Wei H Lim (MSFT) a publié un tableau de bord qui peut être utilisé pour le service Operations Management Suite (OMS). Il fournit une vue résumée de l’ensemble de l’état de la consommation du quota de données et comment la limite d’upload journalière du Tier gratuit est dispersé au travers des services ou atteint. Le tier gratuit autorise jusqu’à 500 MB de données par jour avec 7 jours de rétention.
Télécharger Sample OMS Free Tier Data Consumption Tracker Dashboard
A l’occasion de la conférence Infiltrate 2017, l’équipe Cloud and Enterprise Red présent comment appliquer des techniques d’attaques réseaux traditionnelles et comment les adresser dans Microsoft Azure. On peut voir des attaques types sur Azure et les mécanismes qui peuvent être mis en œuvre pour limiter ces dernières.
Microsoft a publié des améliorations pour la fonctionnalité Work Folders à destination des systèmes iOS, Android et Windows 10 1703. Pour rappel, les Work Folders permettent aux utilisateurs d’accéder à leurs fichiers/documents de manière sécurisée en dehors de l’entreprise quel que soit le périphérique utilisé. On pourrait l’apparenter à une solution comme OneDrive en mode On-Premises.
On retrouve notamment :
Plus d’informations sur : https://blogs.technet.microsoft.com/filecab/2017/05/31/work-folders-updates-for-windows-10-version-1703-android-and-ios/
Microsoft a publié une un article dans la base de connaissances résumant les exclusions et exceptions antivirales applicables à System Center Configuration Manager Current Branch. L’équipe des PFE System Center a aussi publié un très bon billet dans ce sens.
On retrouve notamment :
Exclusions Core
Exclusions Core d’installation SCCM (Toutes Versions)
Exclusions Core d’installation SCCM (Versions Current Branch)
Exclusions de la librairie de contenu SCCM
Exclusions d’imaging SCCM
Exclusions des processus SCCM
Exclusions SQL Server
Exclusions IIS
Exclusions WSUS
Plus d’informations sur : https://blogs.technet.microsoft.com/systemcenterpfe/2017/05/24/configuration-manager-current-branch-antivirus-update/
Dirk Brinkmann (MSFT) a publié une fonction PowerShell pour System Center Operations Manager 2012 et 2016 permettant de convertir le Management Pack en rapports HTML. On peut comparer ça aux outils proposés par Silect (MP Studio) ou les rapports SQL que j’ai publié, il permet d’exporter toutes les workflows (découvertes, moniteurs, règles, etc.) accompagnés des seuils par défaut ainsi que les overrides associés.
Télécharger PS function to convert SCOM 2012/2016 MP's into readable HTML reports
Microsoft s’est associé avec Lookout pour fournir une solution de sécurité visant à détecter les menaces sur les périphériques mobiles. Cette dernière s’intègre à Microsoft Intune pour remonter le niveau de menaces et l’utiliser notamment pour l’accès conditionnel aux ressources de l’entreprise.
Lookout propose une solution prédictive basée sur des patterns. La solution dispose de plus de 100 millions de sondes (comprendre périphériques personnels ou d’entreprise) qui remontent des informations sur les applications, les systèmes, les menaces. Les données remontées sont ensuite traitées via un mécanisme de Big Data et des experts qui analysent ces données. Lookout sépare les attaques en trois grandes catégories :
Aujourd’hui la solution est disponible pour les périphériques iOS et Android.
Le but de cette série d’articles est de faire un tour d’horizon de l’intégration entre Microsoft Intune et Lookout avec les phases de mise en œuvre et d’exploitation.
Si vous n’avez pas vu les parties précédentes, je vous invite à lire :
Aperçu de la console d’opérations Lookout
Une fois la solution configurée et l’application déployée, nous pouvons passer à l’exploitation et son utilisation dans l’accès conditionnel. Dans un premier temps, vous pouvez vous connecter à la console Lookout qui vous offre différents espaces agrégeant les données renvoyées par les périphériques.
