|
|||||||||||||||||||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||||||||||||||||
| Configuration du pare-feu Kwartz | |||||||||||||||||||||||||||||||||||||||||||||
| Nous allons tout d'abord faire le point sur le pare-feu du Kwartz. Celui-ci est paramétrable depuis "Sécurité" --> "Pare-feu": |
 |
||||||||||||||||||||||||||||||||||||||||||||
| Ici, des modifications ont déjà été effectuées. |  |
||||||||||||||||||||||||||||||||||||||||||||
On ne doit modifier les paramètres du pare-feu qu'en connaissance de cause. Par défaut, le pare-feu est paramétré ainsi --> Le fait par exemple d'ouvrir le LDAP a l'extérieur permettrait à n'importe qui d'obtenir la liste de vos utilisateurs... Autre exemple, le service "pop" (la réception du courrier électonique), n'est ouvert qu'en entrée, ce qui est logique et ne doit pas être changé. |
|
||||||||||||||||||||||||||||||||||||||||||||
| Contrôle selon les machines | |||||||||||||||||||||||||||||||||||||||||||||
Dans un réseau informatique, il faut connaître l'équipement se connectant à son réseau. Dans de gros établissements, il serait tellement facile de brancher son portable à une prise d'une salle peu surveillée et de surfer... ou tout simplement de propager le virus récupéré à la maison ! Cela se fait très facilement depuis le menu "Sécurité" --> "Contrôle selon les machines": |
 |
||||||||||||||||||||||||||||||||||||||||||||
Il suffit de décocher la toute dernière case afin de ne pas autoriser les postes inconnus à surfer --> |
 |
||||||||||||||||||||||||||||||||||||||||||||
D'autre part, il ne faut généralement pas inscrire des postes dont on n'est pas sur de leur identité. Ne jamais oublier que seule l'adresse MAC (Série de caractère ressemblant à ceci: 00:0D:93:44:B2:12) est fiable et permet une authentification quasi certaine du poste. On ne se fie pas uniquement à son nom qui peut être changé par n'importe qui. On obtient l'adresse MAC soit sous Rembo, lors du démarrage de la machine ou sous Windows en tapant dans une fenêtre MS-DOS "ipconfig/all". |
 |
||||||||||||||||||||||||||||||||||||||||||||
| Contrôle selon les utilisateurs | |||||||||||||||||||||||||||||||||||||||||||||
Vous pensiez sans doute qu'il suffisait, pour actionner les listes noires et enregistrer les logs, d'appliquer une règle par défaut dans "Sécurité" - "Accès à Internet" (1) et (2) ? C'est faux. Il est très facile à un utilisateur de pouvoir surfer sans être authentifié ! Certes le blocage par les listes noires sera effectif (à condition d'avoir correctement paramétré le profil par défaut) mais impossible de savoir qui fait quoi... La seule solution fiable est de créer des "Profils d'accès à Internet" où l'on placera tous les utilisateurs connus du réseau (profs, élèves...) et de bloquer tous les autres (ce sera donc notre "Profil par défaut"). |
 |
||||||||||||||||||||||||||||||||||||||||||||
| La méthode est simple mais assez longue. Créons d'abord un premier "Profils d'accès à Internet" ou je vais placer mes profs.
Cliquer sur "Définir un nouveau profil". Je choisis un nom pour ce profil, soit "Professeurs". Je vais maintenant choisir qui fait partie de ce groupe. Pour cela, je clique sur "Sélectionner...", une fenêtre s'ouvre. |
 |
||||||||||||||||||||||||||||||||||||||||||||
| A gauche, tous les utilisateurs de mon Kwartz, profs et élèves mélangés. Je pourrais très bien avoir un seul et unique profil, mettre tous les utilisateurs dans celui-ci, cela fonctionnerait. Je préfère créer différents profils au cas ou, par exemple, je voudrais en bloquer un pour une durée déterminée. Je peux afficher uniquement les utilisateurs d'un certain groupe (les groupes sont visibles dans le menu "Utilisateurs" - "Groupes") en choisissant celui-ci dans la liste déroulante visible en bas à gauche de ma fenêtre. Une fois le groupe désiré affiché, je le déplace dans la colonne de droite ("Utilisateurs sélectionnés") en cliquant sur le bouton "Ajouter les utilisateurs affichés". Voir la démonstration ci-contre... |
|
||||||||||||||||||||||||||||||||||||||||||||
Il est possible de rajouter autant d'utilisateurs ou de groupes que je désire dans mon profil. Une fois terminé, je clique sur "OK" pour fermer la fenêtre. On retrouve la fenêtre de tout à l'heure, sauf que les utilisateurs choisis précédemment sont listés --> Cliquer sur "Mettre à jour" pour valider. |
 |
||||||||||||||||||||||||||||||||||||||||||||
| Maintenant il est possible de définir des périodes pendant lesquelles l'accès est autorisé. Dans l'exemple je choisis "Tout le temps" --> |  |
||||||||||||||||||||||||||||||||||||||||||||
| On doit maintenant définir ce que ce groupe peut visiter (ou pas !) comme sites. On utilise la liste noire de Toulouse et éventuellement des listes personnalisées. Ne pas oublier de laisser passer les 2 listes "Bibliothèque" et "Désinfection virale" qui ne sont pas des listes noires mais des listes blanches. |
 |
||||||||||||||||||||||||||||||||||||||||||||
| Après avoir validé ("Mise à jour") la page suivante --> affiche le résumé de l'action. Tous les autres sites que ceux bloqués sont implicitement autorisés. |  |
||||||||||||||||||||||||||||||||||||||||||||
| On recommence l'opération si nécessaire avec d'autres profils (élèves...) jusqu'à avoir tous les utilisateurs du réseau dans un profil (ne pas en oublier, sinon ils n'auront pas accès au Web). |  |
||||||||||||||||||||||||||||||||||||||||||||
| Maintenant que les profils sont définis, on paramètre le "Profil par défaut" afin d'empêcher tout utilisateur non authentifié de surfer.
