Article · Sécurité des terminaux
Comment fonctionne la sécurité des terminaux, de l’antivirus à la détection et à la réponse
Les ordinateurs portables, les postes de travail et les serveurs sont l’endroit où aboutissent la plupart des attaques. Comprendre ce que font les logiciels de sécurité des terminaux, ce qu’ils enregistrent et où s’arrête leur action vous aide à acheter la bonne protection et à garder des attentes réalistes.
- Publié le
- Lecture de 7 min
Sur cette page
À retenir
- L’antivirus traditionnel bloque les fichiers malveillants connus ; l’antivirus de nouvelle génération y ajoute l’analyse du comportement et des vérifications dans le nuage.
- La détection et réponse sur les terminaux (EDR) enregistre l’activité détaillée de chaque appareil afin que les comportements suspects puissent être détectés, analysés et contenus.
- L’isolement permet à un intervenant de couper un appareil compromis du réseau tout en le gardant accessible pour l’enquête.
- Les correctifs, le chiffrement, le retrait des droits d’administration et la réduction de la surface d’attaque préviennent bien des incidents avant même que la détection soit nécessaire.
- L’EDR ne vaut que par sa couverture et par les personnes qui examinent ses alertes ; les appareils non gérés et les identités infonuagiques volées échappent à son regard.
Ce qu’est un terminal, et pourquoi c’est important
Un terminal est tout appareil qui se connecte à votre réseau ou à vos services infonuagiques et qui exécute des logiciels pour le compte d’un utilisateur ou d’un processus d’affaires : ordinateurs portables Windows et macOS, postes de travail, serveurs et, de plus en plus, cellulaires et tablettes. C’est sur les terminaux que les gens ouvrent des pièces jointes, lancent des programmes d’installation, tapent leurs mots de passe et enregistrent leurs fichiers ; c’est donc là que les rançongiciels chiffrent les données et que les attaquants prennent pied.
La sécurité des terminaux n’est pas un produit unique. C’est un ensemble de mesures superposées qui visent à empêcher l’exécution de code malveillant, à le détecter quand la prévention échoue et à donner à quelqu’un les outils pour réagir rapidement. Savoir quelle couche fait quoi vous aide à repérer les lacunes.
Antivirus, antivirus de nouvelle génération et EDR
Le marketing emploie souvent ces termes de façon interchangeable. Ils désignent pourtant des capacités différentes.
Antivirus par signatures
Compare les fichiers à une base de données d’empreintes de logiciels malveillants connus. Il est rapide et fiable contre les menaces connues, mais les logiciels malveillants nouveaux ou modifiés, ainsi que les attaques qui utilisent des outils légitimes, peuvent passer entre les mailles du filet.
Antivirus de nouvelle génération
Ajoute des modèles d’apprentissage automatique, la surveillance du comportement, la protection contre les exploits et des vérifications de réputation en temps réel dans le nuage. Il peut bloquer des fichiers et des actions suspects qu’il n’a jamais vus. L’Antivirus Microsoft Defender, intégré à Windows, fonctionne ainsi lorsque la protection fournie par le nuage est activée.
Détection et réponse sur les terminaux
Enregistre en continu ce qui se passe sur l’appareil et envoie cette télémétrie à une console infonuagique, où une logique de détection cherche les comportements d’attaquants. Elle soutient l’enquête et les mesures d’intervention. Microsoft Defender pour entreprises et Defender for Endpoint comprennent des capacités d’EDR.
Détection et réponse étendues
La XDR met en corrélation les signaux des terminaux avec ceux de l’identité, du courriel et des applications infonuagiques, de sorte qu’une attaque qui commence par un courriel d’hameçonnage et se termine sur un ordinateur portable puisse être vue comme un seul incident.
Ce qu’enregistre la télémétrie EDR
Un agent EDR observe les événements au niveau du système d’exploitation : création de processus et lignes de commande utilisées, liens entre processus parents et enfants, création et modification de fichiers, changements au registre, connexions réseau, exécution de scripts, chargement de pilotes, ouvertures de session et techniques en mémoire associées au vol d’identifiants. Pris un à un, ces événements sont banals. Ensemble, ils forment une chronologie.
La logique de détection cherche des schémas plutôt que des fichiers. Un traitement de texte qui lance PowerShell pour télécharger du contenu sur Internet, un utilitaire de sauvegarde arrêté et des clichés instantanés supprimés, ou un outil qui lit la mémoire contenant des identifiants : tout cela est suspect, qu’un fichier malveillant connu soit présent ou non. C’est ainsi que l’EDR repère les attaquants qui se servent des outils d’administration intégrés, une technique souvent appelée « living off the land ».
La télémétrie est aussi précieuse après coup. Lorsqu’une alerte se déclenche, un intervenant peut remonter l’arborescence des processus jusqu’à la pièce jointe ou au téléchargement à l’origine du problème, voir quels autres appareils ont communiqué avec la même adresse et déterminer l’étendue de l’incident.
Ce qui se passe lorsqu’une menace est détectée
La détection n’est utile que si elle mène à une réponse rapide et proportionnée. Voici un déroulement type.
Alerte et triage
La plateforme émet une alerte accompagnée d’un niveau de gravité et de contexte. Une enquête automatisée peut s’exécuter, et une personne détermine si l’activité est malveillante, bénigne ou si elle exige plus d’information.
Confinement
Si l’activité est malveillante, l’intervenant peut arrêter le processus, mettre le fichier en quarantaine ou isoler l’appareil. L’isolement bloque le trafic réseau, sauf la connexion à la console de sécurité, ce qui stoppe la propagation tout en gardant l’appareil disponible pour l’enquête.
