Nous verrons dans cet article comment créer une clé USB d’installation pour Windows 11. Il est toujours possible de créer un DVD bootable, mais on ne va pas se mentir, l’installation via une clé USB est bien plus simple, pratique et rapide. Cette clé USB vous permettra d’installer Windows 11 que ce soit pour une …J’ai récemment sorti une vidéo et un article pour vous expliquer comment faire la mise à jour de votre ordinateur vers Windows 11. Malheureusement nombreux d’entres vous semblent bloqué à cause de leur processeur, en effet Microsoft a pris la décision de priver de nombreux utilisateurs de la mise à jour vers Windows 11 sous …Dans ce tutoriel, nous allons voir comment configurer AppLocker par GPO pour sécuriser les postes Windows en bloquant l'exécution et l'installation de logiciels.
La solution AppLocker est la remplaçante d'une autre fonction similaire, configurable par GPO, mais moins complète : la stratégie de restriction logicielle.
AppLocker permet de créer des règles pour définir les applications autorisées à être exécutées par les utilisateurs lambdas sur les machines du domaine. Grâce à ces restrictions, vous allez pouvoir lutter contre l'installation de logiciels non approuvés par le service informatique, de logiciels crackés en version portable, des logiciels portables au sens large, mais cela va permettre aussi de limiter l'installation de malwares sur les postes de travail.
AppLocker va permettre d'agir sur quatre types d'éléments : les exécutables, les installeurs au format Windows Installer (package MSI), les scripts et les applications modernes au format APPX.
Pour en savoir plus sur les différences entre AppLocker et les stratégies de restriction logicielle, consultez la documentation Microsoft.
Qu'allons-nous mettre en place ?
Pour ce tutoriel AppLocker, nous allons apprendre à créer une politique afin de bloquer l'exécution et l'installation de tous les logiciels, à l'exception :
Cette politique sera appliquée uniquement aux membres d'un groupe de sécurité Active Directory.
Pour suivre ce tutoriel, vous avez besoin de deux machines :
La solution AppLocker existe depuis quelques années déjà puisqu'elle a été introduite dans Windows à l'occasion de la sortie de Windows 7 et Windows Server 2008 R2. Au fil des versions et des sorties de Windows, Microsoft a fait évoluer AppLocker pour ajouter des fonctionnalités.
AppLocker est pris en charge sur Windows 10 et Windows 11 : vous pouvez miser sans problème sur cette fonctionnalité. Il en va de même pour Windows Server, si vous souhaitez mettre en place une politique AppLocker sur un serveur RDS.
Néanmoins, il y a un "mais" et c'est un petit détail qui fait mal. Pour utiliser AppLocker sur les postes de travail, vous devez utiliser une édition Entreprise ou Education de Windows. Autrement dit, AppLocker ne fonctionnera pas sur Windows 10 Pro, ni Windows 11 Pro, mais il fonctionnera sur Windows 10 Enterprise et Windows 10 Education.
Pour Windows Server, cette restriction n'existe pas pour les versions à partir de Windows Server 2012.
Maintenant que vous avez pris en compte de ce détail, nous allons pouvoir commencer la configuration.
Avant d'attaquer la GPO AppLocker, nous allons créer un groupe de sécurité sur lequel va s'appliquer notre politique AppLocker.
À partir de la console "Utilisateurs et ordinateurs Active Directory", j'ai créé le groupe de sécurité "GG-Restrictions-Logiciels". Vous pouvez le créer avec le Centre d'administration Active Directory ou avec PowerShell : vous avez le choix.
Au sein de ce groupe, j'ai ajouté un salarié de l'entreprise pour lui appliquer les restrictions : "guy.mauve".
À partir de la console de Gestion des stratégies de groupe, créez une nouvelle GPO et liez cette GPO à une OU qui cible vos machines. Pour ma part, je vais cibler l'OU qui contient la machine où se connecte "guy.mauve" et je vais nommer cette GPO "AppLocker", tout simplement.
