Exporter (0) Imprimer
Développer tout

Planifier le renforcement de la sécurité pour SharePoint 2013

 

S’applique à : SharePoint Server 2013, SharePoint Foundation 2013

Dernière rubrique modifiée : 2013-12-18

Résumé : découvrez comment renforcer la sécurité des rôles serveur web, serveur d’applications et serveur de base de données SharePoint. Découvrez également quelles sont les exigences spécifiques au renforcement des ports, des protocoles et des services.

Contenu de cet article :

Dans un environnement de batterie de serveurs, les serveurs jouent des rôles spécifiques. Les recommandations en matière de renforcement de la sécurité pour ces serveurs dépendent du rôle joué par chacun d’eux. Cet article contient des captures instantanées sécurisées pour deux catégories de rôles serveur :

Les captures instantanées sont divisées en catégories de configuration courantes. Les caractéristiques définies pour chaque catégorie représentent l’état renforcé optimal pour SharePoint 2013. Cet article ne fournit aucun conseil de renforcement de la sécurité pour d’autres logiciels dans l’environnement.

Outre le renforcement des serveurs pour des rôles spécifiques, il est important de protéger la batterie de serveurs SharePoint en plaçant un pare-feu entre les serveurs de la batterie et les requêtes externes. L’aide fournie dans cet article peut être utilisée pour configurer un pare-feu.

Cette section identifie les caractéristiques de renforcement de la sécurité pour les serveurs Web et les serveurs d’applications. Certains des conseils s’appliquent à des applications de service spécifiques ; dans ces cas-là, les caractéristiques correspondantes doivent être appliquées uniquement sur les serveurs qui exécutent les services associés aux applications de service spécifiées.

 

Catégorie Caractéristique

Services répertoriés dans le composant logiciel enfichable MMC Services

Activez les services suivants :

  • Service d’état ASP.NET (si vous utilisez InfoPath Forms Services ou Project Server 2013)

  • Service d’état d’affichage (si vous utilisez InfoPath Forms Services)

  • Service de publication World Wide Web

Assurez-vous que les services suivants ne sont pas désactivés :

  • Service de mise en cache AppFabric

  • Revendications du service d’émissions de jeton Windows

  • Administration SharePoint

  • Service du minuteur SharePoint

  • Service de suivi SharePoint

  • Enregistreur VSS SharePoint

Assurez-vous que les services suivants ne sont pas désactivés sur les serveurs qui hébergent les rôles correspondants :

  • Hôte de code utilisateur SharePoint

  • Contrôleur d’hôte de la recherche SharePoint

  • SharePoint Server Search 15

  • Les services suivants sont requis par l’application de service Profil utilisateur sur le serveur qui importe des profils à partir du magasin d’annuaires :

    • Service Forefront Identity Manager

    • Service de synchronisation Forefront Identity Manager

Ports et protocoles

  • TCP 80, TCP 443 (SSL)

  • Ports personnalisés pour l’analyse de recherche, si elle est configurée (par exemple pour l’analyse d’un partage de fichiers ou d’un site web sur un port non défini par défaut)

  • Ports utilisés par le composant d’index de recherche - TCP 16500-16519 (dans la batterie de serveurs uniquement)

  • Ports nécessaires au service de mise en cache AppFabric - TCP 22233-22236

  • Ports nécessaires aux communications WCF (Windows Communication Foundation) - TCP 808

  • Ports requis pour la communication entre les serveurs Web et les applications de service (la valeur par défaut est HTTP) :

    • Liaison HTTP : TCP 32843

    • Liaison HTTPS : TCP 32844

    • Liaison net.tcp : TCP 32845 (uniquement si une tierce partie a implémenté cette option pour une application de service)

  • Ports requis pour la synchronisation des profils entre SharePoint 2013 et les services de domaine Active Directory (AD DS) sur le serveur qui exécute l’agent Forefront Identity Management :

    • TCP 5725

    • TCP et UDP 389 (service LDAP)

    • TCP et UDP 88 (Kerberos)

    • TCP et UDP 53 (DNS)

    • UDP 464 (Modifier le mot de passe Kerberos)

    Pour savoir comment synchroniser des profils avec d’autres magasins d’annuaires, voir Exigences relatives au renforcement de la sécurité du service Profil utilisateur plus loin dans cet article.

