Sécurité : Armure, pour protéger soi-même Ws 2000

Palliant la négligence de Microsoft, le CISecurity, association américaine de promotion de la sécurité informatique, lance http://www.cisecurity.org/bench_win2000.html un ensemble recommandations/outil d'évaluation pour sécuriser soi-même Windows 2000. En fait, Armure - son nom de baptême - semble un bien grand mot, tout au plus devrait-on dire " procédure de test accompagnée de recommandations pratiques " s'appliquant à la consolidation du noyau de Windows 2000.

L'outil d'évaluation (scoring tool) analyse les machines à tester, donne à son administrateur une note générale qualifiant le niveau de perméabilité du système et indique les principales procédures à suivre pour consolider les points faibles : services pack à appliquer, correctifs de sécurité particuliers etc. S'ajoute à cette revue de détail un additif à la console d'administration (MMC) de Ws 2000, un automate de configuration verrouillant - ou conseillant de verrouiller -, un certain nombre de points importants. Cela va des mots de passe à durée limitée au paramétrage des profils de groupe, en passant par le nettoyage des clefs situées dans la base de registre ou l'épuration des services inutiles.

Pas de recette miracle donc, mais une méthode rigoureuse, sorte d'autobilan pour contrôleur de domaine. L'outil pèse près de 3 Mo sous forme d'un fichier MSI à installer, sans oublier les quelques centaines de mégaoctets complémentaires constitués des " fixes " et " services pack " devant impérativement accompagner le programme de diagnostic.

Une précédente version de ce test avait déjà été diffusée gratuitement à l'attention des usagers des noyaux Solaris, et l'on attend, dans les mois qui suivent, des éditions AIX, HP-UX et surtout Linux.

Seuls regrets : mais pourquoi diable un tel programme n'est-il pas directement offert par Microsoft ? Pourquoi si tard ? Et combien de temps devra-t-on encore attendre avant que de voir sortir la version " .Net " de la chose ?

(*) Groupement de professionnels " concernés " par la sécurité dont font partie pêle-mêle le DoJ (ministère américain de la Justice), Visa, PricewaterhouseCoopers, Intel, Chevron, le DoD (ministère américain de la Défense)... pour ne citer que les plus connus.