisée

     Vous pouvez supprimer les règles dont le statut est Disabled. Cliquez sur Delete dans la colonne Actions de la règle cible, puis cliquez sur OK dans la boîte de dialogue de confirmation.

Activer l'audit des connexions pour SQL Server

Pour activer la protection contre les attaques par force brute sur SQL Server, vous devez d'abord activer l'audit des connexions dans SQL Server afin d'enregistrer les tentatives d'authentification réussies et échouées. La journalisation de ces informations est essentielle pour détecter et confirmer les attaques par devinette de mot de passe. Suivez ces étapes :

1. Ouvrez SQL Server Management Studio et connectez-vous à votre instance SQL Server.

2. Dans la fenêtre Object Explorer à gauche, recherchez votre instance SQL Server, faites un clic droit dessus et sélectionnez Properties.

3. Dans le menu de gauche de la boîte de dialogue Server Properties, cliquez sur la page Security.

4. Dans la section Login auditing de la page Security, sélectionnez l'option Both failed and successful logins.

5. Cliquez sur OK et redémarrez votre instance SQL Server pour que les modifications prennent effet.

Vérifier les attaques par force brute après l'exposition d'un port

Si le port RDP 3389 de votre serveur Windows est exposé à Internet, vous pouvez utiliser Event Viewer pour vérifier si le serveur a subi des attaques par force brute ou si des comptes utilisateur non autorisés ont été créés.

Prérequis : Utilisez Remote Desktop ou une autre méthode d'accès à distance pour vous connecter à votre instance Windows.

Procédure :

1. Dans la barre de recherche Windows, ou dans la boîte de dialogue Run (appuyez sur Win+R), saisissez eventvwr et appuyez sur Enter pour ouvrir Event Viewer.

2. Dans Event Viewer, développez Windows Logs dans le volet de navigation de gauche, puis cliquez sur Security.

3. Pour vérifier les attaques par force brute : Dans le journal Security, filtrez ou recherchez l'ID d'événement 4625 (Échec de connexion d'un compte). Un volume élevé d'entrées d'ID d'événement 4625 sur une courte période est un indicateur fort qu'une attaque par force brute a eu lieu.

4. Pour vérifier la création de comptes non autorisés : Dans le journal Security, filtrez ou recherchez l'ID d'événement 4720 (Création d'un compte utilisateur). Cet événement indique qu'un nouveau compte utilisateur Windows a été créé sur le serveur, ce qui peut indiquer un accès non autorisé.

5. (Facultatif) Pour effectuer une investigation plus complète, examinez également les journaux System et Application sous Windows Logs pour identifier toute autre activité anormale.