  • Ports par défaut pour les communications SQL Server - TCP 1433, UDP 1434. Si ces ports sont bloqués sur l’ordinateur SQL Server (recommandé) et si des bases de données sont installées sur une instance nommée, configurez un alias client SQL Server pour la connexion à l’instance nommée.

  • Service de code utilisateur Microsoft SharePoint Foundation (pour les solutions en mode bac à sable) - TCP 32846. Ce port doit être ouvert pour les connexions sortantes sur tous les serveurs web. Ce port doit être ouvert pour les connexions entrantes sur les serveurs web ou les serveurs d’applications sur lesquels ce service est activé.

  • Assurez-vous que les ports restent ouverts pour les applications Web qui sont accessibles aux utilisateurs.

  • Bloquez l’accès externe au port utilisé pour le site de l’Administration centrale.

  • SMTP pour l’intégration de la messagerie - TCP 25

Registre

Aucun conseil supplémentaire

Audit et journalisation

Si vous déplacez les fichiers journaux, mettez à jour les emplacements des fichiers journaux de manière appropriée. Mettez également à jour les listes de contrôle d’accès de l’annuaire.

Web.config

Appliquez les recommandations suivantes pour chaque fichier Web.config créé après l’exécution du programme d’installation :

  • N’autorisez pas la compilation ou les scripts de pages de bases de données via les éléments PageParserPaths.

  • Assurez-vous que <SafeMode> CallStack="false" et que AllowPageLevelTrace="false".

  • Assurez-vous que l’attribut MaxZoneParts de la valeur WebPartLimits est défini sur une valeur faible.

  • Assurez-vous que la liste SafeControls est définie sur l’ensemble minimal de contrôles nécessaires pour vos sites.

  • Assurez-vous que votre liste Workflow SafeTypes est définie sur le niveau minimal de SafeTypes nécessaires.

  • Assurez-vous que customErrors est activé (<customErrors mode="On"/>).

  • Prenez en compte vos paramètres de proxy Web selon vos besoins (<system.net>/<defaultProxy>).

  • Définissez la limite de Upload.aspx à la taille que vous jugez la plus élevée possible pour les transferts effectués par les utilisateurs (la valeur maximale est 2 Go). Les performances peuvent être affectées par des téléchargements supérieurs à 100 Mo.

La principale recommandation pour SharePoint 2013 consiste à sécuriser la communication entre les batteries en bloquant les ports par défaut utilisés pour la communication SQL Server et en établissant à la place des ports personnalisés pour cette communication. Pour savoir comment configurer des ports pour la communication SQL Server, voir Blocage des ports SQL Server standard plus loin dans cet article.

 

Catégorie Caractéristique

Ports

  • Bloquez le port UDP 1434.

  • Envisagez le blocage du port TCP 1433.

Cet article ne décrit pas comment sécuriser SQL Server. Pour plus d’informations sur la façon de sécuriser SQL Server, voir Sécurisation de SQL Server (http://go.microsoft.com/fwlink/p/?LinkId=186828).

Le reste de cet article décrit plus en détail les exigences spécifiques au renforcement de la sécurité pour SharePoint 2013.

Dans cette section :

Le fait que les bases de données soient installées sur une instance par défaut de SQL Server ou sur une instance nommée de SQL Server a une incidence sur les ports spécifiques utilisés pour se connecter à SQL Server. L’instance par défaut de SQL Server écoute les requêtes des clients sur le port TCP 1433, tandis qu’une instance nommée de SQL Server écoute sur un numéro de port affecté de manière aléatoire. En outre, le numéro de port d’une instance nommée peut être réaffecté si l’instance est redémarrée (à condition que le numéro de port déjà affecté soit toujours disponible).

Par défaut, les ordinateurs clients qui se connectent à SQL Server se connectent d’abord par l’intermédiaire du port TCP 1433. Si cette communication échoue, ils interrogent le service de résolution SQL Server qui écoute sur le port UDP 1434 afin de déterminer le port sur lequel l’instance de base de données est à l’écoute.

