SECURISER WINDOWS
Introduction
Par défaut, la configuration d'origine de Windows 2000/XP est une véritable catastrophe sécuritaire sur le réseau, source de nombreux problèmes récurrents dus aux parasites et aux nombreuses failles de sécurité régulièrement découvertes et exploitées. Les logiciels de protection dont je vous ai parlé ne suffisent donc pas à protéger complètement votre système.
Moyennant quelques modifications dans Windows, il y a moyen d'en optimiser encore la sécurité.
Une liste hosts est indispensable, changer de navigateur et de client de messagerie est grandement recommandé ... Pour ce faire, reportez-vous aux chapitres adéquats. Mais il y a encore du travail.
Créer un deuxième compte utilisateur
Il est vivement recommandé de créer un compte, autre que le compte Administrateur, si ce n'est déjà fait, afin de ne pas laisser cet accès à la disposition de tous.
Le mode Administrateur donne des droits extrêmement étendus et on ne doit l'utiliser qu'exceptionnellement (modifications ou mise à jour de Windows). Chaque application que vous lancez hérite des droits du compte qui la lance. Si vous êtes identifié en tant qu'administrateur, les applications que vous lancez ont toutes des droits Administrateur. Si une application se connecte alors que vous êtes en mode Administrateur, elle hérite des droits les plus étendus et une personne mal intentionnée peut profiter de ces droits pour prendre le contrôle total de votre machine.
Ce nouveau compte sera utilisé pour les tâches quotidiennes. Il devra être protégé par un mot de passe digne de ce nom, tout comme le compte Administrateur (mais pas avec le même mot de passe).
Pourquoi ? L'administrateur c'est quoi ?
2 types de personnes ont accès aux PC : les administrateurs et les utilisateurs.
L'administrateur est la personne qui administre l'ordinateur (installation de programmes, configuration le système, maintenance). Il doit donc avoir accès à tous les dossiers du système pour réaliser ces opérations.
L'utilisateur est celui qui va utiliser les applications installées. Il faut que l'administrateur lui interdise l'accès aux dossiers du système.
Pourquoi ?
Parce que si les dossiers systèmes ne sont pas protégés et accessibles aux utilisateurs, ils seront la cible des virus et autres logiciels malveillants.
Windows considère par défaut l'administrateur et l'utilisateur comme une seule et même personne ! Ce qui est dangereux.
Pour créer un nouveau compte :
- Panneau de configuration > Comptes d'utilisateurs > Créer un nouveau compte.
- nommez le compte comme bon vous semble puis cliquez sur "suivant".
- cliquez sur le nouveau compte créé et choisissez "créer un mot de passe".
- remplissez les champs comme il se doit et validez.
Cette méthode est simple à mettre en oeuvre et efficace mais elle risque d'être contraignante, les changements de session pouvant être fréquents. De plus, certaines activités fontionnent mal sous la session limitée.
L'alternative c'est DropMyRights qui permet de lancer sur une session administrateur des programmes sensibles avec des droits limités.
Pour finir, vous pouvez également modifier le nom du compte Administrateur pour le sécuriser davantage :
- Panneau de configuration > Outils d'administration > Paramètres de sécurité > Stratégie locale > Options de sécurité.
- double-cliquez sur la ligne "Comptes - renommer le compte Administrateur" et entrez le nom de votre choix.
Pour bien comprendre, je vous invite à lire cet article de référence.
Les possesseurs de la version XP Home doivent démarrer le PC en mode sans échec pour avoir accès au compte Administrateur.
Modifier l'affichage des dossiers
Il est utile de pouvoir avoir l'oeil sur tous les fichiers de Windows. Par défaut, ce n'est pas le cas. Pour y remédier :
- ouvrez l'Explorateur Windows > Outils > Options des dossiers > Affichage.
- activer la case "Afficher les fichiers et dossiers cachés".
- désactiver la case "Masquer les extensions des fichiers dont le type est connu".
- désactiver la case "Masquer les fichiers protégés du système d'exploitation".
- appliquez les modifications.
Vous avez désormais accès à tous les fichiers et dossiers du système d'exploitation.
Les services Windows
Chargés et exécutés au démarrage de Windows 2000 et XP, les services sont des processus qui fonctionnent en arrière plan et qui offrent certaines fonctionnalités plus au moins utiles au système. Par défaut, Windows en démarre plusieurs dizaines mais ceux-ci ne sont pas nécessairement tous utiles pour l'utilisation courante d'un PC dans un environnement domestique. D'une part, ils consomment de la mémoire et du temps CPU. D'autre part, et c'est là le point important, certains services (essentiellement ceux ayant trait aux réseaux) comportent un risque pour la sécurité de votre système. Nous allons voir ici comment désactiver ces services critiques pour libèrer des ressources systèmes et améliorer la sécurité de votre PC.
Accéder aux services
Démarrer > Exécuter > tapez services.msc > validez.
Modifier un service
Pour modifier le mode de démarrage ou l'état d'un service, faites un clic-droit > Propriétés sur celui-ci.
