Security Center:FAQ sur les risques liés à la ligne de base du système

Quelle édition de Security Center dois-je acheter pour utiliser la fonctionnalité de risques liés à la ligne de base du système ?

• Achetez l'édition Advanced, Enterprise ou Ultimate de Security Center (vous pouvez souscrire à un abonnement pour les éditions Advanced, Enterprise ou Ultimate, ou activer la sécurité des hôtes et des conteneurs en mode paiement à l'utilisation et lier l'édition à l'édition Advanced, Enterprise ou Ultimate) afin d'obtenir la fonctionnalité de vérification des risques de ligne de base sans frais supplémentaires.

  Les éditions Advanced, Enterprise et Ultimate prennent en charge différents éléments de vérification de la ligne de base :

  • Édition Advanced : seule la stratégie par défaut est disponible et seuls les éléments de vérification des mots de passe faibles sont pris en charge.

  • Édition Enterprise et édition Ultimate : toutes les stratégies de vérification sont disponibles. L'édition Enterprise ne prend pas en charge les éléments de vérification de la sécurité des conteneurs, tandis que l'édition Ultimate prend en charge tous les éléments de vérification de la ligne de base. La correction en un clic est prise en charge pour les éléments de vérification liés aux normes de référence Alibaba Cloud et aux normes de référence du schéma de protection multiniveau (MLPS) sur les systèmes Linux.

• Si vous utilisez l'édition Anti-virus ou si vous avez uniquement acheté des services à valeur ajoutée, achetez la version payante de Cloud Security Posture Management (CSPM). Une fois l'achat effectué, vous accédez à la fonctionnalité de vérification des risques de ligne de base et à tous les éléments de vérification.

Pour plus d'informations, consultez la section Activer la fonctionnalité de vérification des risques de ligne de base.

Que faire si la vérification de la ligne de base échoue ?

Si la fonctionnalité de risques liés à la ligne de base du système de Security Center échoue à vérifier les éléments de risque corrigés, l'agent Security Center sur votre serveur est peut-être hors ligne.

Si l'agent Security Center sur votre serveur est hors ligne, la vérification des risques liés à la ligne de base du système ne peut pas s'exécuter. Résolvez le problème de l'agent hors ligne pour garantir que l'agent Security Center sur votre serveur est en ligne. Pour plus d'informations sur la résolution des problèmes liés aux agents hors ligne, consultez la section Résoudre les problèmes liés aux agents hors ligne.

Quelles sont les différences entre les lignes de base et les vulnérabilités ?

• Une ligne de base est une description détaillée de la configuration et de la gestion d'un système, ou des exigences minimales en matière de sécurité. Les lignes de base incluent les paramètres des services et des applications, les configurations des composants du système d'exploitation, les attributions d'autorisations et les règles de gestion. La fonctionnalité de risques liés à la ligne de base du système de Security Center détecte les configurations non sécurisées telles que les mots de passe faibles, les autorisations de compte, l'authentification d'identité, les politiques de mot de passe, le contrôle d'accès, l'audit de sécurité et la prévention des intrusions sur les systèmes d'exploitation et les services (tels que les bases de données, les logiciels serveur et les conteneurs), et fournit des suggestions de renforcement pour les risques détectés. Pour plus d'informations sur les éléments de vérification spécifiques, consultez la section Contenu de la vérification de la ligne de base.

• Une vulnérabilité est un défaut dans l'implémentation d'un système d'exploitation ou dans les politiques de sécurité, tel qu'un défaut de conception logique ou une erreur de codage dans le logiciel du système d'exploitation ou de l'application. Les attaquants peuvent exploiter ces défauts ou erreurs pour accéder aux données du système, les voler ou endommager les systèmes sans autorisation. Les administrateurs système doivent traiter et corriger les vulnérabilités du système rapidement. Sinon, des risques de sécurité graves peuvent survenir. Pour plus d'informations, consultez la section Gestion des vulnérabilités.

Pourquoi l'élément de vérification « Effectuer l'identification et l'authentification des utilisateurs qui se connectent au système. L'identification doit être unique et les informations d'authentification doivent répondre aux exigences de complexité et être modifiées régulièrement | Authentification » échoue-t-il toujours après la correction et la vérification en un clic ?

Cause : Lorsque vous effectuez une correction en un clic sur les ressources cibles, deux sous-éléments correspondant aux scénarios d'application réels ne sont pas sélectionnés comme éléments à corriger. Après la livraison de la tâche de correction en un clic, ces deux sous-éléments ne sont pas corrigés et l'élément de vérification échoue toujours.

Les deux sous-éléments non sélectionnés sont Set password expiration to 30 to 90 days (valeur : 90) et Set root password expiration to 30 to 90 days (valeur : 60). Confirmez que les sous-éléments ne sont pas sélectionnés dans le panneau Fix Method situé à droite.