Le comportement par défaut de SQL Server, qui consiste à communiquer par le biais des ports, présente plusieurs problèmes qui affectent le renforcement de la sécurité des serveurs. Tout d’abord, les ports utilisés par SQL Server sont des ports largement ouverts au public et le service de résolution SQL Server a déjà été la cible d’attaques par dépassement de mémoire tampon et d’attaques par déni de service, y compris du ver informatique « Slammer ». Même si SQL Server est mis à jour pour atténuer les problèmes de sécurité dans le service de résolution SQL Server, les ports largement ouverts au public demeurent une cible. Ensuite, si les bases de données sont installées sur une instance nommée de SQL Server, le port de communication correspondant est affecté de manière aléatoire et peut changer. Ce comportement risque d’empêcher la communication de serveur à serveur dans un environnement renforcé. La possibilité de contrôler l’ouverture et le blocage des ports TCP est essentielle pour sécuriser votre environnement.

Ainsi, la recommandation pour une batterie de serveurs consiste à affecter des numéros de port statiques à des instances nommées de SQL Server et à bloquer le port UDP 1434 pour empêcher d’éventuels pirates d’accéder au service de résolution SQL Server. En outre, songez à réaffecter le port utilisé par l’instance par défaut et à bloquer également le port TCP 1433.

Il existe plusieurs manières de bloquer les ports. Vous pouvez le faire à l’aide d’un pare-feu. Toutefois, à moins d’être certain qu’il n’existe aucun autre itinéraire dans le segment réseau et qu’aucun utilisateur malveillant n’a accès au segment réseau, la recommandation consiste à bloquer ces ports directement sur le serveur qui héberge SQL Server. Pour ce faire, vous pouvez utiliser le Pare-feu Windows dans le Panneau de configuration.

SQL Server permet de réassigner les ports utilisés par l’instance par défaut et toute instance nommée. Dans SQL Server, vous réassignez les ports à l’aide du Gestionnaire de configuration SQL Server.

Dans une batterie de serveurs, tous les serveurs web frontaux et les serveurs d’applications sont des ordinateurs clients SQL Server. Si vous bloquez le port UDP 1434 sur l’ordinateur SQL Server ou si vous modifiez le port par défaut de l’instance par défaut, vous devez configurer un alias client SQL Server sur tous les serveurs qui se connectent à l’ordinateur SQL Server. Dans ce scénario, l’alias client SQL Server spécifie le port TCP sur lequel l’instance nommée est à l’écoute.

Pour vous connecter à une instance de SQL Server, installez les composants clients SQL Server sur l’ordinateur client, puis configurez l’alias client SQL Server à l’aide du Gestionnaire de configuration SQL Server. Pour installer les composants clients SQL Server, exécutez le programme d’installation et sélectionnez uniquement les composants clients suivants à installer :

  • Composants de connectivité

  • Outils de gestion (notamment le Gestionnaire de configuration SQL Server)

Pour connaître les étapes spécifiques de renforcement du blocage des ports SQL Server standard, voir Configurer la sécurité SQL Server pour les environnements SharePoint 2013.

Par défaut, la communication entre les serveurs web et les applications de service au sein d’une batterie de serveurs s’effectue à l’aide du protocole HTTP avec une liaison au port 32843. Quand vous publiez une application de service, vous pouvez sélectionner le protocole HTTP ou HTTPS avec les liaisons suivantes :

  • Liaison HTTP : TCP 32843

  • Liaison HTTPS : TCP 32844

De plus, les tierces parties qui développent des applications de service peuvent implémenter un troisième choix :

  • Liaison net.tcp : TCP 32845

Vous pouvez modifier le protocole et la liaison de port pour chaque application de service. Dans la page Applications de service de l’Administration centrale, sélectionnez l’application de service, puis cliquez sur Publier.

Les liaisons HTTP/HTTPS/net.tcp peuvent également être affichées et modifiées à l’aide des applets de commande PowerShell Get-SPServiceHostConfig et Set-SPServiceHostConfig.

La communication entre les applications de service et SQL Server s’effectue sur les ports SQL Server standard ou sur les ports que vous configurez pour la communication SQL Server.

L’application de service Profil utilisateur utilise l’agent Forefront Identity Management pour synchroniser les profils entre SharePoint 2013 et Active Directory ou un service d’annuaire LDAP (Lightweight Directory Access Protocol). L’agent Forefront Identity Management est installé sur tous les serveurs dans une batterie SharePoint, mais sa présence est obligatoire uniquement sur le serveur configuré pour la synchronisation avec le magasin d’annuaire.

