Informació tècnica sobre les connexions sense agent per als sistemes Windows

Les connexions sense agent als sistemes Windows es basen en el protocol de connexió remota WinRM. Per tant, aquest protocol ha d’estar activat als actius que cal supervisar.

Per defecte, aquest protocol utilitza el port 5985 en mode WinRM HTTP i el 5986 en mode WinRM HTTPS.

El bon funcionament de les connexions sense agent a Windows pot requerir alguns passos de configuració, que es descriuen a continuació.

Requisits previs per utilitzar les connexions sense agent

El compte que utilitza Cyberwatch ha de ser membre del grup Administrators local dels actius, perquè els scripts d’anàlisi criden mètodes que requereixen privilegis:

• ús de DISM (Deployment Imaging and Servicing Management) - obtenció de les versions de les KB instal·lades -
• ús de l’API WUA (Windows Update Agent) - supressió / baixada / gestió del fitxer .cab, gestió dels serveis WUA, desplegament de les actualitzacions -
• accés als directoris que requereixen privilegis - %APPDATA% de tots els usuaris per obtenir les versions de les aplicacions instal·lades -
• privilegis que poden ser necessaris per executar els scripts d’anàlisi de conformitat

Utilitzar un compte de domini (recomanat)

Als actius units a un domini Active Directory, utilitzeu un compte de domini dedicat a Cyberwatch que sigui membre del grup Administrators local dels actius que cal supervisar. Aquesta pertinença es pot desplegar amb una GPO, amb els «Restricted Groups» o amb les preferències de directiva de grup «Local Users and Groups».

A la credencial desada WinRM amb HTTP Negotiate, introduïu el compte amb el format DOMINI\usuari. Aquest connector s’autentica amb NTLM. Si el domini restringeix NTLM, utilitzeu el connector WinRM amb Kerberos, descrit a la secció «Ús de WinRM-Kerberos» més avall.

Un compte de domini té dos avantatges respecte a un compte local:

• es pot continuar utilitzant als actius que rebutgen la connexió de xarxa dels comptes locals
• no requereix la clau de registre LocalAccountTokenFilterPolicy, perquè l’UAC no filtra el testimoni d’un compte de domini en una connexió remota

Utilitzar un compte local

Als actius fora de domini (grup de treball), creeu un usuari local Cyberwatch que sigui membre del grup Administrators local, per exemple amb l’ordre següent:

$UserPassword = Read-Host -AsSecureString       # Une fois la commande validée, saisir un mot de passe pour l'utilisateur Cyberwatch
New-LocalUser "Cyberwatch" -Password $UserPassword
Add-LocalGroupMember -Group 'Administrateurs' -Member Cyberwatch -Verbose

En un sistema en anglès, cal utilitzar Administrators.

A més, un compte local requereix la clau de registre LocalAccountTokenFilterPolicy, descrita a la secció Activació de WinRM.

Un actiu pot rebutjar qualsevol connexió de xarxa dels comptes locals amb el dret d’usuari «Deny access to this computer from the network» (SeDenyNetworkLogonRight) quan conté Local account o Local account and member of Administrators group. Aquest paràmetre l’exigeix la regla SBP-WIN-04-007 del marc de conformitat Security_Best_Practice_Windows, així com les línies de base de seguretat de Microsoft i del CIS. En aquests actius, una connexió sense agent amb un compte local falla: utilitzeu un compte de domini o l’agent de Cyberwatch.

Els usuaris membres dels grups Protected Users o gMSA no poden utilitzar el servei WinRM. Per tant, cal assegurar-se de no incloure el compte que utilitza Cyberwatch, de domini o local, en cap d’aquests grups.

Activació de WinRM

L’ordre de PowerShell següent activa el servei WinRM si està desactivat i configura el tallafoc de Windows en conseqüència:

Enable-PSRemoting -Force

Amb un compte local, no n’hi ha prou d’activar WinRM: cal autoritzar els comptes d’administrador locals a connectar-se mitjançant WinRM; si no, Cyberwatch mostrarà l’error WinRM::WinRMAuthorizationError en crear la connexió sense agent. Aquest pas no és necessari amb un compte de domini.

Per fer-ho, cal afegir la clau següent al registre del sistema:

New-ItemProperty -Name LocalAccountTokenFilterPolicy -path HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System -propertyType DWord -value 1

Aquesta clau desactiva el filtratge del testimoni per part de l’UAC en les connexions de xarxa dels comptes locals. Fa que falli la regla SBP-WIN-05-005 «Ensure UAC token filtering is not disabled for network logons» del marc de conformitat Security_Best_Practice_Windows. Amb un compte de domini, no cal aquest paràmetre.

Finalment, l’ordre següent permet verificar que el servei WinRM s’ha iniciat correctament i l’inicia si no s’ha fet correctament:

winrm quickconfig

Opcional - Desactivar manualment el tallafoc per a WinRM

De vegades pot caldre desactivar manualment el tallafoc de Windows malgrat les manipulacions anteriors, sobretot a les màquines AWS-EC2. En aquest cas, l’error que mostra Cyberwatch és Connection expired.

L’ordre de PowerShell següent permet autoritzar les sol·licituds TCP entrants al port 5985 al tallafoc de Windows:

netsh advfirewall firewall add rule name="WinRM-HTTP" dir=in localport=5985 protocol=TCP action=allow

Opcional - Ús de WinRM-Kerberos

El connector WinRM amb Kerberos requereix un compte de domini. Substitueix el connector WinRM amb HTTP Negotiate quan el domini restringeix l’autenticació NTLM.

Kerberos és un protocol d’autenticació basat en el principi d’un tercer de confiança. El seu funcionament es basa en un centre de distribució de claus (KDC), que emet tiquets que autoritzen l’usuari a accedir als recursos de la xarxa. El funcionament s’assembla al dels sistemes d’autenticació SSO.

El procés d’autenticació de Kerberos és el següent:

• El client inicia una sol·licitud d’autenticació al KDC
• Si el KDC valida la informació, emet un tiquet de concessió de tiquets (TGT)
• A continuació, el client presenta el TGT per sol·licitar l’autenticació en un servei
• El servei en qüestió envia el TGT al KDC perquè el validi
• Un cop validat, el KDC emet un tiquet final que permet l’autenticació del client al servei

Perquè es pugui utilitzar aquest protocol, cal indicar diversos elements:

• Domini: domini en què s’agrupen els recursos de Kerberos. En el cas d’una autenticació WinRM, correspon al domini del vostre Active Directory
• KDC: servidor de confiança que distribueix els tiquets. En un domini Active Directory, correspon al FQDN del controlador de domini
• Servidor d'administració: servidor de confiança que concedeix els tiquets de servei als clients. En un domini Active Directory, correspon al FQDN del controlador de domini

A continuació, cal proporcionar un parell usuari/contrasenya autoritzat a autenticar-se al domini Active Directory indicat.

Requisits previs per utilitzar WinRM-Kerberos

El servidor de Cyberwatch ha de poder resoldre els noms de domini:

• del KDC (Key Distribution Center)
• del servidor d’administració
• de cada actiu que cal supervisar