Solution : Si les ressources utilisent uniquement des méthodes de connexion sans mot de passe, la fonctionnalité de correction en un clic de Security Center n'est pas prise en charge. Après vous être assuré que les autres éléments de configuration sont corrigés, résolvez cet élément de vérification en configurant une stratégie de liste d'autorisation pour l'élément de vérification sur les ressources.

Dans la zone Risk Handling en bas de la page des détails de l'élément de vérification, recherchez la ressource cible dont le statut est Not Passed et cliquez sur Add to Allowlist dans la colonne Actions.

Pourquoi l'élément de vérification « Attribuer des comptes et des autorisations aux utilisateurs qui se connectent au système » échoue-t-il ?

• Description du problème : Le Status de l'élément de vérification « Attribuer des comptes et des autorisations aux utilisateurs qui se connectent au système » est Not Passed.

  Les Fixing Suggestions pour cet élément de vérification contiennent les trois éléments suivants :

  1. Attribuez trois utilisateurs : un utilisateur standard, un auditeur et un responsable de la sécurité.

  2. Vérifiez si la valeur umask dans /etc/bashrc et /etc/profile est 027, et exécutez source /etc/profile pour appliquer la configuration.

  3. Assurez-vous que les autorisations sur le répertoire personnel de chaque utilisateur sont définies sur 750 ou plus restrictives.

  Vérifiez les configurations de l'hôte (autorisations du répertoire home, nombre d'utilisateurs et valeur umask) indiquées ci-dessous. Les configurations du serveur semblent respecter les suggestions de correction de l'élément de vérification « Attribuer des comptes et des autorisations aux utilisateurs qui se connectent au système ».

  $ ll /home
  total 24
  drwxr-xr-x  6 root       root           4096 Jan 12  2024 ./
  drwxr-xr-x 20 root       root           4096 Apr 26 12:53 ../
  drwxr-x--- 11 xxx        xxx            4096 Sep 11 12:25 xxx/
  drwxr-x---  2       1002        1002 4096 Oct 25  2023 xxx2/
  drwxr-x---  2       1002        1002 4096 Jan 12  2024 xxx
  drwxr-x---  4 xxx xxx 4096 Mar 26  2024 xxx/

  # /etc/profile: system-wide .profile file for the Bourne shell (sh(1))
  # and Bourne compatible shells (bash(1), ksh(1), ash(1), ...).
  
  if [ "${PS1-}" ]; then
    if [ "${BASH-}" ] && [ "$BASH" != "/bin/sh" ]; then
      # The file bash.bashrc already sets the default PS1.
      # PS1='\h:\w\$ '
      if [ -f /etc/bash.bashrc ]; then
        . /etc/bash.bashrc
      fi
    else
      if [ "$(id -u)" -eq 0 ]; then
        PS1='# '
      else
        PS1='$ '
      fi
    fi
  fi
  
  if [ -d /etc/profile.d ]; then
    for i in /etc/profile.d/*.sh; do
      if [ -r $i ]; then
        . $i
      fi
    done
    unset i
  fi
  
  umask 027
  TMOUT=900

• Solution : Exécutez les commandes suivantes pour confirmer la valeur umask et le nombre de comptes autres que le compte administrateur système détectés par la vérification des risques de ligne de base.

  grep umask /etc/bashrc |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  grep umask /etc/profile |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  
  cat /etc/passwd | egrep -v '(root|halt|sync|shutdown)' | awk -F: '($7!="/bin/false"&&$7!="/sbin/nologin"&&$7!="/usr/sbin/nologin"&&$6!="/var/lib/libuuid"&&$6!="") { print $6 }' |wc -l

  La sortie suivante montre que la vérification des risques de ligne de base détecte deux comptes autres que le compte administrateur système, ce qui ne respecte pas les suggestions de correction de l'élément de vérification.

  xxx:~$ umask
  0027
  xxx:~$ grep umask /etc/bashrc |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  grep: /etc/bashrc: No such file or directory
  xxx:~$ grep umask /etc/profile |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  0027
  xxx:~$ cat /etc/passwd | egrep -v '(root|halt|sync|shutdown)' | awk -F: '($7!="/bin/false"&&$7!="/sbin/nologin"&&$7!="/usr/sbin/nologin"&&$6!="/var/lib/libuuid"&&$6!="") { print $6 }' |wc -l
  2

  Plages conformes de la vérification de la ligne de base :

  • Plage conforme umask : 27 à 67 (Exécutez la commande grep umask /etc/bashrc ou grep umask /etc/profile précédente pour obtenir la valeur actuelle.)

  • Plage conforme pour le nombre de comptes : 3 à 100 (à l'exclusion du compte administrateur système. Exécutez la commande cat /etc/passwd précédente pour obtenir la valeur actuelle.)

  La vérification du nombre de comptes exclut les comptes système tels que root, halt, sync et shutdown, ainsi que les comptes sans connexion dont le shell est /bin/false ou /sbin/nologin. Si le nombre de comptes obtenu après exclusion des comptes précédents se situe dans la plage conforme, l'élément de vérification répond aux exigences.