Ensuite, modifiez cette GPO à l'aide d'un clic droit sur son nom.
Pour qu'AppLocker fonctionne, il faut que le service "Identité de l'application" (AppIDSvc) soit actif et démarré automatiquement. Ce n'est pas le cas par défaut. Nous allons configurer la GPO pour configurer ce service sur nos postes de travail.
Parcourez l'arborescence comme ceci :
Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Services système
Ouvrez les propriétés du service "Identité de l'application", cochez la case "Définir ce paramètre de stratégie" et cliquez sur "Automatique".
Validez. Première étape réussie !
Pour configurer AppLocker, parcourez l'arborescence de cette façon :
Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Stratégies de contrôle de l'application > AppLocker
Ensuite, cliquez sur le lien "Configurer la mise en application des règles" sur la partie de droite.
Pour chaque type de règles, cochez l'option "Configuré" et basculez sur "Appliquer les règles".
Note : j'utilise le mode "Appliquer les règles" dès maintenant, mais en phase de test, c'est pertinent de commencer par une phase d'audit et d'analyse en sélectionnant "Auditer uniquement". De cette façon, les événements AppLocker seront générés, mais il n'y aura pas de restrictions effectives sur la machine.
Validez avec "OK".
Développez "AppLocker", quatre catégories vont s'afficher : règles de l'exécutable (EXE), règles Windows Installer (MSI), règles de scripts et règles d'applications empaquetées (APPX).
Je vous invite à générer les règles par défaut pour les "Règles de l'exécutable", les "Règles Windows Installer" et les "Règles d'applications empaquetées". Pour cela, effectuez un clic droit sur la catégorie et cliquez sur le bouton "Créer des règles par défaut".
Si l'on regarde la partie "Règles de l'exécutable", on peut voir que cette action crée plusieurs règles pour autoriser "Tout le monde" à exécuter les programmes situés dans "Program Files" et "Windows". En complément, les administrateurs n'auront pas de restrictions. C'est une bonne base pour la suite.
Dans le même esprit, une règle est créée pour les applications empaquetées.
Désormais, passons à la création de notre règle personnalisée. Effectuez un clic droit sur "Règles de l'exécutable" et cliquez sur "Créer une règle". Un assistant va se lancer.
Je vous rappelle que l'objectif est de créer une règle pour empêcher le groupe "GG-Restrictions-Logiciels" d'exécuter et d'installer des logiciels, à part ceux présents dans "Program Files" et "Windows".
Cliquez sur "Suivant" lorsque le premier écran apparaît.
Choisissez l'action "Refuser" et pour le champ "Utilisateur ou groupe", sélectionnez le groupe "GG-Restrictions-Logiciels". Poursuivez.
Lorsque l'on crée une règle, il y a trois types de conditions principales :
Choisissez "Chemin d'accès" et continuez.
Pour le chemin d'accès, précisez "*.*" : cela signifie que l'on refuse tous les exécutables ! Mais, nous allons créer deux exceptions à la prochaine étape.
Sous "Ajouter une exception", choisissez "Chemin d'accès" et cliquez sur le bouton "Ajouter". Créez une première exception avec ce chemin :
%PROGRAMFILES%\*
Répétez l'opération avec ce chemin :
%WINDIR%\*
Cela va permettre d'autoriser les exécutables situés dans "Program Files" et le dossier d'installation de Windows. Cliquez sur "Suivant".
Nommez cette règle et indiquez une précision si vous le souhaitez. Cliquez sur "Créer".
Nous obtenons le résultat suivant :
Je vous invite à créer une règle similaire, mais dans la catégorie "Règles Windows Installer" pour bloquer les fichiers MSI.
Une fois que c'est fait, la GPO est prête, nous allons tester depuis un poste client.
Sur le poste client, je me connecte avec l'utilisateur "guy.mauve" puisqu'il est membre du groupe "GG-Restrictions-Logiciels". Ensuite, j'effectue un "gpupdate /force" et pendant ce temps je télécharge quelques logiciels : Putty, Firefox Portable, Chrome, Teams et 7-Zip.
