Sécurité on Admin Stuff

Fortigate - Comprendre et configurer les VDOM

Wed, 05 Aug 2026 00:00:00 +0000

A quoi servent les VDOM

Un VDOM (Virtual Domain) permet de partitionner un seul boîtier Fortigate en plusieurs firewalls logiques indépendants, chacun avec sa propre table de routage, ses propres politiques de sécurité, ses propres interfaces et son propre administrateur si besoin.

Cas d’usage typiques :

Mutualiser un boîtier entre plusieurs clients (hébergeur, MSP) en gardant une étanchéité totale entre eux.
Séparer un environnement de production d’un environnement de test sur le même matériel.
Isoler une DMZ ou un réseau invité du reste du SI sans acheter un second boîtier.

Note

Les VDOM sont une fonctionnalité de licence. Sur certains modèles d’entrée de gamme, le nombre de VDOM est limité (souvent 10 par défaut) et une licence additionnelle est nécessaire au-delà.

Limiter la jonction de postes au domaine

Mon, 09 Feb 2026 00:00:00 +0000

Le problème : ms-DS-MachineAccountQuota

Par défaut, n’importe quel utilisateur authentifié dans un domaine Active Directory peut joindre jusqu’à 10 postes au domaine. Ce comportement est contrôlé par l’attribut ms-DS-MachineAccountQuota défini au niveau du domaine.

C’est un paramètre hérité des premières versions d’Active Directory, pensé pour simplifier les déploiements. En pratique, c’est un risque de sécurité : un utilisateur standard peut créer des comptes machines dans le domaine sans validation, ce qui ouvre la porte à des attaques (rogue computer, relais NTLM, etc.).

Requêtes Graylog utiles pour les événements Windows

Sun, 08 Feb 2026 00:00:00 +0000

Mémo

Ce mémo regroupe les requêtes Graylog les plus courantes pour exploiter les logs Windows collectés via NXLog. Les champs utilisés (EventID, Channel, source) sont les champs standard GELF et NXLog. Les champs gl_role et gl_env sont des champs personnalisés définis dans les configurations NXLog de cette série d’articles.

Les requêtes s’utilisent dans la barre de recherche Graylog. On peut les combiner entre elles avec AND / OR et les affiner avec un intervalle de temps.

NXLog : intégration avec Graylog

Sat, 07 Feb 2026 00:00:00 +0000

Contexte

NXLog collecte et envoie les logs. Graylog les reçoit, les indexe et permet de les exploiter. Cet article couvre la configuration côté Graylog pour recevoir les logs NXLog en GELF, et quelques pistes pour structurer les dashboards.

Créer l’input GELF TCP

Dans Graylog, aller dans System > Inputs et créer un nouvel input :

Type : GELF TCP
Port : 12201
Bind address : 0.0.0.0
Titre : NXLog - Windows Events

Démarrer l’input. Si les agents NXLog sont déjà configurés et que le réseau est ouvert, les premiers messages arrivent immédiatement.

NXLog : configuration sur un serveur membre

Fri, 06 Feb 2026 00:00:00 +0000

Contexte

Un serveur membre n’a pas les mêmes besoins qu’un contrôleur de domaine. Pas de Kerberos, pas de réplication AD, pas de gestion de comptes. Le filtrage Security est donc plus simple et orienté vers la détection d’activités suspectes locales.

La configuration de base ci-dessous convient à la plupart des serveurs membres (fichiers, applications, etc.). On verra ensuite comment l’adapter selon le rôle du serveur.

Configuration de base

Panic Soft

define ROOT C:\Program Files (x86)\nxlog
define LOGDIR %ROOT%\data
define LOGFILE %LOGDIR%\nxlog.log

LogFile %LOGFILE%
Moduledir %ROOT%\modules
CacheDir %ROOT%\data
Pidfile %ROOT%\data\nxlog.pid
SpoolDir %ROOT%\data

<Extension _gelf>
 Module xm_gelf
</Extension>

<Input in_system>
 Module im_msvistalog
 Query <QueryList>\
 <Query Id="0">\
 <Select Path="System">*</Select>\
 </Query>\
 </QueryList>
 ReadFromLast TRUE
 SavePos TRUE
</Input>

<Input in_application>
 Module im_msvistalog
 Query <QueryList>\
 <Query Id="0">\
 <Select Path="Application">*</Select>\
 </Query>\
 </QueryList>
 ReadFromLast TRUE
 SavePos TRUE
</Input>

<Input in_setup>
 Module im_msvistalog
 Query <QueryList>\
 <Query Id="0">\
 <Select Path="Setup">*</Select>\
 </Query>\
 </QueryList>
 ReadFromLast TRUE
 SavePos TRUE
</Input>