  Ajoutez un utilisateur qui ne dispose pas d'autorisations d'administrateur système sur le serveur selon les suggestions de correction, puis vérifiez à nouveau l'élément de vérification dans Security Center.

Pourquoi l'erreur « illegal auth » s'affiche-t-elle lorsque je crée une stratégie de vérification de la ligne de base ?

Le tableau suivant décrit les causes possibles et les solutions.

[Conformité MLPS] Le message « Les services système inutiles, le partage par défaut et les ports à haut risque doivent être désactivés » apparaît dans la vérification de la ligne de base de conformité Windows pour le niveau 2 du MLPS

• Description du problème : Après que certains utilisateurs ont bloqué des ports spécifiques en configurant des pare-feu ou des groupes de sécurité, le message « Les services système inutiles, le partage par défaut et les ports à haut risque doivent être désactivés » apparaît dans la vérification de la ligne de base de conformité Windows pour le niveau 2 du MLPS.

• Cause : Les services correspondant aux ports spécifiés ne sont pas arrêtés. Par conséquent, la tâche d'analyse de vérification des risques de ligne de base détecte toujours ces ports et ces services.

• Solution : Connectez-vous à votre instance de serveur et arrêtez les services sur les ports suivants. Les étapes suivantes utilisent Windows 10 (64 bits) à titre d'exemple.

  Désactiver le port 135

  1. Appuyez sur Windows+R, saisissez dcomcnfg, puis cliquez sur OK pour ouvrir la boîte de dialogue Component Services.

  2. Dans le volet de navigation de gauche, cliquez sur Component Services > Computers > My Computer, faites un clic droit, puis cliquez sur Properties.

  3. Dans la boîte de dialogue qui s'affiche, cliquez sur l'onglet Default Properties, puis décochez la case Enable Distributed COM on this computer (E).

  4. Cliquez sur l'onglet Default Protocols, sélectionnez Connection-oriented TCP/IP, puis cliquez sur Remove.

  5. Cliquez sur OK.

  Désactiver les ports 136, 137 et 138

  1. Appuyez sur Windows+S, saisissez Control Panel dans la zone de recherche, puis cliquez sur Control Panel.

  2. Dans la boîte de dialogue Control Panel, cliquez sur Network and Internet.

  3. Cliquez sur Network and Sharing Center, puis sur le réseau connecté.

  4. Dans la boîte de dialogue qui s'affiche, cliquez sur Properties.

  5. Dans la boîte de dialogue qui s'affiche, décochez les cases File and Printer Sharing for Microsoft Networks et Client for Microsoft Networks.

  6. Cliquez sur OK, puis fermez les boîtes de dialogue ouvertes une par une.

  Désactiver le port 139

  1. Appuyez sur Windows+S, saisissez Control Panel dans la zone de recherche, puis cliquez sur Control Panel.

  2. Dans la boîte de dialogue Control Panel, cliquez sur Network and Internet.

  3. Cliquez sur Network and Sharing Center, puis sur Change adapter settings à gauche.

  4. Dans la boîte de dialogue qui s'affiche, faites un clic droit sur le réseau utilisé (par exemple, Ethernet), puis cliquez sur Properties.

  5. Dans la boîte de dialogue qui s'affiche, double-cliquez sur Internet Protocol Version 4 (TCP/IPv4).

  6. Dans la boîte de dialogue qui s'affiche, cliquez sur Advanced, puis accédez à l'onglet WINS.

  7. Sélectionnez Disable NetBIOS over TCP/IP, puis cliquez sur OK.

  8. Cliquez à nouveau sur OK plusieurs fois, puis fermez toutes les boîtes de dialogue.

  Désactiver le port 445

  1. Appuyez sur Windows+R, saisissez regedit, puis cliquez sur OK pour ouvrir la boîte de dialogue Registry Editor.

  2. Dans le volet de navigation de gauche, cliquez sur Computer > HKEY_LOCAL_MACHINE > SYSTEM > CurrentControlSet > Services > NetBT > Parameters, puis faites un clic droit sur Parameters.

  3. Cliquez sur New > String Value, saisissez SMBDeviceEnabled dans le champ Value name, puis double-cliquez sur le nouveau nom de valeur.

  4. Dans la boîte de dialogue qui s'affiche, saisissez 0 dans le champ Value data, cliquez sur OK, puis fermez Registry Editor.

  5. Appuyez sur Windows+R, saisissez services.msc, puis accédez à la boîte de dialogue Services.

  6. Recherchez et double-cliquez sur le service server. Dans la boîte de dialogue qui s'affiche, définissez Startup type sur Disabled, définissez Service status sur Stopped, cliquez sur Apply, puis fermez la boîte de dialogue Services.

Que faire si l'élément de risque de ligne de base « Assurez-vous que la stratégie Devices: Allowed to format and eject removable media est définie sur Administrators » échoue ?