[OS Hardening] : Restreindre l’accès aux clés USB via GPO (Group Policy Objects) et Script (Batch)

 

Introduction

Dans le cadre d’un projet de Hardening/Sécurisation d’infrastructures systèmes (Windows Server ou Client), vous pouvez avoir comme exigence « La désactivation des ports USB /Accès aux USB Devices ».

Cela peut concerner sur les serveurs (Physiques ou Virtuels) et/ou Postes de travail.

Pour répondre à cette exigence, Microsoft fourni par défaut dans ses OS (Client & Server) des paramètres de Stratégie de Groupe vous permettant de mettre en place cette restriction.

Alors, comment ça marche ?

Avant l’application de la procédure décrite ci-dessous, Notez que dans l’exemple ci-dessous, mon Laptop (un WS10 > 1803) permet toujours l’accès à mes devices USB :

Maintenant lancez l’outil GPMC.msc si vous souhaitez appliquer cette restriction sur plusieurs machines jointes à un domaine AD, ou GPEdit.msc si vous souhaitez d’abord tester et valider la procédure sur une machine localement.

Développez ensuite :

Configuration Ordinateur > Stratégies > Modèles d’Administration > Système > Accès au stockage amovible > Toutes les classes de stockage amovible : refuser tous les accès

Pour désactiver l’accès aux devices USB, il suffit de cochez « Activé » :

Après application/refresh des stratégies de groupe (GpUpdate /Target:Computer), l’accès aux USB devices (USB Keys, External Disks…etc) devient interdit (accès refusé) :

 

Astuce : Désactiver les ports USB via Script 

La désactivation des ports USB peut également se faire via Script.

Dans l’exemple suivant, un simple script Batch basé sur le Command-Line Tool « REG.exe » vous permet de réaliser cette opération en changeant la valeur de la Clé « Start » et la positionnant à 4 (au lieu de 3).

---

REM ==== Important : vous devez exécuter le script en tant qu’Administrateur !
REM ===================================================

REG ADD HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR /v Start /t REG_DWORD /d 4 /f

---

Information utile

Si vous souhaitez ré-activer l’accès aux ports USB, il suffit d’éditer le fichier (Script Batch) et positionnez la valeur de la clé « Start » à 3

 

Téléchargez le script

Ce script est disponible en téléchargement gratuit depuis la Gallery TechNet.

Téléchargez le script ici.

[Windows Server 2008(R2) /2012 (R2) /2016] Performance Tuning Guidelines

Hello Windows Guys,

Aujourd’hui, je vais vous parler d’un sujet souvent oublié et pourtant primordial pour la réussite de tout projet de déploiement Windows Server : Performance Tuning 

Microsoft fournie plusieurs Guidelines /White papers (Web /Docx /Pdf) décrivant les instructions à suivre pour bien tuner son infrastructure Windows Server, 2008, 2008 R2, 2012, 2012 R2 ou encore 2016.

Ces ressources étant réparties sur plusieurs sites /plateformes, j’ai donc décidé de vous regrouper dans le tableau ci-dessous tous les liens et documentations dont vous aurez besoin pour réaliser votre phase « Performance Tuning » avec succès.

OS	Documents & Liens
Windows 2016	Performance Tuning Guidelines pour Windows Server 2016 https://docs.microsoft.com/en-us/windows-server/administration/performance-tuning/
Windows 2012 R2	Performance Tuning Guidelines pour Windows Server 2012 R2 https://www.microsoft.com/en-us/download/details.aspx?id=51960https://msdn.microsoft.com/en-us/library/windows/hardware/dn529133
Windows 2012	Performance Tuning Guidelines pour Windows Server 2012 http://download.microsoft.com/download/0/0/B/00BE76AF-D340-4759-8ECD-C80BC53B6231/performance-tuning-guidelines-windows-server-2012.docx
Windows 2008 R2	Performance Tuning Guidelines pour Windows Server 2008 R2 http://download.microsoft.com/download/6/B/2/6B2EBD3A-302E-4553-AC00-9885BBF31E21/Perf-tun-srv-R2.docx
Windows 2008	Performance Tuning Guidelines pour Windows Server 2008 http://download.microsoft.com/download/9/c/5/9c5b2167-8017-4bae-9fde-d599bac8184a/Perf-tun-srv.docx

 

Comme discuté précédemment, la phase « Tuning Performance » est vraiment importante dans tout projet de déploiement (Windows Server ou autre d’ailleurs) car cela vous permettra d’utiliser vos ressources de la manière la plus efficiente et surtout vous aidera à atteindre un niveau de disponibilité de service (SLA /Service Level Availability) élevé.