Le nœud Dashboard offre une vision d’ensemble avec :
Depuis cet espace, on retrouve différentes sous-parties permettant d’obtenir plus de détails comme par exemple le tableau des détections de menaces par classification :
Un espace Threats regroupe les différents menaces découvertes classifiables en fonction des éléments suivants :
En sélectionnant une menace en particulier, vous retrouvez différentes informations comme l’état, le risque, le type, l’utilisateur, le temps avant résolution, du détail plus précis sur le fichier et la menace ainsi que l’historique associé (détection, etc.). Vous pouvez voir l’analyse des binaires qui a pu être réalisé par Lookout. Cet espace permet aussi d’agir sur l’état de la menace.
L’espace Devices donne une vision des périphériques avec une vision plus précise par périphérique. Outre les informations sur les menaces, on retrouve des éléments sur le périphérique en lui-même :
La partie Policy permet de définir un niveau de sévérité personnalisé pour les différentes menaces en fonction de leur classification (Trojet, Worm, Virus, Exploit, etc.)
Aperçu des remontées d’informations dans Microsoft Intune
Vous pouvez observer l’état de conformité d’un périphérique de plusieurs façons. Dans le portail Intune, vous pouvez d’abord naviguer dans Devices – All Devices. Vous voyez l’état de conformité pour la liste de tous les périphériques. Cette même information est disponible sur le périphérique en lui-même dans les parties Overview ou Hardware :
Vous pouvez aussi voir le détail de la conformité dans Device Compliance pour chacune des stratégies.
Configuration d’une stratégie d’accès conditionnel dans Microsoft Intune
L’intérêt de l’intégration de Lookout avec Microsoft Intune est l’utilisation des informations de menaces pour l’utilisation lors de l’accès conditionnel aux ressources de l’entreprise telles qu’Office 365.
Vous pouvez pour cela créer une stratégie d’accès conditionnel via le nouveau portail Microsoft Intune en naviguant dans Device compliance – Manage - Policies. La création de la stratégie (Create Policy) offre un assistant où vous pouvez paramétrer la sous partie Device Health. Un paramétrage Require the device to be at or under the Mobile Threat Level en définissant le niveau de menaces maximal autorisé parmi :
Je vous recommande la création de stratégies pour iOS, Android et/ou Android for Work afin de couvrir toutes les plateformes.
Une fois créée, vous devez déployer les stratégies de conformité via la partie Assignements :
Les éléments Device/User/Per-setting status vous permettent de suivre l’état de déploiement/application de la stratégie.
Kevin Holman (MSFT) a publié un Management Pack permettant de suivre l’état des agents dans System Center Operations Manager (SCOM). On retrouve ainsi :
Plus d’informations sur son billet : Agent Management Pack – Making a SCOM Admin’s life a little easier
Voici le récapitulatif des annonces faites par Microsoft concernant sa plateforme Microsoft Azure.
Parmi les annonces, on retrouve notamment :
General
IaaS
Azure Storage
Enterprise Mobility + Security
Azure Active Directory
Office 365
Operations Management Suite
Azure Analysis Service
Azure Government
Autres services
Microsoft vient de mettre à disposition la Technical Preview 1706 (5.0.8533.1000) de System Center Configuration Manager. Pour rappel, ConfigMgr a subi une refonte de sa structure pour permettre des mises à jour aisées de la même façon que l’on peut le voir avec Windows 10. Si vous souhaitez installer cette Technical Preview, vous devez installer la Technical Preview puis utiliser la fonctionnalité Updates and Servicing (nom de code Easy Setup).
IMPORTANT : Avant de lancer la mise à niveau, retirez le connecteur OMS sous peine faire planter la mise à niveau.