L’agent Forefront Identity Management inclut les deux services suivants qui doivent demeurer activés sur le serveur configuré pour analyser Active Directory ou un autre magasin d’annuaire :

  • service Forefront Identity Manager ;

  • service de synchronisation Forefront Identity Manager.

En outre, le port TCP 5725 doit être ouvert sur le serveur qui exécute l’agent Forefront Identity Management et qui est configuré pour analyser un magasin d’annuaire.

Dans les environnements Active Directory, les ports suivants doivent demeurer ouverts pour la communication entre le serveur SharePoint 2013 qui se synchronise avec le magasin d’annuaire et le serveur qui exécute Active Directory :

  • TCP et UDP 389 (service LDAP)

  • TCP et UDP 88 (Kerberos)

  • TCP et UDP 53 (DNS)

  • UDP 464 (Modifier le mot de passe Kerberos)

Pour plus d’informations sur les conditions requises au renforcement de la sécurité pour l’agent Forefront Identity Management, y compris les ports requis pour d’autres types d’annuaires, voir les ports, droits et autorisations pour les communications de l’agent de gestion (http://go.microsoft.com/fwlink/p/?LinkId=186832).

Plusieurs fonctionnalités de SharePoint Server 2013 peuvent être configurées pour accéder aux données qui résident sur des serveurs en dehors de la batterie de serveurs. Si vous configurez l’accès à des données situées sur des serveurs externes, assurez-vous d’activer la communication entre les ordinateurs appropriés. Dans la plupart des cas, les ports, protocoles et services utilisés varient en fonction de la ressource externe. Par exemple :

  • Les connexions aux partages de fichiers utilisent le service Partage de fichiers et d’imprimantes.

  • Les connexions aux bases de données SQL Server externes utilisent les ports par défaut ou personnalisés pour la communicationSQL Server.

  • Les connexions aux bases de données Oracle utilisent généralement OLE DB.

  • Les connexions aux services Web utilisent à la fois HTTP et HTTPS.

Le tableau suivant répertorie les fonctionnalités qui peuvent être configurées pour accéder aux données qui résident sur des serveurs externes à la batterie de serveurs.

 

Composant fonctionnel Description

Analyse de contenu

Vous pouvez configurer des règles d’analyse pour analyser les données qui résident sur des ressources externes, notamment des sites web, partages de fichiers, dossiers publics Exchange et applications de données métiers. Lors de l’analyse de sources de données externes, le rôle d’analyse communique directement avec ces ressources externes.

Pour plus d’informations, voir Gérer l’analyse dans SharePoint 2013.

Connexions Business Data Connectivity

Les serveurs Web et les serveurs d’applications communiquent directement avec les ordinateurs configurés pour les connexions Business Data Connectivity.

Pour plus d’informations, voir Planifier Business Connectivity Services dans SharePoint 2013.

Réception de classeurs Microsoft Office Excel

Si des classeurs ouverts dans une application Excel Services se connectent à des sources de données externes (par exemple Analysis Services et SQL Server), les ports TCP/IP appropriés doivent être ouverts pour la connexion à ces sources de données externes. Pour plus d’informations, voir Vue d’ensemble d’Excel Services dans SharePoint Server 2013.

Si des chemins UNC (Universal Naming Convention) sont configurés en tant qu’emplacements approuvés dans une application Excel Services, le rôle d’application Services de calcul Excel utilise les protocoles et les ports utilisés par le service Partage de fichiers et d’imprimantes pour recevoir des classeurs Office Excel par le biais d’un chemin UNC.

Les classeurs stockés dans des bases de données de contenu ou chargés à partir de sites par des utilisateurs ne sont pas affectés par cette communication.

L’intégration de messagerie nécessite l’utilisation de deux services :

L’intégration de la messagerie nécessite l’utilisation du service SMTP (Simple Mail Transfer Protocol) sur au moins l’un des serveurs Web frontaux de la batterie de serveurs. Le service SMTP est requis pour le courrier électronique entrant. Pour le courrier électronique sortant, vous pouvez utiliser le service SMTP ou router le courrier électronique sortant par l’intermédiaire d’un serveur de messagerie dédié dans votre organisation, tel qu’un ordinateur Microsoft Exchange Server.