Un conseil from #HK

Prenez le temps de lire ces documents, certains pages vous redirigent vers d’autres liens/pages, prenez donc le temps de bien lire et comprendre et d’associer les éléments de Tuning en fonction de chaque rôle /composant de la plateforme Windows Server.

Si vous avez des questions, n’hésitez pas à me laisser un commentaire.

A bientôt

#HK

[Windows Tips & Tricks] HowTo : Exporter/Importer toutes vos Tâches planifiées

 

Le planificateur de tâches Windows vous permet de créer et gérer des tâches planifiées afin d’automatiser les tâches fastidieuses d’administration Windows (periodic check, lancement de scripts pour déploiement, configuration, …Etc)

Certaines applications crééent de manière automatique des tâches planifiées pour un « Automatic Update » ou simplement réaliser certaines opérations liées à l’application de manière périodique.

Le planificateur de tâches Windows correspond à l’outil/snap-in MMC Taskschd.msc

Pour le lancer, saisissez simplement Taskchd.msc depuis le Menu Exécuter ou Menu Démarré

Dans l’exemple suivant, mon planificateur de tâches contient des tâches « auto-générées » par une Application présente sur mon OS Server (Optimize Start ****), mais aussi deux autres créées « manuellement » : reboot & Update check

Si vous souhaitez migrer votre plateforme Windows Server (2008 R2 ou ultérieur) vers un nouveau matériel (New Hardware) ou nouvelle VM, le planificateur de tâches vous offre la possibilité de migrer (exporter) vos tâches planifiées une par une, si vous en avez 100 ou 200 tâches planifiées … vous devriez donc les exporter à la main, une par un … 😦

HowTo : migrer toutes vos tâches planifiées en une seule opération 🙂

La migration des tâches planifiées d’un serveur à un autre est assez simple.

Il faut savoir que « par défaut », toute tâche planifiée créée est automatiquement placée dans le dossier suivant :

C:\Windows\System32\Tasks

Si je reprends l’exemple précédent, mes tâches planifiées « Optimize Start… » ainsi que « Reboot & Update check » sont donc bien présentes dans C:\Windows\System32\Tasks, voir Screenshot ci-dessous :

Pour les migrer vers un nouveau serveur (Physique ou Virtuel), il suffit de copier le dossier C:\Windows\System32\Tasks et copier son contenu et le coller dans le même dossier du nouveau Serveur.
Et voilà le tour est joué :).

[IIS – Security & Hardening] HowTo #N° 1 : Définir le Default Path d’AppCmd.exe

 

Introduction à l’outil CLI « APPCMD.exe »

AppCmd.exe est un Outil en ligne de commande (CLI) fourni avec le rôle Windows Server « IIS ».

C’est un outil d’administration très puissant qui vous permet (entre autres) de :

Créer, configurer et gérer des Sites IIS

Créer, configurer et gérer des Applis et Pools d’Applications IIS

Créer, configurer et gérer des Virtual Directories (Répertoire virtuels IIS)

Démarrer, arrête et recycler les Pools d’application

Afficher/Visualiser des informations sur les Worker Process

…Etc

Pour finir, AppCmd.exe vous permet non seulement de réaliser toutes les tâches d’administration classiques que vous pouvez effectuer depuis l’outil graphique IIS Manager (InetMgr.exe) mais aussi d’industrialiser /d’automatiser à l’aide de scripts Bat(ch) toute tâche d’administration /configuration fastidieuse et répétitive.

 

Définir le chemin par défaut d’AppCmd.exe

Les Best Practices IIS consistent à définir (forcer) le chemin by default de l’outil AppCmd.exe au niveau de la %var% d’environnement %PATH%, cette opération vous faciltera l’utilisation de l’outil car vous pourrez l’appeler depuis n’importe quel CMD Folder et vous n’aurez donc plus à faire du CD (Change Directory) à chaque fois que vous souhaitez appeler /lancer AppCmd.exe

Pour ce faire, la commande ci-dessous est à exécuter sur tous les serveurs IIS Server faisant parti de votre infrastructure système MS (Windows Server 2008 et ultérieur).

SETX PATH « %PATH%;%WINDIR%\System32\inetsrv » /M

Saisissez ensuite la commande suivante pour vérifier que la valeur de la variable %PATH% a bien été Updatée :

Echo %PATH%

Vous pouvez également vérifier le contenu de la variable %PATH% depuis les propriétés systèmes du serveur IIS > Variables d’environnement

Et voilà le tour est joué :).

