Comment : auditer les événements de sécurité relatifs à Windows Communication Foundation

Article
05/10/2023

Windows Communication Foundation (WCF) vous permet d’enregistrer des événements de sécurité dans le journal des événements Windows, qui peut être affiché à l’aide de l’Observateur d’événements Windows. Cette rubrique explique comment installer une application afin qu'elle enregistre des événements de sécurité. Pour plus d’informations sur l’audit WCF, consultez Audit.

Pour auditer des événements de sécurité dans le code

Spécifiez l'emplacement du journal d'audit. Pour cela, affectez à la propriété AuditLogLocation de la classe ServiceSecurityAuditBehavior l'une des valeurs d'énumération AuditLogLocation, tel qu'indiqué dans le code suivant.
```
// Create a new auditing behavior and set the log location.
ServiceSecurityAuditBehavior newAudit =
    new ServiceSecurityAuditBehavior();
newAudit.AuditLogLocation =
    AuditLogLocation.Application;
```
```
' Create a new auditing behavior and set the log location.
Dim newAudit As New ServiceSecurityAuditBehavior()
newAudit.AuditLogLocation = AuditLogLocation.Application
```
L'énumération AuditLogLocation a trois valeurs : Application, Security ou Default. La valeur spécifie l'un des journaux visibles dans l'Observateur d'événements, le journal de sécurité ou le journal des applications. Si vous utilisez la valeur Default, le journal réel dépend du système d'exploitation sur lequel l'application s'exécute. Si l'audit est activé et que l'emplacement du journal n'est pas spécifié, la valeur par défaut est le journal Security pour les plateformes qui prennent en charge l'écriture dans le journal de sécurité ; sinon, les événements sont consignés dans le journal Application. Seuls Windows Server 2003 et Windows Vista prennent en charge l’écriture dans le journal de sécurité par défaut.

Installez les types d'événements à auditer. Vous pouvez auditer simultanément des événements au niveau du service ou des événements d'autorisation au niveau du message. Pour cela, affectez à la propriété ServiceAuthorizationAuditLevel ou MessageAuthenticationAuditLevel l'une des valeurs d'énumération AuditLevel, tel qu'indiqué dans le code suivant.

// Create a new auditing behavior and set the log location.
ServiceSecurityAuditBehavior newAudit =
    new ServiceSecurityAuditBehavior();
newAudit.AuditLogLocation =
    AuditLogLocation.Application;
newAudit.MessageAuthenticationAuditLevel =
    AuditLevel.SuccessOrFailure;
newAudit.ServiceAuthorizationAuditLevel =
    AuditLevel.SuccessOrFailure;

newAudit.MessageAuthenticationAuditLevel = _
    AuditLevel.SuccessOrFailure
newAudit.ServiceAuthorizationAuditLevel = _
    AuditLevel.SuccessOrFailure

Spécifiez s'il convient de supprimer ou d'exposer les défaillances de l'application concernant des événements d'audit de journal. Affectez à la propriété SuppressAuditFailure la valeur true ou false, tel qu'indiqué dans le code suivant.
```
// Create a new auditing behavior and set the log location.
ServiceSecurityAuditBehavior newAudit =
    new ServiceSecurityAuditBehavior();
newAudit.AuditLogLocation =
    AuditLogLocation.Application;
newAudit.MessageAuthenticationAuditLevel =
    AuditLevel.SuccessOrFailure;
newAudit.ServiceAuthorizationAuditLevel =
    AuditLevel.SuccessOrFailure;
newAudit.SuppressAuditFailure = false;
```
```
newAudit.SuppressAuditFailure = False
```
La propriété SuppressAuditFailure par défaut a la valeur true, afin que l'échec de l'audit n'affecte pas l'application. Sinon, une exception est levée. Tout audit exécuté avec succès entraîne l'écriture d'un suivi de détails d'information. Tout échec d'audit entraîne l'écriture d'un suivi au niveau d'erreur.
Supprimez le ServiceSecurityAuditBehavior existant de la collection de comportements située dans la description d’un ServiceHost. La collection de comportements est accessible par le biais de la propriété Behaviors, qui elle-même est accessible à partir de la propriété Description. Puis, ajoutez le nouveau ServiceSecurityAuditBehavior à la même collection, tel qu’indiqué dans le code suivant.
```
// Remove the old behavior and add the new.
serviceHost.Description.
    Behaviors.Remove<ServiceSecurityAuditBehavior>();
serviceHost.Description.Behaviors.Add(newAudit);
```
```
' Remove the old behavior and add the new.
serviceHost.Description.Behaviors.Remove(Of ServiceSecurityAuditBehavior)
serviceHost.Description.Behaviors.Add(newAudit)
```

Pour installer l'audit dans la configuration

Pour installer l’audit dans la configuration, ajoutez un élément <behavior> à la section <behaviors> du fichier web.config. Puis, ajoutez un élément <serviceSecurityAudit> et définissez les différents attributs, tel qu’indiqué dans l’exemple suivant.

