Concepts et planification
Utilisateurs
et groupes
d'utilisateurs
Planification
d'un déploiement
La gestion de la sécurité
Windows 2000: Système d'exploitation sécurisé.
Fonction de base du système d'exploitation: Contrôle discrétionnaire des activités des utilisateurs.
Action ou ressource refusée ou accordée en fonction de l'utilisateur.
Possibilités multiples de sécurisation:
autorisation d'utilisation d'une machine (obtention obligatoire d'un compte d'utilisateur de la part d'un utilisateur ayant le droit d'en fournir),
interdiction d'utiliser d'autres applications que celles dûment autorisées,
interdiction d'installer des applications,
interdiction de modifier l'environnement de travail,
restrictions d'accès aux ressources (fichiers, imprimantes,…),
audit des actions réalisées par les utilisateurs (ouvertures de sessions d'utilisateur, accès à des ressources,...),
…
Droit ou privilège: Autorisation d'exécuter une action système.
Exemples: Créer des comptes, installer un pilote d'imprimante, partager un répertoire, arrêter le système,...
Permission: Autorisation d'accès à une ressource.
Exemples: Imprimer sur une imprimante partagée, lire un fichier,...
Tous les objets du système sont soumis à permissions via des ACL.
Exemples: Les fichiers, les répertoires, les imprimantes, les clefs du registre,...
Un utilisateur possède tous les droits : l'"Administrateur".
Il est nommé "root" sous UNIX.
NOS (Network Operating System): Système d'exploitation utilisable pour la connexion d'ordinateurs en réseau.
-> connexion et communication facile entre ces machines.
Nombre important de normes de câblage connectées aux machines via des cartes d'interface réseau (NIC, Network Interface Card):
- Ethernet épais, fin et double paires torsadées,
- Phonenet,
- Fibre optique,
- Infrarouge,
- Bluetooth,
- Wifi,
- Modem,
- ...
Nombre important de protocoles réseau reconnus (Pilotes conçus par Microsoft ou par des éditeurs tiers):
Nombre important de services réseau tant du point de vue serveur que du point de vue client:
-> grande interopérabilité dans le cadre de réseaux hétérogènes à tout niveau.
Protocole natif de Windows NT: NetBEUI.
Protocole natif de Windows 2000: TCP/IP.
NetBEUI |
|
Avantages |
Inconvénients |
Rapide Peu gourmand en ressource système |
Pas de routage Pas compatible avec Internet Protocole assez bavard |
TCP/IP |
|
Avantages |
Inconvénients |
Rapide Peu gourmand en ressource système Routage Compatible avec Internet |
Complexe à paramétrer Protocole des "pirates" |
Windows 2000 inclut une interface NetBios qui permet d'utiliser TCP/IP avec les conventions de nom de NetBEUI.
Depuis Windows 2000 Microsoft encourage l'utilisation de TCP/IP même si la base de Windows NT et 9x reste NetBEUI.
Sécurité gérée au niveau du réseau.
Utilisation d'une ressource partagée: Utilisation d'objets offerts par une machine distante.
Ressources partageables:
les répertoires,
les imprimantes,
dans une certaine mesure, les applications (Exécution d'une application sur une machine distante avec transmission du résultat d'exécution sur la machine locale) (possibilité d'utiliser le service Terminal Server pour configurer un serveur de terminaux Windows, équivalent fonctionnel à un serveur X).
Sécurité au niveau des ressources partagées.
Active Directory (AD) est un annuaire destiné à contenir des "objets": utilisateurs, ordinateurs, applications, données partagées, ... et à être interrogé par d'autres machines.
AD est basé sur un système de gestion de base de données hiérarchique dérivé d'ACCESS.
Dans le cadre d'une utilisation "système", AD possède l'avantage d'intégrer nativement des fonctionnalités de distribution et de réplication de ses informations sur plusieurs serveurs. Ainsi, il exonère le système d'intégrer ces caractéristiques essentielles à un fonctionnement pérenne.