Pour cela on procède comme auparavant, sauf que l'on bloque tout accès (voir copie d'écran -->). |
 |
||||||||||||||||||||||||||||||||||||||||||||
Au final, on se retrouve avec une série de règles ressemblant à celles-ci --> Il suffira dans les jours suivants de regarder dans les logs si des identifiants inconnus réussissent encore à surfer... |
 |
||||||||||||||||||||||||||||||||||||||||||||
| Quelques précautions au sujet de Winadmin | |||||||||||||||||||||||||||||||||||||||||||||
| Il vous parait normal d'utiliser "Winadmin" comme utilisateur classique, d'utiliser ce compte pour aller sur n'importe quel poste du réseau.
Winadmin n'est pas un compte comme les autres. C'est en effet le seul utilisateur ayant le droit d'écriture sur le lecteur réseau "P:" contenant les programmes réseau . Quelle importance, allez-vous me dire ? Sachez que sur le "P:" est stocké l'antivirus OfficeScan. Si jamais vous ouvrez une session "Winadmin" sur un poste vérolé, vous pouvez être sur que le virus va tenter de se propager là où il peut, notamment sur le "P:" où il a le droit d'écriture, et particulièrement dans le répertoire "pccsrv" d'Officescan... Maintenant que cela est fait, souvenez-vous que tous les postes de votre réseau lancent à l'ouverture de session l'antivirus sur le "P:". Vous commencez à imaginer le problème... tous les postes du réseau vérolés... bon amusement ! Il est donc primordial pour la sécurité du réseau de n'utiliser "Winadmin" qu'en cas de nécessité (lors de l'installation d'un programme sur le "P:" par exemple). Vous pouvez tout à fait créer des comptes pour les administrateurs ("admin", "tice"...) où vous stockerez vos programmes et fichiers divers utiles au fonctionnement des salles. |
|||||||||||||||||||||||||||||||||||||||||||||
| Utiliser la liste personnalisée pour bloquer des sites non répertoriés | |||||||||||||||||||||||||||||||||||||||||||||
Pour ajouter une liste personnalisée, aller dans le menu "Sécurité" puis "Accès à Internet". En bas choisir "Gestion des groupes de sites". Cliquer sur "Créer un nouveau groupe de sites". |
 |
||||||||||||||||||||||||||||||||||||||||||||
Ici je veux bloquer le domaine "ac-lille.fr". Je donne un nom explicite à mon groupe de façon à m'y retrouver. J'ajoute un ou plusieurs domaines ou sites dans la liste. |
 |
||||||||||||||||||||||||||||||||||||||||||||
| Une fois fini cliquer sur "Créer le groupe". Je vois mon nouveau groupe dans la liste. |  |
||||||||||||||||||||||||||||||||||||||||||||
| Je retourne dans le menu "Sécutiré" - "Accès à internet". Au choix, je clique sur le profil sur lequel je veux appliquer ma liste. Ici nous l'appliquerons au profil par défaut. Je clique donc sur la règle du profil par défaut. |
 |
||||||||||||||||||||||||||||||||||||||||||||
| Ici des blocages sont déjà actifs. Nous allons donc ajouter notre liste. Cliquer sur "Editer". |  |
||||||||||||||||||||||||||||||||||||||||||||
| Je clique sur ma liste (en haut, dans "Groupes de sites"). Je clique sur "Mettre à jour".
Et voilà ! |
 |
||||||||||||||||||||||||||||||||||||||||||||
| Voici quelques sites utilisés par les logiciels de messagerie instantanée. |
|
||||||||||||||||||||||||||||||||||||||||||||