Pour arrêter un service :
Pour désactiver ou démarrer un service manuellement :
Les services à désactiver
- Accès à distance au registre
- Affichage des messages
- Aide et support
- Assistant TCP/IP NetBIOS
- Avertissement
- Client DHCP
- Connexion secondaire
- DSDM DDE réseau
- Gestionnaire de l'album
- Gestionnaire de session d'aide sur le Bureau à distance
- Journaux et alertes de performance
- Machine Debug Manager
- Mise à jour automatique
- Notification d'événement système
- Ouverture de session réseau
- Partage de bureau à distance NetMeeting
- Routage et accès distant
- Service de rapport d'erreur
- Service Terminal Server
- Telnet
- Web client
Remarques : Avant d'arrêter un service, vérifiez quand même son utilité ou non par rapport à votre façon d'utiliser Windows et à votre environnement (logiciels, matériel, ...). Il est possible que certains des services de cette liste ne soient pas présents sur votre système ou, à l'inverse, qu'il y en ait qui ne soient pas repris ici. Tout dépend de votre version de Windows, des Services Packs et des logiciels installés.
Les services à démarrer manuellement
- Application système COM+
- Connexion réseau
- DDE réseau
- Emplacement protégé
- Explorateur d'ordinateur
- Fournisseur de la prise en charge de sécurité LM NT
- Journal des événements
- Localisateur d'appel de procédure distante (RPC)
- MS Software Shadow Copy Provider
- NLA (Network Location Awareness)
- QoS RSVP
- Service de la passerelle de la couche Application
- Système d'évènement Com+
- Windows Installer
Remarques : Ces 2 listes concernent un PC seul, sans réseau local.
Des explications très détaillées sont consultables ici et là.
Blocage de certains exécutables
Certains programmes de Windows sont la cible des pirates informatiques. Leur attribuer des droits très limités est plus rassurant.
Ces programmes sont : cmd.exe, cmdl32.exe, drwtsn32.exe, net.exe, net1.exe, nbtstat.exe, netdde.exe, netsh.exe, netstat.exe, nwscript.exe, pathping.exe, ping.exe, proxycfg.exe, gappsrv.exe, rasdial.exe, rcp.exe, rsh.exe, sessmgr.exe, shadow.exe, shutdown.exe, smss.exe, systeminfo.exe, telnet.exe.
Ils se trouvent dans le répertoire C:\Windows\System32.
Pour modifier les droits sur ces programmes :
Clic-droit > Propriétés > Onglet sécurité > supprimez la ligne SYSTEM :
Pour avoir l'onglet "Sécurité", il faut désactiver le partage de fichiers simple sur XP Pro. En ouvrant l'explorateur > Outils > Options des dossiers > Affichage > Décochez "Utiliser le partage de fichiers simple".
Pour XP Home, c'est un peu différent.
Vous devez télécharger un petit utilitaire nommé Security Configuration Manager. Lancez-le en cliquant sur NTFS.exe : une fenêtre s'ouvre, encodez ceci :
Puis dans le répertoire de décompression C:\securite, sélectionnez setup.inf, clic-droit > installer.
Une fenêtre vous demande alors si vous souhaitez remplacer le fichier esent.dll, refusez en cliquant sur Non (Tous).
Ne cliquez en aucun cas sur Oui, vous risqueriez de rendre votre système instable!
La suite de la procédure est identique à XP Pro.
Windows Media Player
Si vous utilisez Windows Media Player (WMP), installé par défaut dans tous les Windows comme outil de lecture de fichiers média, il est préférable de lui trouver une alternative. En effet, WMP est un des supers espions de Microsoft destiné à vous cerner et qui permet, via des failles, l'exécution de code à distance.
Commencez par lui interdire tout accès à Internet en le bloquant dans votre pare-feu. Ensuite, remplacez-le par WinAmp, VideoLAN ou Media Player Classic.
Machine virtuelle JAVA
Elle permet la lecture des applications en JAVA. Celles-ci sont souvent utilisées dans les pages Web sous forme d'applets mais n'ont pas accès aux objets de votre navigateur (ce qui est sécurisant en terme de protection informatique et vie privée, contrairement aux ActiveX Microsoft). Les accros des jeux en ligne sur Yahoo! savent de quoi je parle.
Inventée par SUN Microsystems, Microsoft a proposé une machine virtuelle JAVA jusqu'en 2003, date à laquelle il a dû, par décision de justice, la retirer et arrêter de la supporter. Elle comporte de graves failles de sécurité et il convient de la remplacer par celle de SUN, plus fiable et sécurisée.
Vous pouvez la télécharger sur le site officiel de SUN.
Pour désinstaller la machine virtuelle JAVA de Windows, avant d'installer celle de SUN, utilisez cet utilitaire.
Maintenez Windows à jour
Rendez vous sur le site de Microsoft Windows Update et appliquez toutes les mises à jour critiques et tous les Service Packs. C'est ici qu'intervient Internet Explorer car vous en avez besoin, ainsi que les contrôles ActiveX activés, pour pouvoir faire ces mises à jour.
Attention : si votre machine est infectée au moment de faire les mises à jour, n'installez-pas le Service Pack 2. Vous devez la désinfecter avant.
mykerinos.net 2007 | dernière mise à jour le 03.02.2007