Page History

Contexte

Afin de superviser une machine Windows, le pack windows-by-WinRM propose un modèle __shinken propose les modèles d'hôte suivants :

• windows-by-WinRM permet la supervision d'un linux hôte Windows pour une vérification des fonctions principales ( CPU, disques, RAM, interfaces réseaux réseau ... ).
  
• windows-by-WinRM__advanced qui permet une supervision plus avancée de l'hôte ( Statistiques d'utilisation… ).
• windows-by-WinRM__extraqui permet une supervision plus personnalisée de l'hôte ( Surveillance de processus, surveillance de fichiers ).

Liste des modèles d'hôte

Modes d'authentification

Le pack windows-by-winrmWinRM__shinkenoffre les modes d'authentifications suivants :

• ntlm
• basic
• gss-negotiate

basic

Le mode d'authentification peut être changé en modifiant la donnée "WINDOWS_BY_WINRM__AUTHMETHOD", accroché sur les modèles d'hôtes.

NTLM

NTLM est le mode d'authentification de Windows par défaut pour les ordinateurs configurés en Groupe de Travail ( lorsqu'ils ne sont pas configurés en domaine ).

NTLM nécessite L'authentification basic utilise un nom d'utilisateur et un mot de passe. Ces derniers sont envoyés en clair sur le réseau, l'ensemble des échanges ne sont pas chiffrés.

Afin de protéger ces échanges réseaux clair, il est possible d'utiliser HTTPS pour chiffrer la communication.

gss-negotiate

gss-negotiate n'est pas un mode d'authentification, mais un protocole de négociation de support d'authentification.

Le polleur et l'hôte supervisée vont se mettre d'accord en entamant une connexion sur quelle méthode d'authentification choisir.
En premier lieu Kerberos va être priorisé car il est plus sécurisé, puis si cela échoue NTLM sera utilisé.

NTLM

Il est activé par défaut sur les serveurs Windows.

Deux versions de NTLM existent :

• NTLMv1 : déprécié par Microsoft depuis 2010.
• NTLMv2 : Installé et configuré par défaut sur Windows, il est largement utilisé. Déprécié depuis 2024.

Toutes les versions de NTLM sont désormais dépréciés depuis juin 2024 : https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features.

Le protocole NTLM utilisé chiffre ses échanges.

Les principales fragilités de NTLM sont :

• Pas d'authentification mutuelle. Les "attaques par relais" "Man-in-the-Middle" sont possibles.
• Les hashs échangés utilisés comme moyen d'authentification sont fragiles.

Ces problèmes sont réglés par l'utilisation de HTTPS, et d'une vérification stricte des certificats.

Basic

L'authentification basic utilise NTLM nécessite un nom d'utilisateur et un mot de passe. NTLM est activé par défaut sur votre serveur windowsCes derniers sont envoyés en clair sur le réseau, l'ensemble des échanges ne sont pas chiffrés.

Ce protocole n'est plus recommandé par Microsoft depuis 2010, et une faille critique permetant de craquer les hashs des mots de passes observés sur le réseaux a été publié en 2024 ( NTLM V2 ).

NTLM offre une communication chiffré.

Kerberos

offre pas de réelle sécurité sans être couplé à HTTPS.

Kerberos ( non disponible )

Kerberos est le mode d'authentification de Windows par défaut pour les ordinateurs configurés en domaine ou Active Directory ( lorsqu'ils ne sont pas configurés en groupe de travail ).

L'authentification Kerberos nécessite une connection connexion à l'hôte supervisée supervisé en utilisant :

• un nom DNS,
• un domaine Active Directory (Windows),
• un nom d'utilisateur,
• et un mot de passe.

Ce protocole est recommandé et utilisé par windows par défault depuis windows 2000défaut sur Windows depuis Windows 2000 sur les postes au sein d'un domaine Active Directory.

Kerberos offre une communication chiffréchiffrée basée sur des tickets d’authentification temporaires émis par le contrôleur de domaine.

C'est la méthode d'authentification recommandée, car la plus sécurisée.

Résumé

Sécurité supplémentaire

HTTPS ( non disponible )

Le protocole HTTPS peut être utilisé via WinRM. Il permet de rajouter la sécurité nécessaire à l'authentification basic et NTLM.