Intérêt d'AD:
Windows 2000 avec AD supporte des domaines de plusieurs millions de comptes d'utilisateurs alors que, dans la pratique, Windows NT 4.0 était limité à quelques dizaines de milliers.
Windows 2000 avec AD supporte des domaines de plusieurs dizaines de milliers de machines alors que, dans la pratique, Windows NT était limité à quelques centaines.
Unité Organisationnelle
La caractéristique la plus fondamentale d'Active Directory (héritée de l'annuaire X.500) est l'Unité Organisationnelle (UO). L'UO est un objet conteneur de l'annuaire à même de contenir des feuilles ou d'autres objets conteneurs, créant ainsi une organisation arborescente.
L'extensibilité d'Active Directory
Un autre aspect d'AD est son extensibilité par la possibilité offerte de définir de nouveaux objets à partir d'un paradigme hiérarchique orienté objet qui permet la création de nouvelles classes d'objet par ajout d'attributs et héritage d'anciennes classes.
Kerberos V5.0 est le protocole d'authentification réseau de Windows 2000. Il succède à NT Lan Manager (NTLM). Associé à Active Directory, il rend Windows 2000 très différent de Windows NT 4.0 du point de vue de la gestion de la sécurité.
Deux points importants sont à signaler:
L'authentification mutuelle: Cette fonctionnalité permet aux clients et serveurs, lors d'une communication d'informations, de vérifier l'authenticité de leurs identités respectives pour éviter les usurpations d'identité.
L'approbation transitive: Si A fait confiance à B, et B fait confiance à C, alors A fait confiance à C.
-> En particulier, cette loi est vérifiée pour les approbations entre "Domaines Windows 2000".
La notion de domaine Windows 2000
Domaine: Unité d'administration sous Windows 2000.
Domaine: Groupe de machines gérées sous Windows 2000 et Active Directory, reliées en réseau et pouvant être administrées comme une machine unique du point de vue des comptes d'utilisateur et de la politique de sécurité associée.
Active Directory permet une organisation différente de la classique et très rigide organisation à base de domaines et d'approbation entre domaines de Windows NT 4.0.
Ce sont la souplesse de la gestion par base de données et les possibilités d'extension héritée de l'annuaire X.500 (à l'origine d'Active Directory) qui permettent ces nouvelles possibilités.
Les UO définies au sein des domaines permettent le contrôle de délégation sous Windows 2000 alors que sous NT, ce sont les domaines.
La notion de domaine au sens Windows NT 4.0 disparaît donc avec Windows 2000.
Contrôleur de domaine (DC, Domain Controller): Machine chargée de l'administration du domaine (obligatoirement une machine sous Windows 2000 Server).
La base de données des utilisateurs et des groupes d'utilisateurs (SAM, Security Account Manager, dans la terminologie NT 4.0) est stockée sur les DCs du domaine au sein d'Active Directory et est répliquée automatiquement entre eux.
Autre définition d'un domaine: Ensemble d'ordinateurs partageant la même base d'utilisateurs et de groupes d'utilisateurs.
Contrairement au modèle NT 4.0 où existe un et un seul contrôleur de
domaine "principal" auquel il peut être adjoint 0, 1 ou plusieurs contrôleurs
de domaine "secondaires", un domaine Windows 2000 contient 1 ou plusieurs
contrôleurs de domaine placés au même niveau hiérarchique.
Le problème de la "solution" NT 4.0 est que l'indisponibilité du contrôleur
primaire entraîne l'arrêt de toute possibilité d'administration du domaine: comptes
d'utilisateur et machines. Dans le modèle Windows 2000, ce n'est plus le cas car les
tâches d'administration peuvent être continuées.
Définition possible de plusieurs domaines sur le même réseau.
ATTENTION: Ne pas confondre les notions de domaine Windows 2000 et domaine TCP/IP. Même si les domaines 2000 porteront fréquemment des noms mappés sur leurs équivalents TCP/IP et permettront l'administration centralisée des machines d'un tel domaine, les domaines TCP/IP n'incluent absolument pas cette notion d'administration système centralisée.