Le problème, c'est que l'administrateur système bloque l'exécution de tous ces exécutables ! Et oui, notre stratégie AppLocker rentre en jeu et contrôle l'exécution de chaque fichier ! Comme l'exécutable n'est pas dans un dossier autorisé (Program Files ou Windows), il est bloqué !
Dans le même esprit, avec un package MSI (suite à la création de la seconde règle).
Si l'on regarde dans l'Observateur d'événements de la machine locale, on peut voir que tous les événements AppLocker sont enregistrés. Vous pouvez les retrouver dans :
Journaux des applications et des services > Microsoft > Windows > AppLocker
Ensuite, il y a un journal par catégorie de règles, ce qui est appréciable pour le debug. On peut voir que "guy.mauve" a tenté d'exécuter "Putty.exe" et que l'exécution a été empêchée. Là ce sont des exécutables sans réels dangers, mais ce serait un logiciel malveillant, ce serait bloqué également et d'autant plus appréciable !
J'en profite pour parler du module PowerShell AppLocker. Il permet de récolter des informations assez précises, comme par exemple la liste des applications refusées pour un utilisateur avec la commande "Get-AppLockerFileInformation".
Get-AppLockerFileInformation -EventLog -EventType Denied
À l'inverse, on peut voir ce qui a été autorisé :
Get-AppLockerFileInformation –EventLog –EventType Allowed
Pour finir, nous allons apprendre à créer une exception pour autoriser l'installation d'un logiciel spécifique, en l'occurrence Teams, malgré les restrictions mises en place. Un cas très courant puisque Teams peut s'installer sans les droits Administrateur étant donné qu'il s'installe dans le répertoire "AppData" du profil de l'utilisateur, comme d'autres applications.
Lorsque l'on télécharge Teams, on obtient le fichier suivant : Teams_windows_x64.exe
La première chose à faire, c'est ajouter une nouvelle exception sur notre règle située dans "Règles de l'exécutable". Effectuez un clic droit sur la règle "Empêcher installation de logiciels" et cliquez sur "Propriétés".
Au sein de l'onglet "Exceptions", choisissez "Editeur" sous "Ajouter une exception" puis cliquez sur le bouton "Ajouter".
Vous devez indiquer le chemin vers l'exécutable de Teams pour que l'assistant AppLocker récupère des informations sur l'exécutable, notamment l'éditeur. Ensuite, les différents champs seront complétés automatiquement : Editeur, Nom du produit, Nom du fichier et Version du fichier.
Prenez le curseur à gauche et positionnez-le sur "Editeur". Cela va permettre d'accepter toutes les valeurs pour les autres champs et d'autoriser toutes les applications signées par l'éditeur Microsoft. En fait, on pourrait être plus restrictif et autoriser seulement le produit "MICROSOFT TEAMS", mais le problème c'est que Teams s'appuie sur plusieurs composants. Si l'on ne crée par une autorisation plus large, l'installation échouera. Validez.
La création d'une exception dans AppLocker ne suffit pas : même avec cette exception, l'installeur de Teams sera bloqué ! En fait, en plus d'ajouter une exception, il faut créer une règle pour autoriser l'éditeur Microsoft. Une petite subtilité, mais qu'il faut connaître si vous ne voulez pas vous casser les dents pendant 3 heures sur une règle AppLocker qui ne s'applique pas (ce qui devrait arriver à un moment donné malgré tout).
Toujours dans "Règles de l'exécutable", créez une nouvelle règle... et :
Finalisez la création de la règle.
Vous devez obtenir ceci :
À partir de là, sur le poste client, l'utilisateur "guy.mauve" sera toujours restreint à l'exception près qu'il pourra exécuter les logiciels signés par Microsoft qui ne sont pas situés dans "Program Files" et "Windows". Pour Teams, cela va lui permettre d'installer l'application dans sa session.