Stay Connected, plusieurs HowTo IIS sont en cours de préparation.

N’hésitez pas à vous abonner à mon Blog pour rester informé de toute nouvelle publication ^^

See you soon.

#HK

[Windows PowerShell Tip] HowTo : changer le titre de la console PowerShell

 

Question : Puis-je changer le titre de ma console PowerShell ?

Réponse : Yes, of course !

Comment ça marche ?

Lancez Windows PowerShell en tant qu’Administrateur et saisissez la commande suivante :

Note : changez le titre entre  »  » par celui qui vous convient

$host.ui.RawUI.WindowTitle = « Hicham KADIRI’S PowerShell Console | Just Another Scripting Guy »

Et voilà, le tour est joué 🙂

[Windows CLI] WhoAmi.exe : Guide pas à pas

S’applique à : Windows Vista, Windows 7/8/8.1, Windows 10, Windows Server 2008/2008 R2, Windows Server 2012/2012 R2, Windows Server 2016

A noter que certains paramètres et instructions ne sont disponibles que sur les dernières versions de Windows Server et Windows Client, e.i Windows 10 - Windows Server 2016. lancer MSG.exe /? dan un premier temps pour obtenir la liste des paramètres disponibles

 

Introduction

WhoAmI.exe est un outil en ligne de commande natif dans les systèmes d’exploitation Windows Server et Windows Client.

Il vous permet de lister tous les privilèges et groupes d’appartenance de l’utilisateur connecté actuellement (de manière interactive) sur une Session Windows. WhoAmi.exe permet également de collecter les informations telles que le FQDN /UPN ou encore LOGONID de l’utilisateur connecté.

S’il est utilisé/exécuté sans aucun paramètre, WhoAmi.exe affichera le nom de l’utilisateur connecté actuellement et son domaine d’appartenance (au format NTML Domaine\Nom_Utilisateur) ou le nom du Groupe de travail (WorkGroup) si la machine n’est pas intégrée dans un domaine Active Directory.

Syntaxe

L’outil WhoAmi.exe peut être utilisé sous trois modes différents (trois syntaxes), à savoir

Sysntaxe 1 :

WHOAMI [/UPN | /FQDN | /LOGONID]

/UPN | Affiche le nom d’utilisateur au format UPN (nom d’utilisateur principal).
/FQDN |  Affiche le nom d’utilisateur au format FQDN (nom de domaine pleinement qualifié).
/LOGONID | Affiche l’ID de connexion de l’utilisateur actuel.

LIRE LA SUITE...

 

[Group Policy Objects] HowTo : Transformez vos GPOs Locales en GPOs de domaine

 

GPO Guys, Hello Again :),

Dans le cadre d’un projet de migration vers Windows Server 2016, une task intéressante faisant partie du plan de migration consistait à convertir toutes les GPOs locales de certains serveurs (en mode WorkGroup) placés en DMZ vers des GPOs de domaine A(ctive) D(irectory).

J’aimerais donc partager avec vous à travers cet article la méthode /outils utilisé pour réaliser cette action, qui n’est malheureusement pas décrite dans les K(nowledge) B(ase) de MS.

Alors comment ça marche ?

Tout d’abord, vous devez faire le listing de toutes les machines ayant des GPOs locales, à transformer en GPOs de domaine.

Téléchargez ensuite l’outil LGPO.exe et placez-le sur toutes les machines Windows ayant des GPOs Locale à récupérer.

LGPO.exe est un outil en ligne de commande très puissant qui vous permet d’accélérer la gestion de vos stratégies de groupes locales (LGPO : Local Group Policy Objects).

Actuellement disponible en V2.0, LGPO.exe prend désormais en charge les MLGPO (Multiple Local Group Policy Objects) ainsi que les valeurs de Registre REG_QWORD 64-bit.

LGPO.exe fait partie du package « Microsoft Security Compliance Toolkit 1.0« .

 

Vous pouvez le télécharger gratuitement ici.

HowTo : Transformer une GPO locale >> GPO de domaine

Dans l’exemple suivant, nous allons convertir une GPO locale, configurée sur un de mes serveurs d’administration et la transformer /migrer vers un domaine Active Directory.

Je vais commencer par placer (via un Copy/Paste) l’outil LGPO.exe sur mon serveur d’administration (l’outil sera placé dans le dossier C:\GPOTools) et je lancerai ensuite l’Invite de Commande (CMD.exe) en tant qu’Administrateur.