Les étendues NIS ou NYS sont des équivalents UNIX des domaines Windows 2000.
Approbation
Il est possible d'établir des relations d'approbation entre domaines permettant aux utilisateurs d'un domaine d'utiliser les ressources disponibles au sein d'un autre domaine.
Elles pourront être créées:
implicitement (voir plus loin) auquel cas elles sont bidirectionnelles et créées automatiquement,
explicitement auquel cas elles sont unidirectionnelles et créées explicitement par l'administrateur.
Arborescence de domaines: Structure de domaines hiérarchisée sur le mode arborescent par des relations d'approbation implicites. La base est constituée du domaine racine, qui possède un ou plusieurs domaines enfants, qui peuvent eux-mêmes posséder des domaines enfants. Les noms de ces domaines respectent les mêmes conventions que les noms TCP/IP -> espace de noms contigu pour tous les domaines fils d'un domaine racine.
Forêt: Ensemble d'arborescences de domaines sans racine commune. La racine de la forêt est la première arborescence à avoir joint la forêt. Tous les domaines racines des arborescences de la forêt possèdent implicitement une relation d'approbation bidirectionnelle avec la racine de la forêt.
Eléments interconnectables au sein un domaine
(1) Avec ouverture de session de travail
Un ou plusieurs contrôleurs de domaine (sous Windows 2000 Server et Active Directory) sans hiérarchie particulière.
Des machines clientes simples sous Windows 2000 Server (mais sans Active Directory) ou Professionnal. Pour un poste Windows 2000 Server, on parle alors de "Serveur membre".
Des machines clientes simples sous Windows NT 4.0 ou 3.51, Server ou Workstation.
Toutes ces machines réfèrent à la même base de données des utilisateurs dupliquée au sein d'AD sur chacun des DC.
Les ouvertures de session sont authentifiées par le premier contrôleur disponible trouvé sur le réseau.
(2) Sans ouverture de session sur l'un des DCs
Etablissement possible de connexions simples avec d'autres machines sous Windows 2000, NT 4.0 ou 3.51, Windows 3.11, 95 et 98 ou tout autre système d'exploitation reconnaissant les protocoles installés sur la machine serveur et assurant les services de connexion des serveurs du domaine.
Fourniture d'un login et d'un mot de passe.
Accès limité aux ressources partagées accessibles à l'utilisateur authentifié.
Conventions UNC (Uniform Naming Convention) pour la désignation des utilisateurs et des ressources:
domaine\utilisateur pour un nom d'utilisateur,
\\serveur\ressource pour l'accès à une ressource partagée.
(3) Autres possibilités
Toute machine accédant à une machine Windows 2000 via un service sans authentification explicite (WWW, FTP anonymous, ...) ou gérant son propre système d'authentification (SQL Server, Oracle, ...).
Les contrôleurs de domaine
Gestion centralisée de la base de données des utilisateurs et des groupes d'utilisateurs ainsi que de la politique de sécurité associée.
Contrôle des ouvertures de session et des accès aux ressources partagées qu'ils proposent.
Administration des utilisateurs.
Redondance des bases de données d'utilisateurs et de groupes d'utilisateurs.
Les machines Windows 2000 Professionnal
Machines clientes simple du domaine.
Pas de stockage d'une copie de la base de données des utilisateurs.
Soumission des ouvertures de session à un DC.
Pas de rôle d'administration.
Les machines Windows 2000 Server en serveurs simples
Machines gérées comme des machines Windows 2000 Professionnal du point de vue de la base de données des utilisateurs mais possédant les capacités de Windows 2000 Server du point de vue des services réseau autres que ceux de gestion des domaines.
Exemples:
Partage de ressources sur une machine qu'on ne souhaite pas être contrôleur de domaine.
