Protection et sécurité des terminaux
Les terminaux (ordinateurs portables, ordinateurs de bureau, serveurs et, de plus en plus, les téléphones) sont le point de départ de la plupart des violations de sécurité. Il suffit qu’une personne clique sur un lien de hameçonnage, ouvre une pièce jointe infectée ou connecte un appareil personnel non géré aux ressources de l’entreprise pour qu’un attaquant prenne pied dans le système. Autrefois, la protection des terminaux se résumait à un antivirus et à un calendrier de correctifs. Aujourd’hui, elle doit aller bien au-delà : elle doit inclure une détection capable de repérer les comportements que l’antivirus ne détecte pas, ainsi qu’une capacité de réaction permettant d’isoler une machine compromise avant que l’incident ne prenne de l’ampleur.
La lacune que je constate le plus souvent n’est pas une absence totale d’outils de protection des terminaux, mais un manque de cohérence. Les ordinateurs portables d’entreprise bénéficient d’une protection correcte, mais l’appareil personnel d’un prestataire travaillant à distance ou un appareil mobile non géré accédant à la messagerie électronique n’en dispose d’aucune. Les attaquants se moquent de savoir quel appareil est officiellement « couvert » par votre politique de sécurité : ils s’attaquent à celui qui est le plus vulnérable.
Mon approche de cette question
Je commence par dresser l’inventaire de tout ce qui se connecte réellement à vos systèmes, ce qui donne souvent lieu à une liste plus longue et plus hétéroclite que prévu. À partir de là, j’examine les lacunes de couverture et m’oriente vers l’EDR (détection et réponse au niveau des terminaux), plutôt que de m’appuyer uniquement sur un antivirus basé sur les signatures, car la détection comportementale permet de repérer des menaces qu’une signature ne pourra jamais détecter. La gestion des correctifs est renforcée afin que les vulnérabilités connues ne restent pas exposées pendant des mois, et le chiffrement des appareils est imposé par défaut, et non plus sur option.
La phase de réponse est tout aussi importante que la détection. Si un terminal est signalé comme compromis, il faut disposer d’un processus rapide et clair pour l’isoler du réseau, mener une enquête et remédier au problème, et non pas d’un ticket qui reste en attente dans une file d’attente pendant que l’infection a le temps de se propager. Je mets en place ce processus parallèlement aux outils, car les outils seuls ne suffisent pas à tout bloquer.
À qui s'adresse ce document ?
Si votre protection des terminaux varie considérablement selon le propriétaire de l’ordinateur portable, si vous n’avez jamais déployé de solution EDR et que vous vous fiez uniquement à un antivirus, ou si les appareils distants et personnels accédant aux ressources de l’entreprise ne sont pas couverts par une politique cohérente, cela mérite d’être corrigé.
Contactez-moi et examinons ensemble ce qui protège réellement les appareils connectés à vos systèmes.