Nous avons vu comment exécuter le logiciel depuis l'Explorateur de fichiers et nous avons pu constater que l'exécution est bien bloquée. Il faut savoir aussi que l'exécution sera bloquée si l'on tente de lancer l'exécutable depuis la console PowerShell ou l'Invite de commande. Par exemple :
Cela peut paraître normal, mais avec la méthode plus ancienne, à savoir "Stratégie de restriction logicielle", ce n'est pas le cas. En effet, si vous ouvrez une console comme l'Invite de commande sur votre machine en tant qu'utilisateur standard (et donc restreint par la stratégie de restriction logicielle), vous allez pouvoir exécuter les fichiers bloqués. Ce qui nécessite de bloquer l'accès à l'Invite de commande et la console PowerShell, ce qui n'est pas un mal de toute façon ! Voilà, un atout de plus pour AppLocker puisqu'il est efficace contre cette méthode de contournement.
Cette introduction à AppLocker touche à sa fin ! Vous avez désormais connaissance des bases pour configurer cette fonctionnalité très intéressante afin de sécuriser vos postes de travail, mais aussi vos serveurs !
The post GPO – Comment configurer AppLocker pour sécuriser vos postes Windows ? first appeared on IT-Connect.Dans cet article nous verrons comment mettre à jour votre installation de Windows 10 vers Windows 11. Si votre version de Windows 10 est activée, alors vous pourrez passer sous Windows 11 gratuitement, cependant, il faudra tout de même que votre ordinateur dispose des prérequis de la nouvelle version du système d’exploitation de Microsoft. Les …Windows 11 est maintenant disponible, certains d’entre vous ont déjà passé le cap, d’autres ne savent pas encore s’il est intéressant de passer sur cette nouvelle version. Nous verrons dans cet article, les plus gros changements (selon moi) du nouveau système d’exploitation de Microsoft. C’est parti ! OOBE (Out Of Box Expérience) C’est la première …C’est aujourd’hui que Microsoft a publié son nouveau système d’exploitation Windows 11. Pendant des années Microsoft a crié sur les tous les toits que Windows 10 serait le dernier, mais le marketing et le besoin de renouvellement en a fait autrement. Même si cette version de Windows reste sur un noyau semblable à Windows 10 …Bonjour à toutes et tous ! Nous voici de nouveau ensemble afin de poursuivre notre découverte de la solution Veeam Agent for Microsoft Windows. Jusqu’à présent, nous avons vu la présentation et l’installation de cette solution ainsi que les étapes à suivre afin de faire la configuration d’un job de sauvegarde. Dans l’article du jour, …Il est indéniable que depuis le début de la pandémie, les habitudes des consommateurs se sont fortement modifiées. En effet, selon l’étude « Global Commerce Observatory 2021 », réalisée par Havas Commerce pour Paris Retail Week, 85 % des commerçants déclarent avoir constaté des changements de comportements chez les consommateurs. Pour répondre à ce développement, de plus en plus d’entreprises se sont intéressées à l’expérience client.
The post Nouveaux enjeux de la fidélisation client : des processus de connexion sécurisés et simples d’accès first appeared on UnderNews.Bonjour à toutes et tous ! Nous voici de nouveau ensemble afin de poursuivre notre découverte de la solution Veeam Agent for Microsoft Windows. Jusqu’à présent, nous avons vu seulement la présentation et l’installation de cette solution, aujourd’hui, dans l’article du jour, nous allons voir les différentes étapes à suivre pour la création d’un job …Ransomware : La Mutuelle Générale s’appuie sur BlueTrusty pour réaliser des campagnes de stress tests orientées postes de travail.
