tis-audit-bitlocker

[VincentUCA]

Bonjour,
Je rencontre des erreurs avec la fonction d'audit de ce paquet.

Sur certains de nos postes, la fonction Powershell "(Get-BitLockerVolume).MountPoint" remonte des lecteurs bizarres du style : \\?\Volume{2d8e1378-6a0d-4197-49d0-fe4e2f18cd72}

Plus tard dans le code de ce paquet, une boucle for (for mountpoint in mountpoint_list:) permet d'ignorer ce genre de lecteur à l'aide d'une variable is_ignored.
Si la condition ? in mountpoint est respectée (if "?" in mountpoint:) alors la variable is_ignored passe à la valeur True et donc, le lecteur sera ignoré pour la suite de la fonction d'audit. Et c'est très bien.

Mon problème vient des autres conditions testées à la suite, dans cette même boucle. Car ce sont d'autres if et donc elles sont testées même si la première condition est vérifiée. Sauf que, par exemple, dans la deuxième condition, la fonction "Get-Volume -DriveLetter %s | Where-Object DriveType -EQ Removable" met le paquet en erreur. L'erreur retournée est "Get-Volume : Impossible de trouver un paramètre positionnel acceptant 2d8e1378-6a0d-4197-49d0-fe4e2f18cd72", etc...
On comprends que l'argument DriveLetter n'accepte pas le nom de volume exotique qui lui est donné. Ou peut-être que les symboles {} génèrent une erreur de syntaxe.

J'ai contourné ce problème en faisant commencer les conditions par : if not is_ignored and. Mais en rédigeant ce message je me rends compte que j'obtiendrai surement le même résultat en utilisant des elif.

Avec cette modification le paquet fonctionne un peu mieux. La remontée de la clé bitlocker dans l'AD et dans la console WAPT a lieu. Mais l'audit reste en erreur car par la suite une nouvelle erreur se produit. Cette fois avec la fonction Powershell Get-BitLockerVolume. (Get-BitLockerVolume : Impossible de trouver un paramètre positionnel acceptant l'argument ...)

Je n'ai pas encore identifié à quelle ligne du script d'audit cette nouvelle erreur pouvait se produire. Ni pourquoi, car la logique voudrait que désormais les noms de volumes étranges ne soient plus utilisés. Mais ça me semblait déjà intéressant de signaler les erreurs rencontrées dans cette première boucle for.

J'ajouterai à ce post la cause de cette nouvelle erreur si j'arrive à la trouver.

Bonne journée.
Vincent