<Input in_security>
 Module im_msvistalog
 Query <QueryList>\
 <Query Id="0">\
 <Select Path="Security">*</Select>\
 </Query>\
 </QueryList>

 Exec if not defined($EventID) drop();

 # Filtrage Security pour un serveur membre
 Exec $keep = ( \
 # Authentification
 $EventID == 4624 or $EventID == 4625 or $EventID == 4634 or \
 $EventID == 4648 or \
 $EventID == 4672 or \
 # Creation de processus et services
 $EventID == 4688 or \
 $EventID == 4697 or \
 # Taches planifiees
 $EventID == 4698 or $EventID == 4699 or $EventID == 4700 or $EventID == 4701 or $EventID == 4702 or \
 # Strategie d'audit et effacement de logs
 $EventID == 4719 or \
 $EventID == 1102 \
 );

 Exec if $keep != TRUE drop();

 ReadFromLast TRUE
 SavePos TRUE
</Input>

<Output out_gelf>
 Module om_tcp
 Host graylog_server
 Port 12201
 OutputType GELF_TCP

 Exec $gl_role = "srv-membre";
 Exec $gl_env = "prod";
</Output>

<Route r_base>
 Path in_system, in_application, in_setup, in_security => out_gelf
</Route>

Explication du filtrage

Par rapport à la configuration DC, on a retiré :

NXLog : configuration sur un contrôleur de domaine

Thu, 05 Feb 2026 00:00:00 +0000

Contexte

Un contrôleur de domaine (DC) est la machine la plus critique d’un SI Windows. C’est là que transitent toutes les authentifications, les modifications de comptes et les requêtes Kerberos.

La configuration NXLog d’un DC est donc plus complète que celle d’un serveur membre : on collecte les journaux System, Application, Setup, Security, et on ajoute les channels spécifiques à Active Directory (Directory Service, DNS Server, etc.).

Note : la stratégie d’audit doit être configurée au préalable via GPO. Voir l’article “Audit des événements Windows”.

NXLog : installation et présentation

Wed, 04 Feb 2026 00:00:00 +0000

Qu’est-ce que NXLog ?

NXLog est un collecteur de logs multi-plateforme. Il permet de lire les journaux d’événements Windows (et bien d’autres sources) pour les envoyer vers un SIEM comme Graylog, Splunk ou Elasticsearch.

On utilise ici la version Community Edition (gratuite), qui couvre largement les besoins d’un SI de PME.

Pourquoi NXLog plutôt que Winlogbeat ?

Les deux font le travail, mais NXLog a quelques avantages dans un contexte Windows :

Audit des événements Windows

Tue, 03 Feb 2026 00:00:00 +0000

Pourquoi auditer les événements Windows ?

Les journaux d’événements Windows sont une mine d’or pour la sécurité et le dépannage. Par défaut, Windows enregistre déjà pas mal de choses, mais la stratégie d’audit par défaut est insuffisante pour détecter les activités suspectes.

Avant de configurer NXLog ou n’importe quel collecteur de logs, il faut d’abord s’assurer que Windows génère les bons événements. C’est le rôle de la stratégie d’audit.

Les journaux principaux

Windows expose plusieurs journaux (channels) :

Identifier les requêtes NTLM avec Graylog

Tue, 03 Feb 2026 00:00:00 +0000

Pourquoi traquer NTLM ?

NTLM est un protocole d’authentification ancien, toujours présent dans les environnements Active Directory pour des raisons de compatibilité. Il est vulnérable au relay (NTLM Relay), au pass-the-hash et au cracking offline. L’objectif est d’identifier les machines et applications qui utilisent encore NTLM pour pouvoir les migrer vers Kerberos, et à terme restreindre ou désactiver NTLM.

Activer l’audit NTLM

Par défaut, Windows ne journalise pas le détail des authentifications NTLM. Il faut activer l’audit via GPO :

Installation d'OpenVAS (Greenbone)

Tue, 01 Nov 2022 00:00:00 +0000

Qu’est-ce qu’OpenVAS (Greenbone) ?

OpenVAS est un scanner de vulnérabilité qui permet de scruter son Système d’Information à la recherche des CVE connues.

Labo de test

Mise en place sur une Debian 12 avec 4 vCPU, 8 Go de RAM minimum (la compilation est gourmande).

Utilisateur dédié

sudo useradd -r -M -U -s /usr/sbin/nologin gvm
sudo usermod -aG gvm $USER
newgrp gvm

Installation de tous les paquets

On installe tout d’un coup plutôt que module par module :