Moins de surface d’attaque pour plus de sécurité

Les configurations de sécurité par défaut réduisent considérablement l’exposition au risque cybernétique.

La sécurité doit être intégrée dans vos systèmes dès la première ligne d’installation. Attendre de réagir après une faille signifie que vous êtes déjà en retard. Le moyen le plus efficace de faire face aux cybermenaces est d’empêcher qu’elles n’atteignent vos systèmes. C’est ce qui se produit lorsque vos configurations par défaut sont conçues pour bloquer automatiquement les risques connus.

Il ne s’agit pas de ralentir les choses ou de créer davantage de règles. Il s’agit de s’assurer que vos systèmes ne sont pas vulnérables par défaut. Appliquez d’emblée des politiques fortes, des mots de passe sécurisés, bloquez l’accès aux logiciels non vérifiés, durcissez les réseaux. Vous éliminez ainsi les surfaces d’attaque largement ouvertes que les acteurs de la menace adorent exploiter. En retour, vous bénéficiez d’un meilleur contrôle, de moins de bruit et de moins de lutte contre les incendies.

La plupart des entreprises pensent encore en termes de détection. C’est un raisonnement dépassé. La prévention est plus rapide, moins coûteuse et plus fiable. Lorsque des valeurs par défaut sécurisées sont déjà en place, l’erreur humaine est éliminée de l’équation. Vous ne comptez pas sur quelqu’un pour prendre une bonne décision en matière de sécurité sous la pression, il n’en a pas besoin. La décision a été prise lors de la configuration du système.

Les cadres industriels tels que le NIST, l’ISO, le CIS et l’HIPAA vont tous dans ce sens. Mais les cadres ne suffisent pas. L’exécution est primordiale. La sécurité par défaut devrait être votre base opérationnelle, et non une voie de mise à niveau. Conçue correctement, elle simplifie les opérations tout en réduisant fortement les risques.

L’authentification multi-facteurs obligatoire (MFA) réduit considérablement le risque de compromission des comptes à distance.

Si vos systèmes autorisent l’accès à distance sans authentification multi-facteurs (MFA)), ils sont fondamentalement ouverts. Peu importe la solidité de votre politique en matière de mots de passe, les mots de passe sont faciles à voler et à deviner. L’authentification multifactorielle ne joue aucun rôle à cet égard. Même si les informations d’identification sont compromises, l’accès est bloqué sans la deuxième couche.

Vous n’introduisez pas de frictions, vous éliminez les vulnérabilités. Les plateformes comme Office 365, G Suite, les bureaux d’enregistrement DNS, les outils de gestion SaaS, ont tous besoin d’une MFA appliquée à chaque compte. Pas certains d’entre eux. Chacun d’entre eux. En particulier l’accès administrateur. Et ne comptez pas sur les SMS. Ces messages peuvent être interceptés. Utilisez des applications d’authentification ou des jetons matériels qui ne peuvent pas être usurpés.

Les dirigeants doivent s’attendre à ce que cela devienne une exigence de base. Si le MFA n’est pas activé dans l’ensemble de l’organisation, les attaquants trouveront un moyen d’entrer. Et une fois qu’ils sont entrés, ils agissent rapidement. Il suffit d’une erreur pour que l’accès soit accordé, que les données soient prises et que les opérations soient perturbées. Il s’agit là d’un problème commercial, et pas seulement informatique.

Les entreprises de sécurité et les agences nationales de cybersécurité ont régulièrement indiqué que l’AMF mettait fin à la majorité des attaques basées sur les informations d’identification. Elle reste l’une des mesures les plus simples et les plus efficaces qui soient, à condition que vous la mettiez en œuvre avec discipline. Il ne s’agit pas d’une case à cocher de conformité ; c’est la sécurité minimale viable dont vous avez besoin dans un monde connecté.

Deny-by-default (application allowlisting) neutralise efficacement l’exécution des logiciels malveillants.

L’un des moyens les plus rapides de réduire les risques consiste à modifier l’attitude par défaut de vos systèmes à l’égard des logiciels. La plupart des systèmes partent encore du principe que tout est autorisé à moins d’être spécifiquement bloqué. C’est l’inverse. Vous voulez une liste d’autorisations, tout refuser par défaut et n’autoriser que ce à quoi vous faites explicitement confiance. Un concept simple. L’impact est énorme.

Les logiciels malveillants, les rançongiciels, les outils d’accès à distance non autorisés reposent tous sur le fait que votre système autorise l’exécution d’applications inconnues. Avec le système d’autorisation en place, ces applications ne s’exécutent tout simplement pas. Rien n’entre dans le système si vous ne l’avez pas déjà approuvé. Les menaces sont ainsi exclues automatiquement, sans qu’il soit nécessaire de recourir à l’analyse ou à la détection une fois que quelque chose a commencé à s’exécuter.

Les acteurs de la menace utilisent souvent des outils d’apparence légitime pour contourner vos défenses, des applications d’accès à distance comme AnyDesk, par exemple. Mettez en place des politiques de refus par défaut, et même ces outils ne pourront pas passer à travers les mailles du filet. Les utilisateurs obtiennent toujours ce dont ils ont besoin grâce à une liste d’outils approuvés, et votre visibilité sur les opérations augmente. Pas de surprises.