System Center Configuration Manager TP 1706 comprend les nouveautés suivantes :
Général
Gestion du contenu
Enregistrement de périphériques mobiles
Gestion et Déploiement d’Applications
Mise à jour logicielles et conformité
Déploiement de système d’exploitation (OSD)
Infrastructure
Plus d’informations sur : https://docs.microsoft.com/en-us/sccm/core/get-started/capabilities-in-technical-preview-1706
Benjamin Reynolds (MSFT) a publié un très bon billet décrivant comment déplacer la base de données de site de System Center Configuration Manager vers un groupe de disponibilité AlwaysOn. Il n’est pas possible d’installer le produit directement sur un cluster SQL Server AlwaysOn. Vous devez auparavant l’installer sur un serveur autonome et déplacer la base. Son article complet revient sur toutes les étapes importantes :
Lire Moving the ConfigMgr site database to an Always On Availability Group
Microsoft a publié un sondage à destination des utilisateurs de sa solution d’administration Microsoft Intune et/ou System Center Configuration Manager. Il aborde les applications métiers mobiles dans votre entreprise. Le sondage ne prend pas plus de 5 minutes et permet de répondre afin de prioriser le travail de développement pour plusieurs fonctionnalités à venir.
Tim Mcfadden a sorti la version 8.5 de son outil Maintenance Mode Scheduler. Cette version permet d’apporter le support de System Center 2016 Operations Manager. Maintenance Mode Scheduler permet la planification de mise en mode maintenance pour des objets ou des groupes d’objets (machines) par les administrateurs et opérateurs de l’entreprise. Parmi les nouveautés, on retrouve :
Pour rappel, System Center 2016 Operations Manager comprend une fonction permettant de planifier des modes maintenance.
Une version d’évaluation (30 jours) est disponible
Plus d’informations sur : https://www.scom2k7.com/scom-2012-maintenance-mode-scheduler-version-8-5/
L’équipe des PFE a publié un billet pour parler d’un problème touchant Windows 10 et la disparition des tuiles du Menu Démarrer lors de l’utilisation des profils itinérants. Ceci peut notamment survenir dans les environnements VDIs non persistants. Pour résoudre ce problème, Microsoft a publié un nouveau correctif et paramétrage de clé de registre dans la mise à cumulative du 14 Mars 2017.
Vous devez alors créer la clé SpecialRoamingOverrideAllowed dans HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer pour spécifier le comportement adéquat.
Plus d’informations sur : https://blogs.technet.microsoft.com/askpfeplat/2017/05/08/mysteriously-disappearing-start-menu-tiles-and-roaming-user-profiles/
C’est une demande régulière et une stratégie que nous mettons en place dans les entreprises pour qui ont intervient. Elle permet l’adoption plus aisée du service de stockage OneDrive for Business, offert par Office 365. Il est possible d’utiliser l’ancien mécanisme de redirection de dossiers pour rediriger automatiquement les dossiers de l’utilisateurs (Documents, Musique, Vidéos, etc.) dans le dossier de synchronisation OneDrive for Business. Le but est de rendre l’opération transparente pour l’utilisateur en limitant l’accompagnement utilisateur mais en optimisant l’adoption du service. Cela décorrèle aussi la donnée du poste de travail.
Microsoft a créé un article dans la base de connaissances pour décrire le mécanisme. On retrouve aussi les considérations :
Plus d’informations sur: Redirect known folders to OneDrive for Business
De nombreuses entreprises injectent les packs de langues dans le master ou le système d’exploitation, ceci permet à l’utilisateur de choisir la langue d’affichage de son système. La problématique survient lorsque vous souhaitez mettre à niveau un système d’exploitation antérieur (Windows 7, Windows 8.1) vers Windows 10. L’utilisation du scénario In-Place Upgrade pour mettre à niveau requiert plusieurs prérequis et comprend des limitations. En effet, l’installeur de Widnows 10 ne propose la mise à niveau que si la langue d’affichage du système correspond à celle du média d’instalaltion de Windows 10.
L’équipe Configuration Manager OSD Support revient sur la méthodologie automatisée permettant de :
Pour cela le processus revient à utiliser un script permettant d’énumérer les packs de langues installés et de peupler des variables. Un second script permet la configuration des options régionales. L’article détaille ensuite où placer les différents scripts, tâches et conditions dans la séquence de tâches pour permettre de réaliser l’opération.
Lire : How to Upgrade Windows Clients with Multiple Languages installed to Windows 10
Microsoft s’est associé avec Lookout pour fournir une solution de sécurité visant à détecter les menaces sur les périphériques mobiles. Cette dernière s’intègre à Microsoft Intune pour remonter le niveau de menaces et l’utiliser notamment pour l’accès conditionnel aux ressources de l’entreprise.