<behaviors>  
   <behavior name="myAuditBehavior">  
      <serviceSecurityAudit auditLogLocation="Application"  
            suppressAuditFailure="false"
            serviceAuthorizationAuditLevel="None"
            messageAuthenticationAuditLevel="SuccessOrFailure" />  
      </behavior>  
</behaviors>

Vous devez spécifier le comportement du service, tel qu'indiqué dans l'exemple suivant.

<services>  
    <service type="WCS.Samples.Service.Echo"
    behaviorConfiguration=" myAuditBehavior">  
       <endpoint address=""  
                binding="wsHttpBinding"  
                bindingConfiguration="CertificateDefault"
                contract="WCS.Samples.Service.IEcho" />  
    </service>  
</services>

Exemple

Le code suivant crée une instance de la classe ServiceHost et ajoute un nouveau ServiceSecurityAuditBehavior à sa collection de comportements.

public static void Main()
{
    // Get base address from appsettings in configuration.
    Uri baseAddress = new Uri(ConfigurationManager.
        AppSettings["baseAddress"]);

    // Create a ServiceHost for the CalculatorService type
    // and provide the base address.
    using (ServiceHost serviceHost = new
        ServiceHost(typeof(CalculatorService), baseAddress))
    {
        // Create a new auditing behavior and set the log location.
        ServiceSecurityAuditBehavior newAudit =
            new ServiceSecurityAuditBehavior();
        newAudit.AuditLogLocation =
            AuditLogLocation.Application;
        newAudit.MessageAuthenticationAuditLevel =
            AuditLevel.SuccessOrFailure;
        newAudit.ServiceAuthorizationAuditLevel =
            AuditLevel.SuccessOrFailure;
        newAudit.SuppressAuditFailure = false;
        // Remove the old behavior and add the new.
        serviceHost.Description.
            Behaviors.Remove<ServiceSecurityAuditBehavior>();
        serviceHost.Description.Behaviors.Add(newAudit);
        // Open the ServiceHostBase to create listeners
        // and start listening for messages.
        serviceHost.Open();

        // The service can now be accessed.
        Console.WriteLine("The service is ready.");
        Console.WriteLine("Press <ENTER> to terminate service.");
        Console.WriteLine();
        Console.ReadLine();

        // Close the ServiceHostBase to shutdown the service.
        serviceHost.Close();
    }
}

Public Shared Sub Main()
    ' Get base address from appsettings in configuration.
    Dim baseAddress As New Uri(ConfigurationManager.AppSettings("baseAddress"))

    ' Create a ServiceHost for the CalculatorService type 
    ' and provide the base address.
    Dim serviceHost As New ServiceHost(GetType(CalculatorService), baseAddress)
    Try
        ' Create a new auditing behavior and set the log location.
        Dim newAudit As New ServiceSecurityAuditBehavior()
        newAudit.AuditLogLocation = AuditLogLocation.Application
        newAudit.MessageAuthenticationAuditLevel = _
            AuditLevel.SuccessOrFailure
        newAudit.ServiceAuthorizationAuditLevel = _
            AuditLevel.SuccessOrFailure
        newAudit.SuppressAuditFailure = False
        ' Remove the old behavior and add the new.
        serviceHost.Description.Behaviors.Remove(Of ServiceSecurityAuditBehavior)
        serviceHost.Description.Behaviors.Add(newAudit)
        ' Open the ServiceHostBase to create listeners 
        ' and start listening for messages.
        serviceHost.Open()

        ' The service can now be accessed.
        Console.WriteLine("The service is ready.")
        Console.WriteLine("Press <ENTER> to terminate service.")
        Console.WriteLine()
        Console.ReadLine()

        ' Close the ServiceHostBase to shutdown the service.
        serviceHost.Close()
    Finally
    End Try

End Sub

Sécurité du .NET Framework

Affecter à la propriété SuppressAuditFailure la valeur true supprime toute impossibilité de générer des audits de sécurité (si la propriété a la valeur false, une exception est levée). Toutefois, si vous activez la propriété Windows Paramètre de sécurité locale suivante, tout échec de génération d’événements d’audit provoque l’arrêt immédiat de Windows :

Audit : arrêter immédiatement le système s’il n’est pas possible de se connecter aux audits de sécurité

Pour définir la propriété, ouvrez la boîte de dialogue Paramètres de sécurité locaux. Sous Paramètres de sécurité, cliquez sur Stratégies locales. Puis, cliquez sur Options de sécurité.

Si la propriété AuditLogLocation a la valeur Security et que le paramètre Auditer l’accès aux objets n’est pas défini dans la Stratégie de sécurité locale, les événements d’audit ne seront pas écrits dans le journal de sécurité. Notez qu'aucun échec n'est retourné, mais que les entrées d'audit ne sont pas écrites dans le journal de sécurité.

Comment : auditer les événements de sécurité relatifs à Windows Communication Foundation

Pour auditer des événements de sécurité dans le code

Pour installer l'audit dans la configuration

Exemple

Sécurité du .NET Framework

Voir aussi

Ressources supplémentaires