Planifier le renforcement de la sécurité (SharePoint Foundation 2010)
S’applique à : SharePoint Foundation 2010
Dernière rubrique modifiée : 2016-11-30
Cet article décrit le renforcement de la sécurité pour les rôles de serveur de bases de données, de serveur d’applications et de serveur Web Microsoft SharePoint Foundation 2010, et fournit des indications détaillées sur la configuration requise pour sécuriser spécifiquement des ports, des protocoles et des services dans les Produits Microsoft SharePoint 2010.
Dans cet article :
Instantanés de serveur sécurisé
Dans un environnement de batterie de serveurs, les différents serveurs jouent des rôles spécifiques. Les recommandations pour renforcer la sécurité de ces serveurs dépendent du rôle joué par chacun d’eux. Cet article contient des instantanés sécurisés pour deux catégories de rôles de serveur :
Les instantanés sont divisés en catégories de configuration commune. Les caractéristiques établies pour chaque catégorie représentent l’état de sécurisation optimale pour les Produits Microsoft SharePoint 2010. Cet article ne donne pas d’instructions pour la sécurisation des autres logiciels de l’environnement.
Rôles de serveur Web et de serveur d’applications
Cette section identifie les caractéristiques de renforcement pour les serveurs Web et les serveurs d’applications. Certains conseils s’appliquent à des applications de service spécifiques ; dans ces cas, les caractéristiques correspondantes ne doivent être appliquées qu’aux serveurs qui exécutent les services associés aux applications de service spécifiées.
Catégorie |
Caractéristique |
Services répertoriés dans le composant logiciel enfichable MMC Services |
Activez les services suivants :
Assurez-vous que ces services ne sont pas désactivés :
Assurez-vous que ces services ne sont pas désactivés sur les serveurs qui hébergent les rôles correspondants :
|
Ports et protocoles |
|
Registre |
Aucune instruction supplémentaire |
Audit et journalisation |
Si les fichiers journaux sont déplacés, assurez-vous que leurs emplacements sont mis à jour pour correspondre. Mettez à jour également les listes de contrôle d’accès aux répertoires (ACL). |
Sécurité d'accès au code |
Assurez-vous de disposer d’un ensemble minimal d’autorisations de sécurité d’accès au code activées pour votre application Web. L’élément <trust> dans le fichier Web.config pour chaque application Web doit être défini comme WSS_Minimal (où WSS_Minimal possède ses valeurs par défaut faibles telles qu’elles sont définies dans 14\config\wss_minimaltrust.config ou dans votre propre fichier de stratégie personnalisée, qui est défini de façon minimale). |
Web.config |
Suivez ces recommandations pour chaque fichier Web.config qui est créé après avoir exécuté le programme d’installation :
|
Rôle de serveur de bases de données
La principale recommandation pour les Produits SharePoint 2010 est de sécuriser la communication entre batteries en bloquant les ports par défaut utilisés pour la communication Microsoft SQL Server et en établissant à la place des ports personnalisés pour cette communication. Pour plus d’informations sur la configuration de ports pour la communication SQL Server, voir Blocking the standard SQL Server ports, plus loin dans cet article.
Catégorie |
Caractéristique |
Ports |
|
Cet article ne décrit pas comment sécuriser SQL Server. Pour savoir comment sécuriser SQL Server, voir Sécurisation de SQL Server (https://go.microsoft.com/fwlink/?linkid=186828&clcid=0x40C).
Instructions spécifiques à propos des ports, des protocoles et des services
Le reste de cet article décrit de manière détaillée les exigences spécifiques pour renforcer la sécurité des Produits SharePoint 2010.