Fonctionnement d'un logiciel qui nécessite Windows 2000 Server sur une machine qu'on ne souhaite pas être contrôleur de domaine.
Les autres systèmes
Toute machine quel que soit son système d'exploitation.
Condition nécessaire pour l'établissement d'une connexion:
Reconnaître d'un des protocoles du serveur de domaine.
Être capable d'émettre un nom de login ainsi que le mot de passe associé (Protocole d'authentification du domaine).
Être capable de gérer la partie cliente d'un service.
-> Privilèges pour l'accès aux ressources partagées accordés au compte de connexion sans avoir pour autant ouvert de session.
Une implantation Windows 2000 nécessitera fréquemment le déploiement des services DDNS (Dynamic Domain Name Service), WINS (Windows Internet Name Service) et DHCP (Dynamic Host Configuration Protocol).
Actuellement seul DDNS est réellement nécessaire car les domaines
Windows 2000 l'utilisent obligatoirement.
L'implantation de DDNS permettra la constitution du serveur de nom du domaine Windows 2000
construit (généralement équivalent à un domaine TCP/IP). Par rapport à un serveur DNS
classique, DDNS autorise l'enregistrement automatique et dynamique des clients dans la
base de données au sein d'Active Directory.
L'utilisation de WINS n'est réellement nécessaire que lorsque plusieurs
sous-réseaux TCP/IP différents doivent communiquer entre eux pour constituer un seul et
même domaine. La connexion entre ces sous-réseau est généralement établie
physiquement et logiquement au moyen de routeurs dédiés au protocole TCP/IP.
Le problème se pose alors de la résolution de nom entre ces deux sous-réseau si le
protocole employé n'est pas uniquement TCP/IP. En effet, les machines du domaine vont
employer leurs protocoles natifs, et donc sa convention de nom, pour désigner les
machines. Mais, pour les communications entre sous-réseau, elles devront faire transiter
les informations au sein de "paquets" TCP/IP qui utiliseront une autre
convention de nom. WINS consiste à propose un service de nom permettant d'associer
bijectivement les noms TCP/IP et les nom NetBIEU (protocole natif de Windows NT dont la
convention de nom a été reprise sous Windows 2000). Les machines clientes seront
configurées pour interroger un serveur WINS si elles ont besoin d'une résolution de nom.
Au démarrage, tout client WINS s'enregistre automatiquement sur son serveur WINS de
manière à renseigner la base de données d'associations bijectives de celui-ci.
Il est possible de configurer un ensemble de serveurs WINS pour qu'ils échangent leurs
bases de données.
Sous Windows 2000, les bases de données WINS sont stockées au sein d'Active Directory.
L'utilisation de DHCP, même si elle n'est pas obligatoire, permet de centraliser la gestion des paramètres TCP/IP des machines d'un domaine.
Les utilisateurs et les groupes d'utilisateurs
Les utilisateurs
Obligation d'être référencé en tant qu’utilisateur autorisé pour pouvoir utiliser une machine Windows 2000 ou accéder à une ressource partagée par une machine Windows 2000.
Stockage dans la base de donnée des utilisateurs et des groupes d'utilisateurs d'un certain nombre d’informations concernant chaque utilisateur:
- nom d'utilisateur complet
- nom d'utilisateur principal (UPN, User Principal Name)
- nom d'utilisateur raccourci (équivalent NT 4.0, convention UNC)
- mot de passe
- les restrictions apportées aux actions qui lui sont autorisées.
…
Exemple de nom: John Smith comme nom complet, john.smith@w2k.univ-fcomte.fr comme nom principal (ATTENTION, le nom principal est formaté comme une adresse électronique) et w2k\smith comme nom équivalent NT en convention UNC.
Les groupes
Regroupement des utilisateurs en groupes d’utilisateurs possédant un même jeu de privilèges et de permissions.
Un utilisateur peut appartenir à plusieurs groupes.
-> Possibilité de gestion hiérarchisée des comptes des utilisateurs.
-> Facilité de gestion.
