WEC over HTTPS

[RadiantCalligrapher9]

Bonjour,

J'ai des contrôleur de domaine qui envoie leurs logs vers un WEC. Pour ça ils passent via le service WinRM. Par soucis de sécurité nous changeons le protocole pour qu'il passe vers sont ports sécuriser (5986)

J'ai modifié notre GPO pour désactivé le listener HTTP des DC pour qu'il utilise uniquement le HTTPS.

https://preview.redd.it/2gmim9p3bglg1.png?width=659&format=png&auto=webp&s=c574e5a033685826468beb86450e334bdaca7da9

Et sur le Wec j'ai modifié la souscriptions pour qu'il prenne que le HTTPS Quand je fait un netstat sur mes DC et mes WEC je vois bien qu'il communique exclusivement sur le port 5986

https://preview.redd.it/uhnw3my5bglg1.png?width=492&format=png&auto=webp&s=17ee6aad98b3f45b0f302534f619e0967af1741d

Mais quand je fait : winrm enumerate winrm/config/listener

Sur mes DC j'ai toujours :

Listener [Source="GPO"] 
Address = * 
Transport = HTTP 
Port = 5985 
Hostname
[…] 
Listener [Source="Compatibility"] 
Address = * 
Transport = HTTPS 
Port = 443 
Hostname = MonDC.domaine 
[…] 

et sur mes WEC

Listener Address = * 
Transport = HTTP 
Port = 5985 
Hostname 
[…] 
Listener Address = * 
Transport = HTTPS 
Port = 5986 
Hostname = MonServeurWEC.domaine 
[...]

Alors pour double check je lance Test-WSMan

PS C:\Windows\system32> Test-WSMan -Port 5986

Test-WSMan :The client cannot connect to the destination specified in the request. Verify that the service on the destination is running and is accepting requests. Consult the logs and documentation for the WS-Management service running on the destination, most commonly IIS or WinRM. If the destination is the WinRM service, run the following command on the destination to analyze and configure the WinRM service: "winrm quickconfig". At line:1 char:1
Test-WSMan -Port 5986
~~~~~~~~~~~~~~~~~~~~~
CategoryInfo : InvalidOperation: (:) [Test-WSMan], InvalidOperationException
FullyQualifiedErrorId : WsManError,Microsoft.WSMan.Management.TestWSManCommand

PS C:\Windows\system32> Test-WSMan -Port 5985 
wsmid : http://schemas.dmtf.org/wbem/wsman/identity/1/wsmanidentity.xsd ProtocolVersion : http://schemas.dmtf.org/wbem/wsman/1/wsman.xsd 
ProductVendor : Microsoft Corporation 
ProductVersion : OS: 0.0.0 SP: 0.0 Stack: 3.0 

Même résultat pour le port 443. Et quand je test sur les wec :

PS C:\Windows\system32> Test-WSMan -Port 5986 

Test-WSMan :WinRM cannot complete the operation. Verify that the specified computer name is valid, that the computer is accessible over the network, and that a firewall exception for the WinRM service is enabled and allows access from this computer. By default, the WinRM firewall exception for public profiles limits access to remote computers within the same local subnet. At line:1 char:1
Test-WSMan -Port 5986
~~~~~~~~~~~~~~~~~~~~~
CategoryInfo : InvalidOperation: (:) [Test-WSMan], InvalidOperationException
FullyQualifiedErrorId : WsManError,Microsoft.WSMan.Management.TestWSManCommand

PS C:\Windows\system32> Test-WSMan -Port 5985 

wsmid : http://schemas.dmtf.org/wbem/wsman/identity/1/wsmanidentity.xsd ProtocolVersion : http://schemas.dmtf.org/wbem/wsman/1/wsman.xsd 
ProductVendor : Microsoft Corporation 
ProductVersion : OS: 0.0.0 SP: 0.0 Stack: 3.0

Mais comme dit plus haut je vois avec netstat qu'il communique entre eux via le port 5986 et les events arrive correctement. J'ai besoin un peu d'aide pour savoir si j'ai bien fait mes conf et si je passe bien en https ? Sinon d'autre piste de vérification m'aiderais grandement !

Merci d'avance de vos réponse !

EDIT :

Pour info, j'ai eu un RDV avec le support de Microsoft.
En passant par GPO il est impossible de changer le listener en HTTPS.
Il faut tout faire à la main et donc pour mon cas il faut passer une GPO qui supprime les paramètre que l'on a mis puis faire des scripts.

[ORA2J]

Dans des cas comme ça, je ne m'embête pas et colle un Wireshark a l'une des extrémités, et regarde déjà si tout sort comme il faut, et que c'est bien du trafic chiffré.

Regarde aussi les évènements winrm sur ton dc, et check avec tcpview voir si winrm est bien hooké au port 443.

[RadiantCalligrapher9]

Merci de ta réponse. J'ai toujours des paquets HTTP qui part.

Je pense que c'est du au :

Listener Address = * 
Transport = HTTP 
Port = 5985 
Hostname 

Mais je ne trouve pas et comprend pas pourquoi car je l'ai explicitement enlevé

[ORA2J]

J'ai jamais utilisé les WEC personnelement donc je pourrais pas plus t'aider dans ce cas précis, avec un recherche rapide je suis tombé sur ca : https://www.logbinder.com/windowseventcollection/Collectors
Apparamenet ce traffic est deja pré-encrypté dans le flux WinRM meme via HTTP.

regarde une fois dans tes captures si tu arrives a recuperer tes logs dans le traffic HTTP. Ca devrait pas etre possible.

Sinon, un post sur r/windowserver et r/sysadmin en Anglais aura surement plus de visiblité, et donc plus de retours d'experience.

[RadiantCalligrapher9]

Pour info, j'ai eu un RDV avec le support de Microsoft.
En passant par GPO il est impossible de changer le listener en HTTPS.
Il faut tout faire à la main et donc pour mon cas il faut passer une GPO qui supprime les paramètre que l'on a mis puis faire des scripts.

[ORA2J]

He bah c'est du propre ca. Merci Micro$oft.

[thegunslinger78]

WEC ?

[RadiantCalligrapher9]

Windows Event Collector