Lookout propose une solution prédictive basée sur des patterns. La solution dispose de plus de 100 millions de sondes (comprendre périphériques personnels ou d’entreprise) qui remontent des informations sur les applications, les systèmes, les menaces. Les données remontées sont ensuite traitées via un mécanisme de Big Data et des experts qui analysent ces données. Lookout sépare les attaques en trois grandes catégories :
Aujourd’hui la solution est disponible pour les périphériques iOS et Android.
Le but de cette série d’articles est de faire un tour d’horizon de l’intégration entre Microsoft Intune et Lookout avec les phases de mise en œuvre et d’exploitation.
Si vous n’avez pas vu la première partie de cette série, voici comment configurer la solution.
Vous pouvez maintenant passer au déploiement de l’application Lookout. Lookout fournit différentes applications. Certaines sont à destination du grand public. C’est le cas notamment de l’application Lookout, des applications détectant certaines failles de sécurité (Pegasus, Trident, etc.). L’application à destination des entreprises s’appelle Lookout for Work. Cette dernière est disponible sur iOS et Android. Elles ont chacun leur mode de déploiement.
Déploiement sur les périphériques Android
L’application Lookout for Work pour Android peut être téléchargée et déployée directement depuis le Google Play store. Vous pouvez alors la déployer via Microsoft Intune de manière obligatoire. L’utilisateur est alors invité à installer l’application dans le store ou alors l’application est installée automatiquement si le périphérique est géré par Android for Work. Pour Android for Work, je vous renvoie à mon article sur le sujet. Vous pouvez approuver l’application dans le Google Play for Work.
Dans le portail Azure et le service Microsoft Intune, vous pouvez ensuite déployer l’application Lookout for Work à partir de l’espace Mobile Apps – Apps :
Sélectionnez l’application puis cliquez sur Assignments. Choisissez un groupe et le type de déploiement souhaité. D’une, il est recommandé de déployer l’application de manière obligatoire :
Déploiement sur les périphériques iOS
L’application pour iOS est aussi disponible sur l’AppStore mais ne permet pas l’intégration dans Microsoft Intune. En effet, l’association du périphérique entre Intune et Lookout ne se fait pas. Vous devez pour cela télécharger une version spécifique de l’application qui doit être signées par vos soins. Ceci provient d’une limitation appliquée par Apple pour les applications proposées dans son Store. L’application du store ne permet pas non plus d’inventorier les applications présentes sur le store.
Création de l’application dans Azure AD
Avant de signer l’application commencez par autoriser l’authentification Azure AD pour les utilisateurs iOS. Connectez-vous au portail Azure et naviguez dans More Services > Azure Active Directory. Choisissez App registrations puis Add.
Renseignez le nom de l’application, le type Native et la redirection URI suivante : lookoutwork:// com.lookout.enterprise.<NOM DE L’ENTREPRISE>.
Une fois crée, sélectionnez l’application puis naviguez dans General – Redirect URIs. Ajoutez l’URI suivant : companyportal://code/lookoutwork.%3A%2F%2Fcom.lookout.enterprise.<NOM DE L’ENTREPRISE>
Dans les propriétés de l’application, conservez l’identifiant pour l’utiliser dans la stratégie de configuration de l’application :
Il est ensuite nécessaire de configure des permissions. Cliquez sur Required permissions et sélectionnez Add. Ajoutez les deux APIs et permissions suivantes :
Validez ensuite que vous avez les trois APIs suivantes :
Préparation des prérequis à la signature
Afin de signer l’application, vous devez disposer des prérequis suivants :
Une fois ces prérequis validés, connectez-vous au portail iOS Enterprise Developer et dirigez-vous dans la partie Certificates pour récupérer un certificat de type In-House and Ad Hoc certificate.
Procédez ensuite à la création d’un identifiant d’application (Identifiers – App IDs). Renseignez le nom de l’application ainsi que l’identifiant explicite de l’application en utilisant le format : com.lookout.enterprise.<NOM DE L’ENTREPRISE>. Enregistrez l’application.