Deux types de groupe:
- Groupes de sécurité: Leurs membres sont susceptibles de se voir attribuer des permissions ou des droits via le groupe. Ils peuvent aussi servir de listes de distribution.
- Groupes de distribution: Ils peuvent servir de listes de distribution mais pas à l'attribution de permissions ou de droits.
Trois étendues de groupe sur une machine Windows 2000 Server contrôleur de domaine:
Groupe à étendue universelle: Ils peuvent avoir comme membres des groupes et des comptes de n'importe quel domaine Windows 2000 dans l'arborescence de domaine ou dans la forêt et peuvent recevoir des permissions dans n'importe quel domaine de l'arborescence de domaine ou de la forêt.
Groupe à étendue globale: Ils peuvent avoir comme membres des groupes et des comptes du domaine dans lequel le groupe est défini et peuvent recevoir des permissions dans n'importe quel domaine de la forêt.
Groupe à étendue de domaine local: Ils peuvent avoir comme membres des groupes et des comptes du domaine Windows 2000 et peuvent être utilisés pour octroyer des permissions à l'intérieur d'un domaine uniquement et seulement vers des machines Server contrôleur ou membre.
Sauf cas particulier, ces groupes sont déployés et accessibles sur toutes les machines du domaine de définition et des domaines approuvant le domaine de définition.
Un seul type de groupe peut être défini sur une machine Windows 2000 Professionnal:
les groupes locaux.
Réception des groupes globaux et universels d'un de ses contrôleurs de domaine.
Après l'installation initiale
Trois comptes d’utilisateur créés à l’installation d'un système:
le compte "administrateur" de l’administrateur du domaine
un compte "invité" (Attention!!! pas de mot de passe), actif sur Windows 2000 Professionnal, désactivé sous Windows 2000 Server.
un compte "administrateur" d'administration local sur les machines Windows 2000 Professionnal et les Windows 2000 Server membres simples.
Groupes intégrés créés au sein d'Active Directory à l’installation d'un Windows 2000 Server contrôleur de domaine:
- Administrateurs (domaine local)
- Invités (domaine local)
- Utilisateurs (domaine local)
- Opérateurs de compte (domaine local) (gestion des comptes et des groupes d'utilisateurs sauf pour ceux qui possèdent des privilèges d'administration)
- Opérateurs de serveur (domaine local) (gestion du bon fonctionnement des serveurs du réseau)
- Opérateurs d’impression (domaine local) (gestion du bon fonctionnement des activités liées aux imprimantes)
- Duplicateurs (domaine local) (gestion des activités de réplication de répertoires)
- Admins du domaine (global)
- Invités du domaine (global)
- Utilisa. du domaine (global)
- Ordinateurs du domaine (global)
- Contrôleurs du domaine (global)
- Éditeurs de certificats (global)
- Administrateurs de l'entreprise (universel ou global)
- Administrateurs de stratégie de groupe (universel ou global)
- Administrateurs du schéma (universel ou global)
Groupes spéciaux (ne possédant pas de membre) d'une machine Windows 2000 Server contrôleur de domaine:
- Créateur/propriétaire (propriétaires des objets système)
- Système (activités liées au système d'exploitation)
- Réseau (activités d'utilisateurs provenant du réseau)
- Anonymous logon (utilisateur non authentifié)
- Utilisateur authentifié (utilisateur authentifié)
- Batch (processus batch)
- Dialup (utilisateur via un accès dial-up)
- Tout le monde (tout utilisateur authentifié référant au domaine natif ou à un domaine approuvé)
- Interactif (utilisateur qui accède à une ressource en se connectant localement à l'ordinateur proposant cette ressource)
- Service (un service)
Groupes intégrés créés à l’installation d'une machine Windows 2000 Professionnal ou serveur simple:
- Administrateurs (local)
- Invités (local)
- Utilisateurs (local)
- Utilisateurs avec pouvoirs (local) (utilisateurs possédant certains privilèges d'administration)
- Opérateurs de sauvegarde
- Réplicateurs
Groupes issus le cas échéant du domaine:
- Admins du domaine (global)
- Invités du domaine (global)
- Utilisa. du domaine (global)
- ...