The post Cybersécurité – Cas client Mutuelle Générale et ransomware first appeared on UnderNews.Bonjour à toutes et tous ! Nous voici de nouveau ensemble pour la découverte d’une solution de l’éditeur Veeam. Nous avions déjà vu il y a quelque temps dans différents articles la solution Veeam Backup for Microsoft 365 et cette fois-ci, nous allons découvrir Veeam Agent for Microsoft Windows ! Oui, je sais, nous avions …
Depuis l’annonce de Windows 11, on a du mal à comprendre la stratégie de Microsoft vis-à-vis de la configuration minimale requise. La semaine dernière, ils ont annoncé que Windows 11 sera bien disponible pour les vieux PC, même sans TPM 2.0. Cependant, il va de soi que toutes les fonctionnalités de Windows 11 ne seront …
Vous êtes développeur, vous bossez en équipe et vous cherchez un client MySQL moderne qui vous permettra de plonger dans vos bases PostgreSQL et MySQL sans douleur ?
Alors ne cherchez plus, j’ai ce qu’il vous faut. Il s’agit d’un logiciel pour mac, Windows et Linux qui s’appelle Arctype et qui une fois installé vous permettra de vous connecter à votre base de données préférée.
Ensuite vous pourrez créer et éditer des tables via l’interface graphique puis créer et lancer des requêtes SQL. Comme l’outil est conçu pour tous ceux qui écrivent du code SQL tous les jours, il est hyper pratique à utiliser et très performant.
Comme on est rarement seul à passer des requêtes SQL, Arctype vous permettra également de partager vos requêtes avec le reste de votre équipe, en gérant bien évidemment les permissions de chacun. Chaque requête créée est également versionnée, ce qui permet d’assurer un suivi dans l’écriture de celle-ci.
Bref, c’est super pratique et les outils de visualisation sont top ! Vous pourrez donc construire vos requêtes et les lancer très facilement, mais surtout concevoir des tableaux de bord et des graphiques pour visualiser vos données et partager tout ça avec votre équipe.
Un outil vraiment très cool pour tous ceux qui en ont marre des clients MySQL à la pépé au look des années 80. (vive les années 80, cela dit…)
Amusez-vous bien !
Ah les API, qu’est-ce que c’est cool ! Ça permet de récupérer des infos et d’en renvoyer d’autres, simplement avec des URLs. Oui de simples URLs. Merveilleux n’est-ce pas ?
Mais pour bien développer ses propres APIs ou utiliser les APIs d’un tiers, il faut comprendre comment ça fonctionne et il faut pouvoir les tester. Alors pour cela, la plupart des documentations préconisent d’utiliser Curl dans un terminal, mais bon, ce n’est pas ce qu’il y a de plus pratique pour des tests.
D’autres optent pour des services en ligne comme Insomnia ou Postman. Puis il y a vous qui lisez cet article et qui vous apprêtez à découvrir Prestige.
Prestige est un client HTTP en mode texte, destiné à être utilisé comme outil de développement d’API. Il dispose pas vraiment d’interface utilisateur structurée, mais ressemble plus à un notepad dans lequel vous lanceriez les URL en faisant des CTRL + ENTRÉE (ou CMD + ENTRÉE).
Cela procure beaucoup plus de flexibilité puisqu’on ne perd pas de temps avec des fenêtres de saisie pour les URL, de listes déroulantes pour les méthodes, etc. Ça peut vous dérouter si vous êtes habitué aux outils avec interface, mais c’est extrêmement simple à utiliser et ça vous permettra d’aller beaucoup plus vite.
Prestige fournit également des outils comme la possibilité de créer des modèles, de générer le corps de vos requêtes POST en JavaScript, ou encore la préexécution des callbacks.
Je ne vais pas aller plus loin dans les détails puisque tout le fonctionnement de ces outils est extrêmement bien expliqué dans leur documentation.
Prestige est sous licence Apache 2.0 (libre) et vous pouvez récupérer les sources ici si vous souhaitez le mettre en place sur votre propre machine.
Depuis la bêta de Windows 10, Microsoft propose un programme permettant à n’importe qui de devenir « bêta testeur ». Ce programme est appelé « Windows Insider » et permet donc de profiter des nouvelles versions appelées « Builds ». En ce moment, on parle beaucoup de Windows 11 et certains d’entre vous m’ont demandé comment obtenir les builds Windows 11 …
FreshRSS 