Enfin, procédez à la création d’un profil de distribution iOS en naviguant dans Provisioning Profiles – Distribution – In House. Spécifiez l’identifiant de l’application ainsi que le certificat de distribution iOS que vous avez créé plus haut.
Signature de l’application
Connectez-vous au portail Lookout et naviguez dans System – iOS Configuration. Récupérez le fichier .ipa.
Sur le Mac, utilisez l’outil de signature Lookout en sélectionnant le fichier IPA que vous avez téléchargé et le profil de provisionnement que vous avez créé. Renseignez aussi l’identifiant du bundle que vous avez défini (com.lookout.enterprise.<NOM DE L’ENTREPRISE>).
Sélectionnez ensuite le certificat de signature et enregistrez le fichier IPA fraichement signé. Une fois signé, uploader le fichier signé sur le portail Lookout dans System – iOS Configuration.
Ajout de l’application dans Microsoft Intune
Maintenant que l’application est signée, vous devez l’ajouter à Microsoft Intune pour pouvoir ensuite la déployer. Ouvrez le portail d’administration Azure puis dans le service Intune et naviguez dans Mobile Apps – Apps. Cliquez sur Add. Choisissez le type d’application Line-of-business app.
Dans App package file, sélectionnez le fichier ipa que vous avez signé puis renseignez les informations de l’application dans App information : Nom, Description, Fabricant, Logo, etc.
Configuration de l’application
Commencez par créer une stratégie de configuration de l’application mobile en naviguant dans Mobile apps – App configuration policies. Cliquez sur Add.
Cette opération permettra de préconfigurer l’application pour l’utilisateur. Renseignez les éléments suivants :
<dict>
<key>MDM</key>
<string>INTUNE</string>
<key>DEVICE_UDID</key>
<string>{{deviceid}}</string>
<key>EMAIL</key>
<string>{{userprincipalname}}</string>
<key>AAD_CLIENT_APP_ID</key>
<string><IDENTIFIANT AAD DE L’APPLICATION></string>
</dict>
Déploiement de l’application et de la stratégie de configuration
Vous pouvez ensuite déployer l’application en naviguant dans Mobile Apps – Apps. Sélectionnez l’application Lookout for Work pour iOS. Dans la partie Assignments, sélectionnez le groupe Azure Active Directory de périphériques ou d’utilisateurs. Associez le type de déploiement souhaité. Il est préférable de déployer l’application de manière obligatoire (Required). Cliquez sur Save.
Répétez l’opération pour la stratégie de configuration d’applications en naviguant dans Mobile apps – App configuration policies. Sélectionnez la stratégie Lookout for Work iOS App et cliquez sur Assignments. Sélectionnez le groupe Azure Active Directory de périphériques ou d’utilisateurs précédemment utilisé. Cliquez sur Save.
Vous pouvez ensuite suivre l’état de déploiement de l’application et de la stratégie via la partie Monitor – Device/user install status sur l’application ou la stratégie.
Maintenant que les applications Lookout sont déployées sur iOS et Android, nous pouvons ensuite passer à l’exploitation de la solution.
Microsoft a publié des recommandations pour spécifier la désactivation des services du système Windows Server 2016 avec Desktop Experience. On retrouve 4 catégories :
Plus généralement, Microsoft recommande la désactivation des services suivants :
Services:
Scheduled tasks:
Voir les recommandations sur la gestion des services de Windows Server 2016
Les premiers éléments remontent un problème sur System Center Configuration Manager 1702 lorsque vous utilisez Android for Work en mode hybride avec Microsoft Intune. Il semble que les comptes Android for Work ne sont pas nettoyés lorsque l’administrateur retire l’abonnement Microsoft Intune de la console. Ceci engendre une situation problématique. Deux solutions :
Lorsque vous gérez vos périphériques de manière traditionnelles (ConfigMgr, MBAM, GPO, etc.), il existe de nombreux moyens de gérer et activer le chiffrement BitLocker (MBAM, déploiement de système d’exploitation, etc.). Quand vous gérez vos périphériques de manière moderne, il n’y a pas de remasterisation de la machine. De ce fait, vous devez procéder au chiffrement par des manières détournées. Il est possible d’initier le chiffrement automatique lors de la jointure à Azure Active Directory et la solution d’administration (Intune) lorsque votre périphérique est compatible InstantGo. C’est par exemple le cas des tablettes Surface mais ce n’est pas le cas de tous les périphériques. Dans ce cas de figure, vous n’avez pas de solution autre que l’activation manuelle. Avec l’arrivée de la GDPR, on retrouve des problématiques autour de ces enjeux. Microsoft a introduit des notifications et un assistant permettant à l’utilisateur d’initier le chiffrement.