Groupes spéciaux:
- Créateur/propriétaire
- Système
- ...
Création des utilisateurs et de nouveaux groupes locaux, globaux ou universels par l’administrateur système ou toute personne possédant les privilèges administrateur, admins du domaine ou opérateur de comptes.
Contenu précis d’un compte d’utilisateur
- Nom d'utilisateur complet
- Nom d'utilisateur principal (UPN, User Principal Name)
- Nom d'utilisateur raccourci (équivalent NT 4.0, convention UNC)
- Mot de passe
- Adresse électronique
- Numéros de téléphone
- Horaires d’accès
- Stations de travail autorisées pour l'accès
- Adresse postale
- Date d’expiration (date au delà de laquelle le compte est désactivé, les fichiers personnels ne sont pas détruits)
- Répertoire de base (généralement, le répertoire personnel) (répertoire local ou réseau)
- Script d’ouverture de session (fichier de commandes lancé à l'ouverture de session, mais pas lors du simple accès à une ressource partagée)
- Profil (localisation des fichiers de configuration de l'utilisateur)
- Place de l'utilisateur dans son organisation
- Groupes auxquels appartient l'utilisateur
- Informations de configuration Remote Access Service
- Informations de configuration de l'utilisateur pour les services Terminal Server
SID (Security Identifier): Identificateur unique utilisé pour désigner un utilisateur ou un groupe d'utilisateurs au sein d'un domaine Windows 2000.
Exemple:
S-1-5-21-3292650235-2243138800-104724495-1005
Tout SID ayant été utilisé ne le sera jamais plus.
Via l'utilisation de stratégies de groupes (stratégies de sécurité), il est possible de gérer de manière centralisée un certain nombre de paramètres relatifs aux utilisateurs.
Les possibilités des stratégies de groupes sont très larges:
- gestion de l'interface graphique,
- gestion des applications utilisables,
- taille des profils,
- droits des utilisateurs,
- ...
Profil: Ensemble d'informations visibles ou masquées (exemple: clefs et valeurs du registre pour le paramètrage des applications) définissant l'environnement de travail d'un utilisateur.
Par exemple, pour chaque utilisateur:
- la configuration de sa barre des tâches, de son menu démarrer, de son bureau, ...
- ses variables d'environnement (path, set, ...),
- ses définitions de couleurs, de police de caractères,...
- les paramétrages de ses logiciels,
- ...
Stockage des profils dans des ensembles de fichiers et de répertoires.
Profil par défaut: Profil géré par le système et attribué par copie à chaque utilisateur (faute d'une configuration contraire) lors de sa première connexion sur une machine. Le profil par défaut doit être configuré sur chaque poste client.
Attribution possible d'un profil personnel à tout utilisateur modifiable uniquement par lui.
Dans le cadre d'un domaine, centralisation possible de la gestion des profils de manière à ce que tout utilisateur retrouve son profil quel que soit l'ordinateur sur lequel il se connecte.
-> Profils sauvegardés dans un répertoire partagé d'un serveur de fichiers du domaine (accessible à toutes les machines du domaine) ou de tout autre serveur du domaine.
Lors de la connexion, téléchargement du profil sur le poste client.
Utilisation du profil (avec ou sans modification) sur le poste client.
Lors de la déconnexion, déchargement du profil du poste client vers le serveur.
La sécurité: Les privilèges (droits)
Privilège (droit): Autorisation attribuée aux utilisateurs et aux groupes d’utilisateurs leur permettant d'exécuter une action système.
Privilège attribué à un groupe
-> automatiquement attribué à l’ensemble de ses membres.
A l'installation du système d'exploitation, attribution de privilèges par défaut aux groupes d'utilisateurs intégrés par le programme d'installation.