Enfin, la commande suivante est exécutée pour faire un Backup de la GPO locale :

LGPO.exe /b C:\LocalGPOs_Backup /n MyLocalGPO

Maintenant que le Package de GPO Locale est généré, lancez l’outil GPMC.msc depuis un Domain Controller ou une machine d’administration ayant les outils RSAT installés et suivez les instructions suivantes :

• Copiez /Collez le Package de GPO généré précédemment sur votre DC ou Machine d’Administration
• Faites un clic-droit sur le noeud « Group Policy Objects » (ou Objets de stratégie de groupe si votre OS Server est en FR) et sélectionnez « Import Settings…« 

• L’assistant d’importation de paramètres GP apparaît, cliquez sur « Next /Suivant » pour continuer
• Spécifiez l’emplacement de la sauvegarde GPO locale créée précédemment :

• Vérifiez les informations concernant votre GPO locale et cliquez sur « Next /Suivant » :

• Une fois les paramètres importés, cliquez sur « Finish » pour lancer /confirmer le processus d’importation au niveau de la GPO de domaine

• L’assistant vous affiche le statut post-importation des paramètres : Succeeded si l’opération s’est bien déroulée 🙂 :

• Enfin, vérifiez que les paramètres de votre GPO locale sont bien présents au niveau de la GPO de domaine :

Et voilà le tour est joué :).

HK.

[Group Policy Objects] HowTo : Lister toutes les GPOs « Vides » !

 

Hello GPO Guys,

Une « Trick » sur les GPOs qui peut vous être utile si vous faites régulièrement des audits GPOs.

J’ai récemment audité une infrastructure système « Windows Server 2012 R2 /2016 » assez complexe avec un peu plus de 1000 GPOs implémentées.

La phase /Step 1 de mon audit GPO était de lister et supprimer (après validati/on du client) toutes les GPOs vides, le but étant de réduire rapidement le nombre de GPOs de domaine « inutiles » (MAIS qui sont quand même répliquées dans tous les sens, lors de la réplica AD ^-^).

Alors comment ça marche ?

Lancez PowerShell ISE depuis un D(omain) C(ontroller) ou une machine d’administration ayant les outils RSAT ADDS installés et Copiez /Collez le bloc de code PS suivant :

---

$GPOVides = Get-GPO -All
foreach ($item in $GPOVides)
{
if ($item.Computer.DSVersion -eq 0 -and $item.User.DSVersion -eq 0)
{
write-host $item.DisplayName est vide !
}
}

---

Dans l’exemple suivant, le script me retourne les GPOs listées ci-dessous :

Notez que ce script PS est disponible en téléchargement gratuit sur la Gallery TechNet.

Téléchargez-le ici.

A bientôt

HK T___T

[eBook /Book] RDS Windows Server 2016 – Déploiement et Administration en Entreprise [2ème Edition]

J’ai l’immense honneur de vous annoncer la disponibilité de la seconde Edition de mon « Best-selling » eBook : RDS Windows Server 2012 R2.

Cette nouvelle édition voit le jour suite au succès de la première Edition (+ de 1000 ventes réalisées :)), je tiens à remercier tous les abonnés /followers et surtout toute personne ayant acheté et participé au succès de la première édition

Merci encore :).

2ème Edition, What’s New ?

Cette deuxième édition traite toutes les nouveautés introduites avec RDS Windows Server 2016. e.g : l’utilisation de la solution RDS sur Azure (RDS VDI avec un Windows 10 as a Service :))

En outre, j’ai décidé de créer un nouveau chapitre dans lequel j’ai regroupé tous les « Trucs & Astuces » liés à RDS 2016.

Plusieurs chapitres et sous-chapitres ont été ajoutés à cette deuxième édition, à savoir :

• CHAPITRE 16. DEPLOYER VOTRE INFRASTRUCTURE RDS VDI SUR AZURE
• RDS Virtual Desktop Infrastructure et Azure
• HowTo : Déployer votre infrastructure RDS VDI 2016 sur Azure

 

• CHAPITRE 17. CONFIGURER RDS 2016 AVEC AZURE SQL
• Préparez votre « Bac à sable » sur Azure
• Création de la base de données Azure SQL pour le RDCB HA
• Configuration de l’équilibrage de la charge
• Installation des agents SQL Native Client sur chaque VM Azure RDCB Server
• Installation de Microsoft ODBC Driver 13.1 pour SQL Server sur chaque RDCB Server (VM Azure)
• Configurer la haute disponibilité du service RDCB sur Azure
• Sizing de la base de données SQL Azure