Pieter Wigleven (MSFT) a travaillé une solution de scripts permettant d’initier le chiffrement automatique lorsque le périphérique est géré de manière moderne et quel que soit le matériel utilisé. Ces scripts ont été packagés au format MSI pour pouvoir être déployés par le canal MDM :
Note : Vous devez utiliser Windows 10 1703 x64.
Plus d’informations sur : Hardware independent automatic Bitlocker encryption using AAD/MDM
Microsoft vient d’annoncer la bêta des baselines de paramétrages de sécurité pour Windows 10 (Anniversary Update/RS2 – v703). On y retrouve les nouveaux paramétrages de cette nouvelle Build. Ces dernières s’utilisent avec Security Compliance Toolkit (SCT). Les lignes de base permettent de vérifier la conformité d’une application vis-à-vis des bonnes pratiques et recommandations Microsoft.
Voici les différences avec la baseline pour Windows 10 1607 :
Plus d’informations sur l’article suivant : https://blogs.technet.microsoft.com/secguide/2017/06/15/security-baseline-for-windows-10-creators-update-v1703-draft/
Microsoft vient de publier la version finale (1.0) de Microsoft Security Compliance Toolkit 1.0 (SCT). Il remplace Security Compliance Manager. Cet outil permet de planifier, créer, et monitorer des baselines de sécurité pour vos postes clients. Le remplacement a été choisi par Microsoft du fait de la complexité de SCM et de la difficulté à maintenir l'outil pour chaque version de Windows. Aujourd'hui, SCT ne supporte pas Desired Configuration Management de System Center Configuration Manager ou SCAP.
Microsoft a créé un petit formulaire d’évaluation avec des questions vous permettant d’évaluer votre niveau de maturité face aux nouveaux enjeux en matière de mobilité et de sécurité. Le but est bien entendu de mettre en avant les éléments proposés par le suite Enterprise Mobility + Security (EMS). Néanmoins, ceci constitue un bon moyen de connaître l’état de l’art vis-à-vis de la cible souhaitée. Une fois terminé, vous retrouvez des guides et informations vous permettant d’adresser les points en souffrance.
Microsoft vient d’annoncer la mise à disposition d’un nouvel ensemble de fonctionnalités pour Microsoft Intune. Ce mois-ci, Microsoft a annoncé que les consoles d’administration de Microsoft Intune et de l’accès conditionnel dans le portail Azure, passaient en disponibilité générale.
Les fonctionnalités suivantes sont ajoutées :
Enregistrement
Portail d’entreprise
Gestion du périphérique
Gestion des applications
Configuration du périphérique
Plus d’informations sur : https://docs.microsoft.com/en-us/intune/whats-new
J’étais passé à côté de l’annonce mais Microsoft propose en Public Preview un connecteur entre son service Operations Management Suite et des outils IT Service Management (ITSM). Le connecteur s’intègre aujourd’hui aux solutions suivantes :
Il offre les capacités suivantes :
Vous pouvez obtenir plus d‘informations sur les intégrations via : https://blogs.technet.microsoft.com/msoms/2017/05/11/it-service-management-connector-public-preview/
Nathan Mercer (MSFT) tient un webinar sur les nouveautés apportées par Windows 10 en matière de sécurité à destination des professionnels de l’informatique. Ce Webinar abordera les nouveautés de sécurité :
Il a lieu le 21 Juin 2017 à 20h.
Pour s’enregistrer : https://aka.ms/win10-security-ama
Plus d’informations : https://blogs.technet.microsoft.com/windowsitpro/2017/06/01/ask-microsoft-anything-about-windows-10-security-on-june-21st/
