{"id":2655,"date":"2020-09-03T13:30:49","date_gmt":"2020-09-03T11:30:49","guid":{"rendered":"https:\/\/laurentvanacker.com\/?p=2655"},"modified":"2022-12-09T09:50:12","modified_gmt":"2022-12-09T08:50:12","slug":"nouvelle-fonctionnalite-iis-pour-aider-a-identifier-une-version-tls-obsolete-new-iis-functionality-to-help-identify-weak-tls-usage","status":"publish","type":"post","link":"https:\/\/laurentvanacker.com\/index.php\/2020\/09\/03\/nouvelle-fonctionnalite-iis-pour-aider-a-identifier-une-version-tls-obsolete-new-iis-functionality-to-help-identify-weak-tls-usage\/","title":{"rendered":"Nouvelle fonctionnalit\u00e9 IIS pour aider \u00e0 identifier une version TLS obsol\u00e8te \/ New IIS functionality to help identify weak TLS usage"},"content":{"rendered":"

Go to English version<\/a><\/p>\n

[MAJ :\u00a0 03\/09\/2020] R\u00e9\u00e9criture de l’article et ajout de scripts LogParser<\/a> pour une meilleure exploitation des donn\u00e9es<\/p>\n

L’article https:\/\/www.microsoft.com\/security\/blog\/2017\/09\/07\/new-iis-functionality-to-help-identify-weak-tls-usage\/<\/a> explique comment utiliser les champs de log personnalis\u00e9s pour r\u00e9cup\u00e9rer des informations (en provenance des variables serveurs IIS<\/a>) relatives aux requ\u00eates chiffr\u00e9es. Les informations renvoy\u00e9es sont tr\u00e8s utiles mais non exploitables directement sous leur forme hexad\u00e9cimales. Je me propose ici de vous fournir dans un premier temps le code permettant de mettre en place ces 4 champs dans vos logs IIS (au niveau des valeurs par d\u00e9faut des sites web) et ensuite de vous fournir un script PowerShell<\/a> (pr\u00e9requis : ce fichier<\/a> dans le m\u00eame r\u00e9pertoire) afin de les exploiter plus facilement.<\/p>\n

Le code PowerShell permettant d’activer les 4 enregistrements dans les logs IIS est le suivant :<\/p>\n

\r\nAdd-WebConfigurationProperty -pspath 'MACHINE\/WEBROOT\/APPHOST' -filter "system.applicationHost\/sites\/siteDefaults\/logFile\/customFields" -name "." -value @{logFieldName='crypt-protocol';sourceName='CRYPT_PROTOCOL';sourceType='ServerVariable'}\r\nAdd-WebConfigurationProperty -pspath 'MACHINE\/WEBROOT\/APPHOST' -filter "system.applicationHost\/sites\/siteDefaults\/logFile\/customFields" -name "." -value @{logFieldName='crypt-cipher';sourceName='CRYPT_CIPHER_ALG_ID';sourceType='ServerVariable'}\r\nAdd-WebConfigurationProperty -pspath 'MACHINE\/WEBROOT\/APPHOST' -filter "system.applicationHost\/sites\/siteDefaults\/logFile\/customFields" -name "." -value @{logFieldName='crypt-hash';sourceName='CRYPT_HASH_ALG_ID';sourceType='ServerVariable'}\r\nAdd-WebConfigurationProperty -pspath 'MACHINE\/WEBROOT\/APPHOST' -filter "system.applicationHost\/sites\/siteDefaults\/logFile\/customFields" -name "." -value @{logFieldName='crypt-keyexchange';sourceName='CRYPT_KEYEXCHANGE_ALG_ID';sourceType='ServerVariable'}\r\n<\/pre>\n
Ce qui aura pour effet d’ajouter les 4 nouveaux champs suivants dans vos log IIS.
\n\"\"<\/p>\n
Remarque :<\/strong><\/span> Vos logs seront pr\u00e9fix\u00e9s par un _x (par exemple u_ex200903_x.log pour le 23 septembre 2020) pour un indiquer que vous utilisez la fonctionnalit\u00e9 de \u00ab\u00a0Custom Fields\u00a0\u00bb.<\/p>\n
Comme affich\u00e9 dans la capture d’\u00e9cran pr\u00e9c\u00e9dente, les valeurs enregistr\u00e9es pour ces champs ne sont pas tr\u00e8s explicites. C’est pour cette raison que je vous propose le script PowerShell suivant<\/a> qui vous permettra de rajouter 4 nouveaux champs plus explicites\u00a0 comme le montre la capture d’\u00e9cran suivante :<\/p>\n
\"\"<\/p>\n
Ces 4 nouveaux champs (Protocol, Cipher, Hash, KeyExchange)\u00a0 sont une interpr\u00e9tation plus explicite des 4 autres champs pr\u00e9c\u00e9dents (crypt-protocol, crypt-cipher, crypt-hash et crypt-keyexchange) en basant sur les liens en bas de cet article. Par exemple SP_PROT_TLS1_2_SERVER est la traduction de 400 (en r\u00e9alit\u00e9 0x400 soit 1024 en d\u00e9cimal) pour le champs crypt-protocol.
\nCe script<\/a> est \u00e0 lancer une fois que le fichier de logs IIS quotidien (par d\u00e9faut) \u00e0 fini d’\u00eatre trait\u00e9 (\u00e0 minuit UTC par d\u00e9faut – pas en temps r\u00e9el donc). Il va , en r\u00e9alit\u00e9, cr\u00e9er un nouveau fichier de log avec le pr\u00e9fixe\u00a0 _TLS dans le m\u00eame r\u00e9pertoire. Par exemple le fichier u_ex200903_x.log deviendra u_ex200903_x_TLS.log. Le traitement ne prend que quelques secondes car Logparser<\/a> est utilis\u00e9 pour l’op\u00e9ration. Il est donc n\u00e9cessaire de l’avoir install\u00e9 sur la machine de traitement des logs.<\/p>\n
Hormis l’ajout des 4 nouveaux champs\u00a0 (Protocol, Cipher, Hash, KeyExchange), l’ent\u00eate du fichier sera \u00e9galement chang\u00e9 pour passer de \u00ab\u00a0#Software: Microsoft Internet Information Services 10.0\u00a0\u00bb \u00e0\u00a0 \u00ab\u00a0#Software: Microsoft Log Parser\u00a0\u00bb dans le fichier de destination (*_TLS.log).<\/p>\n
Apr\u00e8s cela libre \u00e0 vous d’utiliser le fichier de requ\u00eates LogParser<\/a> suivant<\/a> pour avoir des statistiques sur l’utilisation SSL\/TLS sur vos serveurs IIS.<\/p>\n
Quelques liens utiles :<\/p>\n