La mise en œuvre d’un système de listes d’autorisation à grande échelle nécessite une certaine planification, mais elle est rapidement rentable. Elle réduit votre surface d’attaque, empêche le lancement d’exécutables inconnus et impose une discipline dans la manière dont les nouvelles applications sont contrôlées. Du point de vue de la direction, il s’agit d’un changement de politique qui réduit les risques commerciaux tout en facilitant la surveillance et le contrôle des opérations informatiques.

Des ajustements de base de la configuration du système peuvent bloquer les vecteurs d’attaque à haut risque.

Certaines méthodes d’attaque continuent de fonctionner uniquement parce que les paramètres par défaut du système laissent la porte ouverte. Vous n’avez pas besoin de solutions complexes pour combler la plupart de ces lacunes, il vous suffit de procéder aux bons ajustements dès le début et de les appliquer de manière cohérente.

Les macros Office en sont un bon exemple. Elles sont encore utilisées pour lancer des ransomwares parce que la plupart des environnements les laissent activées. Les désactiver ne prend que quelques minutes et élimine une méthode d’attaque largement utilisée. Un autre exemple est SMBv1, un protocole ancien qui a joué un rôle majeur dans les attaques WannaCry. Aucun système moderne n’a plus vraiment besoin de SMBv1. En le désactivant, vous éliminez une vulnérabilité à haut risque.

Les petites choses comptent : activer les économiseurs d’écran protégés par mot de passe pour verrouiller les appareils pendant les pauses, désactiver l’enregistreur de frappe de Windows, qui n’a pas une grande fonction productive, mais qui peut être un handicap s’il est exploité. Toutes ces configurations ne demandent que peu d’efforts. Toutes très efficaces pour réduire l’exposition.

Il s’agit de gains rapides qui réduisent la charge de vos outils de sécurité et votre dépendance à la détection. Pour les dirigeants, il s’agit d’un pragmatisme opérationnel. Vous réduisez les risques sans ajouter de nouveaux logiciels, de frais généraux ou de complexité. C’est bon pour le temps de fonctionnement, bon pour la productivité et très bon pour éviter des cycles de réponse coûteux.

Le contrôle du comportement des applications et du réseau renforce les défenses globales de l’organisation.

Si vous pouvez contrôler le comportement des applications et l’accès aux réseaux, vous contrôlez la surface d’attaque. De nombreux dommages surviennent après l’entrée des attaquants, lorsqu’ils se déplacent latéralement, escaladent leurs privilèges ou déclenchent des commandes malveillantes à l’aide d’outils légitimes. Cette phase peut souvent être évitée.

Commencez par les droits d’administrateur local. Supprimez-les. La plupart des applications modernes n’en ont pas besoin et la plupart des utilisateurs finaux ne devraient pas avoir la possibilité de modifier les paramètres de sécurité ou d’installer des logiciels inconnus. Vous réduisez le risque interne et bloquez l’une des voies d’attaque les plus courantes.

Ensuite, fermez ce dont vous n’avez pas besoin. Désactivez les ports ouverts tels que SMB et RDP, à moins qu’il n’y ait une raison claire et sûre de les laisser ouverts. Limitez le trafic sortant : les serveurs ne doivent pas avoir un accès illimité à l’internet, à moins que cette exposition ne soit spécifiquement requise. L’attaque de SolarWinds a montré à quel point ce point est critique. Lorsque le trafic sortant n’est pas limité, les systèmes infectés peuvent envoyer des balises aux attaquants sans préavis.

Des outils tels que ThreatLocker Ringfencing™ vous donnent la possibilité d’imposer la façon dont les applications interagissent les unes avec les autres. Par exemple, vous pouvez empêcher Word d’appeler PowerShell. Ce comportement est technique, mais il est réel et il est utilisé dans les attaques. La prévention passe ici par le contrôle des modèles d’exécution, et pas seulement par l’analyse des signatures.

Les réseaux privés virtuels (VPN) sont un autre domaine dans lequel de nombreuses entreprises s’exposent encore. Si vous avez besoin d’un VPN, limitez-le par IP et attribuez des champs d’accès clairs. Ne le laissez pas servir de porte dérobée universelle. Les dirigeants devraient considérer cela comme un contrôle d’accès à plusieurs niveaux, en maintenant les systèmes fonctionnels, mais en s’assurant que l’accès est toujours intentionnel et responsable.

Le renforcement des contrôles d’accès aux données et aux sites web réduit la propagation des logiciels malveillants et les violations de données.

Les attaquants ne cherchent pas toujours des serveurs. Parfois, ils passent par des vecteurs simples et négligés, des clés USB, des applications non approuvées, des accès aux fichiers mal surveillés. Ces méthodes fonctionnent lorsque les contrôles de base ne sont pas en place. Il faut que cela change.