SharePoint 2013 inclut un service interne, le service de gestion d’annuaire Microsoft SharePoint, pour la création de groupes de distribution de messagerie. Quand vous configurez l’intégration de messagerie, vous pouvez activer la fonctionnalité Service de gestion d’annuaire, qui permet aux utilisateurs de créer des listes de distribution. Quand les utilisateurs créent un groupe SharePoint et sélectionnent l’option permettant de créer une liste de distribution, le service de gestion d’annuaire Microsoft SharePoint crée la liste de distribution Active Directory correspondante dans l’environnement Active Directory.

Dans les environnements à sécurité renforcée, il est recommandé de restreindre l’accès au service de gestion d’annuaire Microsoft SharePoint en sécurisant le fichier associé à ce service, qui est SharePointEmailws.asmx. Par exemple, vous pourriez autoriser l’accès à ce fichier uniquement par le compte de batterie de serveurs.

En outre, ce service nécessite des autorisations dans l’environnement Active Directory pour créer des objets de liste de distribution Active Directory. La recommandation consiste à configurer une unité d’organisation séparée dans Active Directory pour les objets de SharePoint 2013. Seule cette unité d’organisation doit autoriser l’accès en écriture au compte utilisé par le service de gestion d’annuaire Microsoft SharePoint.

Project Server 2013 et InfoPath Forms Services conservent tous deux l’état de session. Si vous déployez ces fonctionnalités ou produits dans votre batterie de serveurs, ne désactivez pas le service État ASP.NET. En outre, si vous déployez InfoPath Forms Services, ne désactivez pas le service État d’affichage.

Ne désactivez pas les services installés par les SharePoint 2013 (répertoriés dans la capture instantanée plus haut dans cet article).

Si votre environnement n’autorise pas les services qui s’exécutent en tant que système local, vous pouvez désactiver le service Administration SharePoint uniquement si vous en connaissez les conséquences et êtes en mesure de les contourner. Ce service est un service Win32 qui s’exécute en tant que système local.

Ce service est utilisé par le service du minuteur SharePoint pour effectuer des actions qui nécessitent des autorisations administratives sur le serveur, telles que la création de sites web IIS (Internet Information Services), le déploiement de code, et l’arrêt et le redémarrage de services. Si vous désactivez ce service, vous ne pourrez pas effectuer les tâches liées au déploiement à partir du site Administration centrale. Vous devez utiliser Windows PowerShell afin d’exécuter l’applet de commande Start-SPAdminJob (ou utiliser l’outil en ligne de commande Stsadm.exe pour exécuter l’opération execadmsvcjobs) pour effectuer des déploiements sur plusieurs serveurs pour les SharePoint 2013 et pour effectuer d’autres tâches liées au déploiement.

Le .NET Framework, et ASP.NET en particulier, utilise des fichiers de configuration au format XML pour configurer les applications. Le .NET Framework repose sur les fichiers de configuration pour définir les options de configuration. Les fichiers de configuration sont des fichiers texte XML. En règle générale, plusieurs fichiers de configuration existent sur un seul système.

Les paramètres de configuration à l’échelle du système pour le .NET Framework sont définis dans le fichier Machine.config. Le fichier Machine.config se trouve dans le dossier %SystemRoot%\Microsoft.NET\Framework\%NuméroVersion%\CONFIG\. Les paramètres par défaut contenus dans le fichier Machine.config peuvent être modifiés de manière à affecter le comportement des applications qui utilisent le .NET Framework sur l’ensemble du système.

Vous pouvez modifier les paramètres de configuration ASP.NET pour une application si vous créez un fichier web.config dans le dossier racine de l’application. Lorsque vous procédez ainsi, les paramètres du fichier web.config remplacent les paramètres du fichier Machine.config.

Quand vous étendez une application web à l’aide de l’Administration centrale, SharePoint 2013 crée automatiquement un fichier Web.config pour l’application web.

La capture instantanée de serveur web et de serveur d’application présentée plus haut répertorie les recommandations pour la configuration des fichiers Web.config. Ces recommandations sont destinées à être appliquées à chaque fichier Web.config créé, y compris le fichier Web.config du site Administration centrale.

Pour plus d’informations sur les fichiers de configuration ASP.NET et sur la modification d’un fichier Web.config, voir Configuration ASP.NET (http://go.microsoft.com/fwlink/p/?LinkID=73257).

Cela vous a-t-il été utile ?
(1500 caractères restants)
Merci pour vos suggestions.
Afficher:
© 2014 Microsoft