Powershell : comment configurer efficacement le stockage local des hachages LM ?

La configuration du stockage local des hachages LM joue un rôle essentiel dans les systèmes basés sur Windows. Pour les professionnels de l’informatique, la configuration de ce stockage peut avoir une incidence considérable sur la sécurité du système. Le script PowerShell fourni simplifie élégamment le processus d’activation ou de désactivation de cette fonctionnalité. Voyons ce qu’il signifie et comment il fonctionne.

Contexte

Le hachage LM (LAN Manager) existe depuis un certain temps et est connu pour ses vulnérabilités. Au fil du temps, de nombreux spécialistes de la sécurité ont recommandé de désactiver les hachages LM pour renforcer la sécurité du système. Les configurations manuelles pouvant être fastidieuses, les outils et les scripts (comme celui fourni ici) deviennent des atouts inestimables pour les professionnels de l’informatique et les fournisseurs de services gérés (MSP).

Le script

#Requires -Version 5.1

<#
.SYNOPSIS
    Disable or Enable Local LM Hash Storage
.DESCRIPTION
    Disable or Enable Local LM Hash Storage
.EXAMPLE
    -Enable
    Enable Local LM Hash Storage
.EXAMPLE
    -Disable
    Disable Local LM Hash Storage
.EXAMPLE
    PS C:> Disable-LMHash.ps1 -Disable
    Disable Local LM Hash Storage
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
.COMPONENT
    ProtocolSecurity
#>

[CmdletBinding(DefaultParameterSetName = "Disable")]
param (
    [Parameter(Mandatory, ParameterSetName = "Disable")]
    [switch]
    $Disable,
    [Parameter(Mandatory, ParameterSetName = "Enable")]
    [switch]
    $Enable
)

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
        { Write-Output $true }
        else
        { Write-Output $false }
    }
    function Set-ItemProp {
        param (
            $Path,
            $Name,
            $Value,
            [ValidateSet("DWord", "QWord", "String", "ExpandedString", "Binary", "MultiString", "Unknown")]
            $PropertyType = "DWord"
        )
        New-Item -Path $Path -Force -ErrorAction SilentlyContinue | Out-Null
        if ((Get-ItemProperty -Path $Path -Name $Name -ErrorAction SilentlyContinue)) {
            Set-ItemProperty -Path $Path -Name $Name -Value $Value -Force -Confirm:$false | Out-Null
        }
        else {
            New-ItemProperty -Path $Path -Name $Name -Value $Value -PropertyType $PropertyType -Force -Confirm:$false | Out-Null
        }
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    $Path = "HKLM:SYSTEMCurrentControlSetControlLsa"
    $Name = "NoLMHash"
    $Value = if ($Enable) { 1 }elseif ($Disable) { 0 }else { throw "No Param used." }
    # Sets NoLMHash to 1
    try {
        Set-ItemProp -Path $Path -Name $Name -Value $Value
    }
    catch {
        Write-Error $_
        exit 1
    }
    Write-Host "Set $Path$Name to $Value"
}
end {}

 

Description détaillée

Le script commence par définir les conditions requises pour la version 5.1 de PowerShell. Voici une description détaillée de son fonctionnement :

• Cmdlet Binding : Le script utilise CmdletBinding, ce qui lui permet d’accepter des paramètres, en particulier -Enable ou -Disable.
• Fonction Test-IsElevated : Cette fonction vérifie si le script est exécuté avec des privilèges élevés (en tant qu’administrateur). Si ce n’est pas le cas, le script renvoie une erreur.
• Fonction Set-ItemProp : Cette fonction est conçue pour attribuer une valeur donnée à une clé de registre spécifiée, en la créant si elle n’existe pas.
• Bloc « process » : C’est ici que réside la logique principale.
• Vérifie les droits d’administrateur.
• Définit le chemin et le nom du registre.
• En fonction du paramètre utilisé (Enable ou Disable), il attribue une valeur.
• Il fixe ensuite cette valeur dans le registre.
• Bloc « end » : Conclut le script.

Cas d’utilisation potentiels

Imaginez une entreprise MSP qui supervise la sécurité de plusieurs clients. L’une de ses nouvelles procédures d’intégration consiste à s’assurer que le stockage des hachages LM est désactivé sur tous les serveurs. Plutôt que de mettre à jour manuellement les paramètres de chaque serveur, l’entreprise MSP peut déployer ce script, ce qui permet d’effectuer efficacement les changements et de garantir la cohérence.

Comparaisons

La navigation manuelle dans le registre ou l’utilisation de la stratégie de groupe sont d’autres méthodes permettant d’obtenir ce résultat. Toutefois, l’utilisation de PowerShell est plus efficace, en particulier lorsque des modifications doivent être apportées à de nombreux systèmes. En outre, les scripts sont moins sujets aux erreurs humaines que les méthodes manuelles.

FAQ script et hachages LM

• Que représente « NoLMHash » ?
  « NoLMHash » est une clé de registre qui détermine si les hachages LM sont stockés. La valeur « 0 » signifie qu’elle est activée, tandis que la valeur « 1 » signifie qu’elle est désactivée.
• Ce script peut-il être exécuté sur n’importe quel système Windows ?
  Le script a une exigence minimale : Windows 10 ou Windows Server 2016 et ultérieur.

Implications

Configurer le stockage des hachages LM n’est pas seulement une question d’efficacité opérationnelle, c’est une considération importante en matière de sécurité. Les hachages LM sont notoirement peu sûrs. Le fait de disposer d’une méthode permettant de désactiver rapidement et de manière fiable ces hachages peut réduire considérablement les vulnérabilités.

Recommandations

• Sauvegardez toujours le registre avant d’y apporter des modifications.
• Examinez et auditez régulièrement les configurations des systèmes afin de garantir le respect des bonnes pratiques en matière de sécurité.
• N’exécutez que des scripts provenant de sources fiables.

Conclusion

Pour les professionnels de l’informatique qui cherchent à simplifier leurs tâches tout en maintenant un haut niveau de sécurité, l’utilisation d’outils puissants devient cruciale. Ce script en est la preuve. En outre, des plateformes comme NinjaOne peuvent améliorer le processus en centralisant et en automatisant les tâches liées à la configuration et à la sécurité du système. Avec l’évolution du paysage numérique, disposer d’outils et de plateformes fiables sera la clé du maintien d’une sécurité performante.