Page History

Contexte

Afin de superviser une machine Windows, le pack windows-by-WinRM propose les modèles d'hôte suivants :

• windows-by-WinRM permet la supervision d'un hôte Windows pour une vérification des fonctions principales ( CPU, disques, RAM, interfaces réseau ... ).
  
• windows-by-WinRM__extra qui permet une supervision plus personnalisée de l'hôte ( surveillance de fichiers ).

Liste des modèles d'hôte pour windows-by-WinRM__shinken

Modes d'authentification

Le pack windows-by-WinRM__shinkenoffre les modes d'authentifications suivants :

• negotiate
• basic
• ntlm-over-ip

Le mode d'authentification peut être changé en modifiant la donnée "WINDOWS-BY-WINRM__AUTHMETHOD", accroché sur les modèles d'hôtes.

negotiate

negotiate est un protocole de négociation d'authentification. Il va permettre au poller et à la machine supervisée de choisir le mode d'authentification le plus sécurisé disponible.
En premier lieu Kerberos va être priorisé, car il est plus sécurisé, puis si cela échoue, NTLMsera utilisé.

NTLM

NTLM nécessite un nom d'utilisateur et un mot de passe. Il est activé par défaut sur les serveurs Windows.

Deux versions de NTLM existent :

• NTLMv1 : déprécié par Microsoft depuis 2010.
• NTLMv2 : Installé et configuré par défaut sur Windows, il est largement utilisé. Déprécié depuis 2024.

Toutes les versions de NTLM sont désormais dépréciés depuis juin 2024 : https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features.

NTLM repose sur un échange d'authentification chiffré. Le reste des données échangé ne sont pas chiffrés.

Les principales fragilités de NTLM sont :

• Pas d'authentification mutuelle. Les "attaques par relais" "Man-in-the-Middle" sont possibles.
• Les données envoyées ne sont pas chiffrés.
• Les hashs échangés utilisés comme moyen d'authentification sont fragiles.

Ces problèmes sont réglés par l'utilisation de HTTPS, et d'une vérification stricte des certificats.

Kerberos

L'authentification Kerberos nécessite une connexion à l'hôte supervisé en utilisant :

• un nom DNS,
• un domaine Active Directory (Windows),
• un nom d'utilisateur,
• et un mot de passe.

Ce protocole est recommandé et utilisé par défaut sur Windows depuis Windows 2000 sur les postes au sein d'un domaine Active Directory.

Kerberos offre une communication chiffrée basée sur des tickets d’authentification temporaires émis par le contrôleur de domaine.

C'est la méthode d'authentification recommandée, car la plus sécurisée.

basic

L'authentification basic utilise un nom d'utilisateur et un mot de passe. Ces derniers sont envoyés en clair sur le réseau, l'ensemble des échanges ne sont pas chiffrés.

Ce protocole n'offre pas de réelle sécurité sans être couplé à HTTPS.

ntlm-over-ip

Cette méthode d'authentification le mode "negotiate", mais force l'utilisation de l'authentification par NTLM.

Pour forcer le protocole NTLM, la sonde va résoudre le nom de l'hôte en adresse IP, puis essayer de s'authentifier. Comme Kerberos ne peut pas être choisi comme méthode d'authentification lorsque la communication se passe par ip, alors NTLM est forcé.

Résumé

Sécurité supplémentaire

HTTPS

Le protocole HTTPS peut être utilisé via WinRM. Il permet de rajouter la sécurité nécessaire à l'authentification basic et NTLM ( negotiate ).