Tout d’abord, bloquez les lecteurs USB par défaut. Les logiciels malveillants peuvent se propager par le biais de dispositifs non gérés branchés sur les points d’extrémité. S’il existe une raison professionnelle d’autoriser les clés USB, utilisez du matériel crypté, surveillé et fourni par l’entreprise. Il n’y a pas d’exception.

Deuxièmement, ne laissez pas les applications lire ou écrire sur des systèmes où elles n’ont pas leur place. Les applications ne doivent accéder qu’aux fichiers dont elles ont besoin pour fonctionner. En restreignant leurs limites d’accès, vous les empêchez d’être utilisées à mauvais escient, que ce soit en interne ou à la suite d’une compromission.

Contrôlez également quels outils SaaS et quelles apps cloud sont autorisés dans votre environnement. L’informatique fantôme peut introduire des risques que vous n’aviez pas prévus. Mettez en place un système permettant aux employés de demander une approbation, mais ne rendez pas l’accès automatique. Ce que vous ne savez pas est souvent ce qui cause le plus de dégâts.

Enfin, surveillez l’activité des fichiers, sur les appareils et dans l’infrastructure cloud. Qui ouvre quoi, quand et d’où ? Ce type de visibilité vous permet de détecter les abus à un stade précoce, avant qu’un incident ne se transforme en un problème plus grave.

Du point de vue de l’entreprise, il s’agit de mesures de protection qui ne ralentissent pas les choses, mais qui réduisent considérablement le risque de violation ou de perte de données. Vous n’ajoutez pas d’étapes, vous coupez les voies d’accès sur lesquelles s’appuient les attaquants. Ce faisant, vous créez un environnement numérique plus prévisible et plus responsable.

La maintenance et la surveillance continues sont des compléments essentiels aux paramètres par défaut sécurisés.

Des paramètres par défaut solides sont essentiels, mais ils ne font qu’une partie du travail. Les menaces évoluent constamment. Les attaquants n’attendent pas vos cycles de révision trimestriels. Si vous ne maintenez pas et ne surveillez pas votre environnement en permanence, vous finirez par prendre du retard, même si votre configuration initiale était solide.

Commencez par appliquer régulièrement des correctifs. Cela semble élémentaire, mais de nombreuses attaques réussies s’appuient encore sur des vulnérabilités connues, dont certaines ont été corrigées il y a des mois, voire des années. Mettez à jour tous les systèmes, les applications tierces et les outils portables. Ne faites pas d’exception pour les systèmes existants, à moins qu’ils ne soient totalement isolés dans votre environnement.

La détection automatisée est l’élément suivant. Des outils tels que Endpoint Detection and Response (EDR) vous permettent de détecter en temps réel les activités que les paramètres par défaut ne peuvent pas empêcher. Mais l’EDR ne suffit pas. Si personne ne surveille activement les alertes, ne réagit rapidement ou ne fait remonter les anomalies, vous vous en remettez à la chance. Ce n’est pas une stratégie.

C’est là que les services de détection et de réponse gérés (MDR) entrent en jeu. Ils assurent la surveillance 24 heures sur 24, 7 jours sur 7, trient les menaces et prennent rapidement les premières mesures, même en dehors des heures de travail de votre équipe. C’est important. Lorsqu’une tentative de violation grave se produit à 3 heures du matin, la surveillance humaine fait la différence entre l’endiguement et la compromission totale.

La technologie n’est pas statique, et vos risques non plus. Les cadres dirigeants doivent considérer la surveillance et la maintenance comme des fonctions opérationnelles essentielles, et non comme des projets secondaires. Il s’agit d’investissements directs dans la résilience de l’entreprise. La sécurisation de l’infrastructure est la première étape. Le maintien de la sécurité est une boucle continue, gérée de manière rigoureuse et visible, et dotée de ressources appropriées.

Le bilan

La sécurité n’a pas besoin d’être compliquée pour être efficace. La plupart des brèches ne se produisent pas à cause de menaces inconnues, mais parce que les éléments de base n’étaient pas en place. Des paramètres mal configurés, des ports exposés, des applications sans restriction ou des logiciels obsolètes. La résolution de ces problèmes n’est pas complexe. C’est une question d’exécution. La discipline.

Pour les dirigeants, la priorité est la clarté, le fait de savoir que votre environnement est verrouillé par défaut et qu’il n’est pas laissé ouvert en attendant que des alertes détectent quelque chose. La sécurité par défaut n’est pas une préférence technique. C’est une stratégie opérationnelle. Vous prenez moins de décisions sous pression parce que vos systèmes sont déjà conçus pour ne pas tomber en panne.

Cette approche protège bien plus que l’infrastructure. Elle instaure la confiance, avec les clients, les régulateurs, les investisseurs et vos propres équipes. Et dans un contexte où le risque numérique est un risque commercial, cette confiance devient un véritable atout.

Les entreprises les plus performantes ne chassent pas les menaces, elles les ont déjà bloquées. C’est à cela que ressemble le leadership en matière de sécurité. Vous n’attendez pas. Vous configurez des bases intelligentes et sûres dès le départ, et vous gardez une longueur d’avance.