Dans cette section :
Blocage des ports SQL Server standard
Les ports spécifiques utilisés pour se connecter à SQL Server sont affectés par le fait que les bases de données sont installées soit sur une instance par défaut de SQL Server, soit sur une instance nommé de SQL Server. L’instance par défaut de SQL Server écoute les demandes des clients sur le port TCP 1433, tandis qu’une instance nommée de SQL Server écoute sur un numéro de port affecté de manière aléatoire. En outre, le numéro de port d’une instance nommée peut être réaffecté si l’instance est redémarrée (selon que le numéro de port précédemment affecté est toujours disponible ou non).
Par défaut, les ordinateurs clients qui se connectent à SQL Server se connectent d’abord par l’intermédiaire du port TCP 1433. Si cette communication échoue, ils interrogent le service de résolution SQL Server à l’écoute sur le port UDP 1434 pour déterminer le port sur lequel l’instance de base de données est à l’écoute.
Le comportement par défaut de SQL Server en matière de communication présente plusieurs problèmes qui affectent le renforcement de la protection des serveurs. Tout d’abord, les ports utilisés par SQL Server sont des ports largement ouverts au public et le service de résolution SQL Server a déjà été la cible d’attaques par dépassement de la mémoire tampon et d’attaques par déni de service, y compris du ver informatique « Slammer ». Même si SQL Server a été corrigé pour atténuer les problèmes de sécurité dans le service de résolution SQL Server, les ports largement ouverts au public demeurent une cible. Ensuite, si les bases de données sont installées sur une instance nommée de SQL Server, le port de communication correspondant est affecté de manière aléatoire et peut changer. Ce comportement risque d’empêcher la communication de serveur à serveur dans un environnement où la sécurité est renforcée. La possibilité de contrôler l’ouverture et le blocage des ports TCP est essentielle pour sécuriser votre environnement.
Par conséquent, il est recommandé pour une batterie de serveurs d’affecter des numéros de port statiques aux instances nommées de SQL Server et de bloquer le port UDP 1434 pour empêcher les éventuels pirates d’accéder au service de résolution SQL Server. En outre, songez à réaffecter le port utilisé par l’instance par défaut et à bloquer le port TCP 1433.
Il existe plusieurs méthodes pour bloquer les ports. Vous pouvez le faire à l’aide d’un pare-feu. Toutefois, à moins d’être certain qu’il n’existe aucun autre itinéraire vers le segment réseau et qu’aucun utilisateur malveillant n’a accès au segment réseau, il est recommandé de bloquer ces ports directement sur le serveur qui héberge SQL Server. Pour ce faire, vous pouvez utiliser le Pare-feu Windows dans le Panneau de configuration.
Configuration des instances de base de données SQL Server pour écouter sur un port non standard
SQL Server offre la possibilité de réassigner les ports utilisés par l’instance par défaut et les instances nommées. Dans SQL Server 2005 et SQL Server 2008, vous réaffectez les ports à l’aide du Gestionnaire de configuration SQL Server.
Configuration des alias de clients SQL Server
Dans une batterie de serveurs, tous les serveurs Web frontaux et les serveurs d’applications sont des ordinateurs clients SQL Server. Si vous bloquez le port UDP 1434 sur l’ordinateur SQL Server ou si vous changez le port par défaut de l’instance par défaut, vous devez configurer un alias de client SQL Server sur tous les serveurs qui se connectent à l’ordinateur SQL Server.
Pour se connecter à une instance de SQL Server 2005 ou SQL Server 2008, installez les composants clients SQL Server sur l’ordinateur cible, puis configurez l’alias de client SQL Server à l’aide du Gestionnaire de configuration SQL Server. Pour installer les composants clients SQL Server, exécutez le programme d’installation et sélectionnez uniquement les composants clients suivants à installer :
Composants de connectivité
Outils de gestion (dont le Gestionnaire de configuration SQL Server)
Pour connaître les étapes de renforcement spécifiques pour le blocage des ports SQL standard, voir Sécuriser SQL Server pour les environnements SharePoint (SharePoint Foundation 2010).
