La règle d’expert ENS fournie est une règle générique qui couvre une séparation simple des autorisations de groupe :

• Les groupes autorisés à exécuter des processus au niveau d’autorisation administrateur (système et autorisations élevées).
• Les groupes qui ne sont pas autorisés à exécuter des processus au niveau d’autorisation administrateur (autorisations moyenne et faible).

Ce modèle simple peut ne pas être suffisant pour couvrir un ensemble plus complexe d’autorisations dans votre environnement.

Si vous constatez que certains utilisateurs ne sont pas en train de créer des jonctions ou d’autres types de liens symboliques, personnalisez la règle expert pour mieux convenir à votre environnement. Pour personnaliser, vous devez d’abord déterminer les groupes de sécurité dans lesquels se trouve l’utilisateur bloqué. Ensuite, autorisez l’exclusion d’un ou de plusieurs groupes de la règle expert. Lorsque vous déterminez les groupes devant disposer des autorisations nécessaires pour créer des liens symboliques, n’oubliez pas que la règle couvre les liens symboliques normaux, les liens physiques et les jonctions.

L’utilisateur bloqué doit exécuter la commande suivante dans une invite de commande Windows pour obtenir la liste des groupes avec des identificateurs de sécurité :

Examinez la sortie de cette commande. Déterminez le ou les groupes appropriés pour disposer des autorisations nécessaires à la création de liens symboliques, conformément aux stratégies de sécurité de votre entreprise. Lorsque vous avez les SID de groupe que vous souhaitez autoriser à créer des liens symboliques, ajoutez-les un à un à la règle expert. Par exemple, si vous souhaitez ajouter le SID "S-1-5-21-12345", il se présenterait comme suit (en gras ci-dessous) :

Rule {
Process {
Include OBJECT_NAME { -v cmd.exe }
Include OBJECT_NAME { -v powershell.exe }
Include OBJECT_NAME { -v powershell_ise.exe }

# exclude admin groups
Exclude AggregateMatch {
Include GROUP_SID { -v "S-1-16-12288" }
Include GROUP_SID { -v "S-1-16-16384" }
Include GROUP_SID { -v "S-1-5-21-12345" }
}
}
Target {
Match FILE {
Include -access SET_REPARSE
}
}
}

Remarque : La signature 6165 (comportement malveillant : tentative de jonction de répertoire détectée) a été introduite dans le contenu de prévention contre les exploits. La règle expert de cet article est un signature plus générique et bloque la création de liens symboliques. La signature 6165 surveille des activités spécifiques par cmd la détection et non seulement symlink une création.