Évaluation de l’étendue
L’intervenant examine la chronologie, cherche les mêmes indicateurs sur d’autres appareils et passe en revue les connexions des identités au cas où des identifiants auraient été capturés.
Correction
Supprimez les mécanismes de persistance, réinitialisez les identifiants touchés et révoquez les sessions, corrigez la faille exploitée et réinstallez l’appareil si la confiance ne peut pas être rétablie.
Leçons à tirer
Consignez ce qui s’est passé, ajustez les détections et les exclusions, et comblez la lacune, qu’il s’agisse d’un correctif manquant, d’un droit d’administration superflu ou d’un besoin de formation des utilisateurs.
Les couches de prévention qui réduisent le recours à la détection
Les outils de détection et de réponse donnent leurs meilleurs résultats sur des appareils déjà renforcés. Ces mesures éliminent d’emblée de nombreux vecteurs d’attaque.
- Appliquez rapidement les correctifs aux systèmes d’exploitation, aux navigateurs et aux applications courantes, en priorisant les vulnérabilités que l’on sait activement exploitées.
- Retirez les droits d’administrateur local des comptes de tous les jours et utilisez une solution de gestion des mots de passe d’administrateur local comme Windows LAPS.
- Activez les règles de réduction de la surface d’attaque, par exemple pour empêcher les applications Office de créer des processus enfants, d’abord en mode audit, puis en mode blocage.
- Activez la protection contre les falsifications pour que ni les attaquants ni les utilisateurs bien intentionnés ne puissent désactiver l’agent de sécurité.
- Chiffrez les disques avec BitLocker ou FileVault pour qu’un appareil perdu ou volé n’expose pas vos données.
- Utilisez le contrôle des applications, ou du moins bloquez les scripts non signés et l’usage abusif courant d’outils comme les logiciels d’accès à distance.
- Laissez le pare-feu de l’hôte activé et limitez l’accès à distance entrant, comme RDP, aux personnes et aux réseaux qui en ont besoin.
Les limites à prévoir
La sécurité des terminaux ne protège que les appareils sur lesquels l’agent est installé. Les ordinateurs personnels, les portables non gérés des sous-traitants, les équipements réseau, les imprimantes et de nombreux appareils IdO lui sont invisibles. L’inventaire des actifs et les vérifications lors de l’intégration font partie de la sécurité des terminaux ; ce n’est pas un sujet distinct.
Elle ne voit pas non plus tout ce qui se passe dans le nuage. Si un attaquant obtient par hameçonnage un mot de passe et un jeton de session, puis lit les courriels dans un navigateur sur sa propre machine, il peut n’y avoir aucune activité malveillante sur vos terminaux. Les protections de l’identité, l’accès conditionnel et la sécurité du courriel comblent cette lacune.
Les alertes exigent des personnes. Une console pleine d’alertes non examinées offre peu de protection, et des exclusions trop larges ajoutées pour faire taire les faux positifs peuvent créer des angles morts. Convenez de qui examine les alertes, pendant quelles heures, et de ce que ces personnes sont autorisées à faire, comme isoler un appareil sans attendre d’approbation.
Enfin, les attaquants déterminés tentent activement de désactiver les outils de sécurité, parfois au moyen de pilotes signés vulnérables. La protection contre les falsifications, l’application rapide des correctifs et la mise à jour de l’agent réduisent ce risque sans l’éliminer : c’est pourquoi les sauvegardes et un plan d’intervention en cas d’incident restent essentiels.
Choisir une protection pour une petite entreprise
Pour bien des organisations sous Microsoft 365, Defender pour entreprises, inclus dans Business Premium, fournit un antivirus de nouvelle génération et l’EDR, gérés depuis le même portail que le reste du locataire. Quel que soit le produit choisi, vérifiez qu’il couvre toutes les plateformes que vous utilisez, que la protection contre les falsifications est activée et que quelqu’un a la responsabilité d’examiner les alertes.
Questions fréquentes
L’antivirus intégré à Windows est-il suffisant ?
L’Antivirus Microsoft Defender est un antivirus de nouvelle génération efficace lorsque la protection infonuagique et la protection contre les falsifications sont activées. À lui seul, il n’offre pas les fonctions d’enquête et de réponse de l’EDR, qui viennent avec Defender pour entreprises, Defender for Endpoint ou un produit comparable.
L’EDR ralentit-il les ordinateurs ?
Les agents modernes sont conçus pour être légers, et la plupart des utilisateurs ne les remarquent pas en usage normal. Les problèmes viennent généralement de deux produits de sécurité qui entrent en conflit : retirez l’ancien antivirus lorsque vous déployez un nouvel agent.
Si nous avons l’EDR, avons-nous encore besoin de sauvegardes ?
Oui. L’EDR réduit la probabilité et les conséquences d’une attaque, mais il ne peut pas tout réparer. Une panne matérielle, une suppression accidentelle ou un rançongiciel qui réussit exigent toujours des sauvegardes protégées et testées.
L’isolement d’un appareil l’efface-t-il ?
Non. L’isolement bloque les communications réseau, sauf avec la plateforme de sécurité, et laisse les données et les preuves en place. L’appareil est sorti de l’isolement une fois analysé et nettoyé.
Services connexes
Produits et forfaits
Vérifiez le niveau de protection de vos appareils
Une évaluation de sécurité des terminaux examine la couverture de l’agent, la configuration, l’état des correctifs et les droits d’administration sur vos appareils, et vous remet une liste priorisée d’améliorations.