Communication des applications de service
Par défaut, la communication entre les serveurs Web et les applications de service au sein d’une batterie de serveurs utilise HTTP avec une liaison au port 32843. Lorsque vous publiez une application de service, vous pouvez sélectionner HTTP ou bien HTTPS, avec les liaisons suivantes :
Liaison HTTP : port 32843
Liaison HTTPS : port 32844
En outre, les tiers qui développent des applications de service peuvent implémenter un troisième choix :
- Liaison NET.TCP : port 32845
Vous pouvez changer le protocole et la liaison de port pour chaque application de service. Dans la page Applications de service de l’Administration centrale, sélectionnez l’application de service, puis cliquez sur Publier.
La communication entre les applications de service et SQL Server s’effectue via les ports SQL Server standard ou les ports que vous configurez pour la communication SQL Server.
Conditions requises par le service de partage de fichiers et d'imprimantes
Plusieurs fonctionnalités de base dépendent du service Partage de fichiers et d'imprimantes et des protocoles et ports correspondants. La liste non exhaustive de ces fonctionnalités est la suivante :
Requêtes de recherche Toutes les requêtes de recherche nécessitent le service Partage de fichiers et d’imprimantes.
Analyse et indexation de contenu Pour analyser le contenu, les serveurs qui incluent des composants d’analyse envoient les requêtes via le serveur Web frontal. Ce dernier communique directement avec les bases de données de contenu et renvoie les résultats aux serveurs qui incluent les composants d’analyse. Cette communication nécessite le service Partage de fichiers et d’imprimantes.
Le service Partage de fichiers et d’imprimantes requiert l’utilisation de canaux nommés. Les canaux nommés peuvent communiquer en utilisant le protocole SMB hébergé directement ou le protocole NetBT. Pour un environnement sécurisé, le protocole SMB hébergé directement est recommandé plutôt que le protocole NetBT. Les recommandations de renforcement de la sécurité fournies dans cet article supposent l’utilisation du protocole SMB.
Le tableau suivant décrit les conditions requises par le renforcement de la sécurité qui sont générées par la dépendance au service Partage de fichiers et d'imprimantes.
Catégorie |
Configuration requise |
Remarques |
Services |
Partage de fichiers et d'imprimantes |
Requiert l'utilisation de canaux nommés. |
Protocoles |
Canaux nommés utilisant le protocole SMB à hébergement direct Désactiver NetBT |
Les canaux nommés peuvent utiliser le protocole NetBT au lieu du protocole SMB hébergé directement. Toutefois, le protocole NetBT n’est pas considéré comme autant sécurisé que le protocole SMB hébergé directement. |
Ports |
L’un des éléments suivants :
|
Désactiver NetBT (ports 137, 138 et 139) s’il n’est pas utilisé |
Pour plus d’informations sur la désactivation du protocole NetBT, voir l’article 204279 de la Base de connaissances Microsoft : Hébergement direct de SMB sur TCP/IP (https://go.microsoft.com/fwlink/?linkid=76143&clcid=0x40C).
Services requis pour l'intégration de messagerie
L'intégration de messagerie nécessite l'utilisation de deux services :
Service SMTP
L’intégration de la messagerie nécessite l’utilisation du service SMTP (Simple Mail Transfer Protocol) sur au moins l’un des serveurs Web frontaux de la batterie de serveurs. Le service SMTP est requis pour le courrier électronique entrant. Pour le courrier électronique sortant, vous pouvez soit utiliser le service SMTP soit acheminer le courrier via un serveur de messagerie dédié de votre organisation, tel qu’un ordinateur Microsoft Exchange Server.
Service de gestion d'annuaire Microsoft SharePoint
Produits SharePoint 2010 inclut un service interne, le service de gestion d’annuaire Microsoft SharePoint, pour la création des groupes de distribution de courrier. Lorsque vous configurez l’intégration de messagerie, vous avez la possibilité d’activer la fonctionnalité Service de gestion d’annuaire qui permet aux utilisateurs de créer des listes de distribution. Lorsque les utilisateurs créent un groupe SharePoint et sélectionnent l’option permettant de créer une liste de distribution, le service de gestion d’annuaire Microsoft SharePoint crée la liste de distribution Active Directory correspondante dans l’environnement Active Directory.