Via les stratégies de groupe, l'administrateur pourra changer les privilèges des groupes intégrés et attribuer des privilèges aux groupes qu'il crée.
Existence d'un "groupe par défaut" dans lequel tout utilisateur est automatiquement placé.
Permission: Autorisation d'accès à une ressource accordée par un administrateur à un utilisateur ou un groupe d'utilisateurs.
Accès sécurisé pour les fichiers et répertoires (créés dans une partition NTFS).
Accès sécurisé pour les imprimantes.
Accès sécurisé aux ressources réseau (fichiers, imprimantes, ...).
Propriétaire: Utilisateur qui a créé ou qui s'est approprié un fichier ou un répertoire (il possède généralement tous les droits sur cet objet).
Contrôle d'accès organisé par l'administrateur (effectué au niveau utilisateur ou plus globalement au niveau groupe d'utilisateurs).
Permissions pouvant être attribuées par l'administrateur:
Pour les répertoires (on fixe les permissions pour le répertoire lui-même et pour les fichiers qu'il contient ou qu'il contiendra lors de leur création):
- Aucun accès
- Lister
- Lire
- Ajouter
- Ajouter et lire
- Modifier
- Contrôle total
- Accès spécial à un répertoire…
- Accès spécial à un fichier…
Pour les fichiers
- Aucun accès
- Lire
- Modifier
- Contrôle total
- Accès spécial
Accès spéciaux:
- Lire
- Écrire
- Exécuter
- Effacer
- Changer les permissions
- Prendre possession
Contrôle total: toutes les permissions précédentes sont attribuées.
A l'installation du système, permissions par défaut attribuées aux fichiers et répertoires du système d'exploitation aux groupes et utilisateurs intégrés -> sécurité minimale.
Droit de l'administrateur: Prendre possession et changer les permissions de l'intégralité des objets.
Lors de la création d'un fichier ou d'un répertoire, attribution à cet objet des permissions du répertoire dans lequel il est placé (le créateur en est le propriétaire).
Lors du déplacement d'un fichier ou d'un répertoire, conservation des informations de sécurité.
Audit: Conservation d'une trace des opérations réalisées sur une machine.
-> occurrence d'événements.
A chaque événement, enregistrement d'une ligne de description dans l'un des journaux d'événements.
Evénements pouvant être audités:
Système (audit des activités du système d'exploitation)
Sécurité (audit de l'activité des utilisateurs et de l'utilisation des ressources)
Application (audit des applications et des services)
Active Directory (spécifique aux DC)
DNS (spécifique aux serveurs DNS)
Réplication de fichiers (spécifique aux machines réplicatrices)
-> autant de journaux différents.
Journaux Système et Application: Audit du fonctionnement de la machine pour détecter les dysfonctionnements éventuels soit hardware, soit software.
Journal sécurité: Audit des activités des utilisateurs.
Événements pouvant être audités dans le journal sécurité:
- Les ouvertures et fermeture de session
- Les accès aux fichiers et objets
- L'utilisation de ses droits par un utilisateur
- La gestion des utilisateurs et des groupes
- Les modifications de la stratégie de sécurité
- Les démarrages et arrêt du système
- Le suivi de processus
Par défaut, audit activé seulement pour les événements liés aux journaux Système, Application, Active Directory, DNS et Réplication de fichiers.
La gestion des partitions et des systèmes de fichiers
Introduction du système de fichiers NTFS avec Windows NT 4.0.
Nécessaire à la gestion de la sécurité d'accès aux fichiers et à l'implantation de la compression à la volée.
Nouvelle évolution avec Windows 2000 vers NTFS 5 qui permet de rendre les disques "dynamiques" et apporte les fonctionnalités de gestion logicielle des disques en RAID (agrégats par bandes, disques en miroir, agrégats par bandes avec parité -> disques RAID).
Gestion du système de fichiers FAT32 (Windows 98).
Gestion du système de fichiers FAT16.
Gestion des noms longs.