 

• CHAPITRE 18. PENSEZ A DEPLOYER VOS SERVEURS RDS EN MODE « CORE »
• Services de rôles RDS pris en charge par Windows Server Core 2016
• Gérer vos serveurs RDS Core à distance
• Depuis un Serveur d’Administration
• Depuis une machine cliente d’Administration

 

• CHAPITRE 20. TIPS & TRICKS RDS QUE VOUS DEVEZ CONNAITRE
• HowTo : Effacer l’historique des connexions Bureau à distance
• Méthode #N°1 : via RegEdit.exe (Edition de la BDR)
• Méthode #N°2 : via Script
• HowTo : Publier des RemoteApps et Bureaux Windows sur la même Collection de Session
• Méthode #N°1 : via les Propriétés de la Collection
• Méthode #N°2 : via RegEdit.exe (Edition de la BDR)
• Méthode #N°3 : via Script
• HowTo : Configurez l’Auto-Logon sur le Portail RD Web Access
• Pensez à utiliser l’outil RDCMan (Remote Desktop Connection Manager)

 

• CHAPITRE 21. LISTE DES SCRIPTS ET OUTILS RDS QUE VOUS DEVEZ AVOIR DANS VOTRE TOOLBOX
• Scripts pour le rôle « Remote Desktop Services »
• Outils de déploiement RDS : RDS-O-Matic
• Outils de gestion et administration RDS
• Outils de sécurisation RDS
• Outils de diagnostic et dépannage RDS

 

Enfin, plusieurs « HowTo » vous permettant d’apporter une personnalisation complète sur votre Portail RD Web Access sont détaillées dans cet ouvrage. Cf « CHAPITRE 15. PERSONNALISER VOTRE PORTAIL RDWA »

N’attendez plus pour vous former sur RDS 2016, updatez vos Skills RDS et devenez un « Real RDS Expert » grace a cet eBook.

L’eBook est disponible sur BecomeITexpert.com, cliquez sur l’image ci-après pour en savoir plus :

OFFRE SPECIALE !

Pour tout achat avant la fin de l’année (au plus 30/12/2017), un ticket de support (par mail /tel /skype) vous est offert gracieusement :). Donc vous pouvez faire appel à moi pour vous aider dans le design, architecture, déploiement ou simplement troubleshooter votre infrastructure RDS 2016 (OnPrem ou Cloud).

[Active Directory Design] Sizing des Contrôleurs de domaine

Un très bon article de Philippe BARTH [MVP Directory Services] sur le Sizing des DC (Domain Controller) pour une infrastructure Active Directory 2008, 2008 R2, 2012, 2012 R2 et 2016.

Ci-après un extrait

====================================================================

En lisant certains blogs, je suis tombé sur des valeurs un peu excessives au niveau du dimensionnement des contrôleurs de domaine, surtout pour des PME. Je me souviens par exemple d’un site qui préconise 8 Go de RAM minimum sur les DCs avec Windows Server 2012 R2, sans trop justifier cette valeur. Active Directory n’est pas un service très exigeant au niveau des performances en comparaison d’un serveur Exchange ou d’une base de données SQL Server.

Le premier point sur lequel je souhaite justement revenir est la mémoire. Il est recommandé pour des raisons de performances d’avoir suffisamment de mémoire pour conserver l’ensemble de l’annuaire dans la mémoire. A la création le fichier « NTDS.dit » à une taille inférieur à 50 Mo. Même si la taille de la base de données est variable en fonction du nombre d’utilisateurs, de groupe, si vous stocker des photos pour les utilisateurs etc…, vous verrez qu’un annuaire pour une société de moins de 300 personnes ne dépassera sans doute pas les 300Mo.

La quantité minimale de RAM devrait être supérieur à la somme de la taille de la base de données, la taille SYSVOL totale, le montant recommandé du système d’exploitation et les recommandations du fournisseur pour les agents (antivirus, surveillance, sauvegarde, etc.). Donc si on compte 1Go pour Windows 2012, 300Mo pour la base AD et 100 Mo pour le service DNS, dans une petite structure, 2 Go de mémoire peut être suffisant si le DC n’héberge pas d’autres rôles.
Dans une structure plus importante, par exemple avec une forêt multi-domaine, le rôle de catalogue global augmente la consommation de mémoire. De plus si vous installez des outils tiers comme System Center (client SCCM, agent SCOM) vous devrez peut-être prévoir un minimum de 3Go voir 4Go.

LIRE LA SUITE…