Dans les environnements où la sécurité est renforcée, il est recommandé de restreindre l’accès au service de gestion d’annuaire Microsoft SharePoint en sécurisant le fichier associé à ce service, SharePointEmailws.asmx. Par exemple, autorisez l’accès à ce fichier uniquement au compte de batterie de serveurs.
En outre, ce service nécessite des autorisations dans l’environnement Active Directory pour créer des objets liste de distribution Active Directory. Il est recommandé de configurer une unité d’organisation séparée dans Active Directory pour les objets des Produits SharePoint 2010. Seule cette unité d’organisation doit autoriser l’accès en écriture au compte utilisé par le service de gestion d’annuaire Microsoft SharePoint.
Services des produits SharePoint 2010
Ne désactivez pas les services qui sont installés par les Produits SharePoint 2010 (répertoriés dans l’instantané précédent).
Si votre environnement n’autorise pas les services qui s’exécutent en tant que système local, vous pouvez désactiver le service Administration de SharePoint 2010 uniquement si vous en connaissez les conséquences et êtes en mesure de les contourner. Il s’agit d’un service Win32 qui s’exécute en tant que système local.
Ce service est utilisé par le service du minuteur SharePoint 2010 pour effectuer des actions qui nécessitent des autorisations d’administration sur le serveur, telles que la création de sites Web IIS (Internet Information Services), le déploiement de code, et l’arrêt et le redémarrage de services. Si vous désactivez ce service, vous ne pourrez pas terminer les tâches liées au déploiement à partir du site Administration centrale. Vous devez utiliser Windows PowerShell pour exécuter l’applet de commande Start-SPAdminJob (ou utiliser l’outil en ligne de commande Stsadm.exe pour exécuter l’opération execadmsvcjobs) pour effectuer des déploiements sur plusieurs serveurs pour les Produits SharePoint 2010 et pour effectuer d’autres tâches liées au déploiement.
Fichier Web.config
.NET Framework, et ASP.NET en particulier, utilisent des fichiers de configuration au format XML pour configurer les applications. .NET Framework se base sur les fichiers de configuration pour définir les options de configuration. Ce sont des fichiers texte XML. En règle générale, plusieurs fichiers de configuration existent sur un seul système.
Les paramètres de configuration à l’échelle du système pour .NET Framework sont définis dans le fichier Machine.config. Ce fichier est situé dans le dossier %SystemRoot%\Microsoft.NET\Framework\%NuméroVersion%\CONFIG\. Les paramètres par défaut contenus dans le fichier Machine.config peuvent être modifiés pour affecter le comportement des applications qui utilisent .NET Framework sur l’ensemble du système.
Vous pouvez modifier les paramètres de configuration ASP.NET pour une application si vous créez un fichier web.config dans le dossier racine de l'application. Lorsque vous procédez ainsi, les paramètres du fichier web.config remplacent les paramètres du fichier Machine.config.
Lorsque vous étendez une application Web en utilisant l’Administration centrale, les Produits SharePoint 2010 créent automatiquement un fichier Web.config pour l’application Web.
L’instantané de serveur Web et de serveur d’applications présenté plus haut dans cet article répertorie les recommandations pour la configuration des fichiers Web.config. Ces recommandations sont destinées à être appliquées à chaque fichier Web.config créé, y compris le fichier Web.config du site Administration centrale.
Pour plus d'informations sur les fichiers de configuration ASP.NET et sur la modification d'un fichier Web.config, voir Configuration d'ASP.NET (https://go.microsoft.com/fwlink/?linkid=73257&clcid=0x40C).