Réparer les Permissions Windows

par Brian Vecci Que vous soyez directeur des systèmes d’information, impliqué dans la sécurité du système ou en charge des autorisations, il vous est surement déjà arrivé de rompre les...
2 minute de lecture
Dernière mise à jour 29 juillet 2022

par Brian Vecci

Que vous soyez directeur des systèmes d’information, impliqué dans la sécurité du système ou en charge des autorisations, il vous est surement déjà arrivé de rompre les autorisations Windows. « Rompre » peut bien sure avoir diverses significations car il existe une variété de moyens pour briser une autorisation NTFS.

Dans l’un des articles précédents nous remarquions que même dans le cas où les autorisations sont mécaniquement correctes – c’est-à-dire efficaces du point de vue de l’authentification – elles peuvent malgré tout être rompues  lorsque leur attribution n’est pas appropriée. Mais ce type d’erreur n’est pas le sujet de cet article. Parlons plutôt des autorisations mécaniquement rompues à cause d’un héritage de permissions NTFS vicié.

De manière générale, un dossier Windows peut hériter d’autorisations de trois façons différentes. Il peut tout simplement hériter de l’ensemble des autorisations de son dossier parent et, dans ce cas, les ACLs sont exactement les mêmes. Le dossier peut également hériter de toutes les autorisations de son dossier parent tout en ayant des autorisations supplémentaires. Varonis parle de dossiers « uniques ». Dans ces deux cas, les modifications apportées au dossier parent sont répercutées sur les sous-dossiers1. Enfin le sous-dossier peut hériter d’autorisations rompues, ou inactives – Microsoft (et Varonis) parlent de dossiers « protégés ».  Les dossiers protégés n’héritent pas des autorisations de leurs dossiers parents, et les modifications apportées aux autorisations du dossier parent n’affecteront pas les ACLs. Les outils d’administration présents sous Windows fournissent peut de visibilité sur les  dossiers dont l’héritage des autorisations est inactif ou sur les dossiers avec des autorisations uniques. C’est l’une des principales raisons pour lesquelles les entreprises ne peuvent pas déterminer quelles données sont accessibles à un trop grand nombre d’utilisateurs.

Ce qui complique les choses est que, parfois, l’héritage des permissions peut être rompu. Soit le sous-dossier n’a pas hérité des autorisations auxquelles il aurait du hériter, soit le sous-dossier a hérité de permissions n’étant pas appliquées au dossier parent. Quoi qu’il en soit le chaos se produit – le service informatique pensent que certains dossiers ont des accès restreints alors que ce n’est pas le cas, ou croit que certains dossiers sont accessibles alors qu’ils ne le sont pas. Lorsque le chaos se produit, trouver et corriger l’erreur nécessite l’analyse de tous les ACLs dans la branche concernée.

Les ACLs rompues ont des causes diverses. Certains programmes de copies automatiques sont connus pour produire ces résultats inattendus. Les scripts locaux peuvent également engendrer des difficultés similaires. Une autre incohérence apparait lorsqu’un utilisateur déplace un fichier ou un dossier vers un autre dossier du même volume avec des autorisations différentes. Quand un fichier ou un dossier est déplacé au sein du même volume, il est seulement renommé dans la table d’attribution des fichiers sans que les autorisations ne soient modifiées. Quand un fichier ou un dossier est déplacé d’un volume à l’autre, il hérite des autorisations de son nouveau dossier parent.

Il existe heureusement une technologie pour trouver et résoudre de tels problèmes. Varonis DatAdvantage recueille l’ensemble des autorisations à partir de l’Active Directory et peut facilement produire un rapport repérant les ACLs rompues ou les ensembles d’autorisations incohérents. DatAdvantage offre également la possibilité de valider les modifications sur le serveur (et même programmer ou annuler ces modifications), afin que les administrateurs puissent résoudre ces problèmes via l’interface. Cela permet de réparer les permissions mécaniquement brisées, cependant il faut parler des autorisations qui fonctionnement correctement mais qui donnent l’accès à trop d’utilisateurs. Restez à l’écoute.

[1] (à moins que la configuration empêche la propagation à l’ensemble des sous-dossiers)

 

The post Réparer les Permissions Windows appeared first on Varonis Français.

Que dois-je faire maintenant ?

Vous trouverez ci-dessous trois solutions pour poursuivre vos efforts visant à réduire les risques liés aux données dans votre entreprise:

1

Planifiez une démonstration avec nous pour voir Varonis en action. Nous personnaliserons la session en fonction des besoins de votre organisation en matière de sécurité des données et répondrons à vos questions.

2

Consultez un exemple de notre évaluation des risques liés aux données et découvrez les risques qui pourraient subsister dans votre environnement. Cette évaluation est gratuite et vous montre clairement comment procéder à une remédiation automatisée.

3

Suivez-nous sur LinkedIn, YouTube et X (Twitter) for pour obtenir des informations sur tous les aspects de la sécurité des données, y compris la DSPM, la détection des menaces, la sécurité de l’IA et plus encore.

Essayez Varonis gratuitement.

Obtenez un rapport détaillé sur les risques liés aux données basé sur les données de votre entreprise.
Se déploie en quelques minutes.

Keep reading

Varonis tackles hundreds of use cases, making it the ultimate platform to stop data breaches and ensure compliance.

empoisonnement-des-modèles-d'ia-:-ce-que-vous-devez-savoir
Empoisonnement des modèles d'IA : ce que vous devez savoir
Découvrez la menace croissante de l'empoisonnement des modèles, une cyberattaque où les modèles de machine learning sont manipulés, et comment votre entreprise peut s'en prémunir.
présentation-de-varonis-pour-chatgpt-enterprise
Présentation de Varonis pour ChatGPT Enterprise
La plateforme de sécurité des données à la pointe de la technologie de Varonis prend en charge ChatGPT Enterprise d’OpenAI et protège ainsi les données contre les risques d’utilisation abusive et d’exposition de l’IA.
le-dspm-dans-le-cloud-est-il-différent-?
Le DSPM dans le cloud est-il différent ?
Découvrez comment la DSPM évolue dans le cloud : visibilité en temps réel, automatisation et conformité dans les environnements multicloud dynamiques.
3 étapes-pour-sécuriser-vos-données-snowflake
3 étapes pour sécuriser vos données Snowflake
Découvrez les risques de sécurité des données dans Snowflake et apprenez des tactiques spécifiques pour garantir des pratiques sûres.