Détection sur les postes de travail : ce qu’on voit, ce qu’on rate

Le poste de travail est le point d’entrée le plus fréquent et le mieux instrumenté. C’est aussi l’endroit où l’on déploie le plus d’outils sans que la capacité de détection progresse réellement.

La différence ne se joue pas sur le produit. Elle se joue sur ce qu’on en fait.

Ce qu’une protection de poste voit bien

Les enchaînements de processus anormaux. Un logiciel bureautique qui lance un interpréteur de commandes, qui télécharge un fichier, qui l’exécute. Chaque étape prise isolément est banale ; la séquence ne l’est pas. C’est le signal le plus fiable du poste.

Les techniques de persistance. Modification des mécanismes de démarrage, création de tâches planifiées, installation de services. Un attaquant qui veut survivre à un redémarrage laisse forcément une trace.

L’accès aux secrets en mémoire. Les tentatives de récupération d’identifiants sur une machine sont détectables et constituent l’un des marqueurs les plus nets d’une phase d’élévation de privilèges.

Les mouvements latéraux. Une machine bureautique qui ouvre soudainement des sessions vers dix autres postes est une anomalie forte, surtout si son utilisateur n’a jamais fait cela.

Les comportements de chiffrement massif. Détection tardive dans la chronologie d’une attaque, mais qui peut encore limiter l’étendue.

Les angles morts

Ce qui n’est pas sur le poste. Un compte compromis utilisé depuis une machine extérieure pour accéder à un service hébergé ne produit aucun signal côté poste. C’est aujourd’hui un scénario majoritaire, et il se détecte ailleurs — dans les journaux d’authentification.

Les serveurs non couverts. Les déploiements couvrent souvent bien les postes bureautiques et mal les serveurs, pour des raisons de compatibilité applicative. Or c’est là que l’attaquant va.

Les équipements hors périmètre. Postes personnels, matériel de prestataires, équipements techniques, environnements industriels — voir leurs spécificités.

Les actions légitimes détournées. Un administrateur dont le compte est compromis effectue des actions autorisées. Sans référence comportementale, rien ne les distingue.

Les conditions sans lesquelles ça ne sert à rien

Une couverture connue

La question n’est pas « combien de postes sont couverts » mais « lesquels ne le sont pas, et pourquoi ». Un taux de 95 % annoncé masque souvent les 5 % les plus sensibles : serveurs anciens, machines de production, équipements dérogatoires.

Le croisement entre l’inventaire et la console de la solution est le premier livrable utile — et il révèle presque toujours des machines inconnues des deux côtés.

Un mandat d’isolement écrit

Détecter sans pouvoir agir ne change rien. Qui peut isoler un poste, à quelle heure, sans validation supplémentaire ? Sur un poste bureautique, la réponse devrait être « l’analyste, immédiatement ». Sur un serveur de production, c’est une décision d’entreprise — voir ce que la détection ne fait pas.

Sans ce mandat écrit à froid, chaque incident perd des heures en recherche du bon interlocuteur.

Quelqu’un qui regarde

Une solution en mode purement automatique bloque le connu et laisse passer le reste. La valeur ajoutée vient de l’analyse humaine des signaux faibles — ce qui suppose une équipe, interne ou externalisée, et des horaires définis.

Un dispositif qui n’est examiné que le lundi matin ne protège pas contre une attaque lancée le vendredi soir, ce qui est précisément le créneau retenu par les attaquants.

Une capacité de traiter la cause

Si chaque détection aboutit à un nettoyage sans que la cause soit corrigée — compte trop privilégié, macro autorisée, poste non durci —, le même incident revient. Voir l’analyse post-incident.

Le réglage : le vrai travail

Les premières semaines produisent un volume d’alertes ingérable, essentiellement des faux positifs liés à vos logiciels métier.

Deux écueils symétriques. Traiter ce volume à la main jusqu’à l’épuisement, ou créer des exclusions larges pour retrouver le calme — un dossier entier exclu de l’analyse devient un abri idéal.

La méthode qui fonctionne : exclusions étroites, documentées, datées, avec revue périodique. Et une mesure du taux de vrais positifs par règle, qui pilote le nettoyage — même logique que pour les alertes en général.

Ce qu’il faut journaliser au-delà de l’outil

La télémétrie de la solution ne remplace pas les journaux système. En cas d’investigation approfondie, on a besoin des traces d’authentification, des créations de processus, des connexions réseau et des modifications de configuration.

Ces sources doivent être centralisées hors du poste : un attaquant qui compromet la machine efface ce qui s’y trouve. C’est l’objet des mesures 8.15 et 8.16 d’ISO/IEC 27002:2022.

Le poste comme surface à réduire

La détection compense ce que le durcissement n’a pas évité. Les mesures qui réduisent le besoin de détecter :

• Retrait des droits d’administration locaux aux utilisateurs — mesure la plus efficace et la plus impopulaire.
• Restriction de l’exécution aux logiciels autorisés.
• Neutralisation des mécanismes d’automatisation bureautique non nécessaires.
• Filtrage des pièces jointes exécutables et des archives protégées.
• Application des référentiels de durcissement.

Une organisation qui déploie une détection avancée sur un parc où chaque utilisateur est administrateur de son poste finance un dispositif qui passera son temps à signaler l’inévitable.

Le volet juridique

Une solution de détection sur poste collecte des données d’activité de salariés identifiés : processus lancés, fichiers manipulés, connexions.

Cela suppose une information préalable, une inscription au registre, une durée de conservation définie et un accès restreint aux traces — voir l’article 32. Selon la granularité, la consultation des instances représentatives et une analyse d’impact peuvent être nécessaires.

Ce volet est presque toujours traité après coup, alors qu’il conditionne l’acceptabilité du déploiement.

Les six questions avant de déployer

1. Quels systèmes ne seront pas couverts, et pourquoi ?
2. Qui peut isoler quoi, à quelle heure, sans validation ?
3. Qui regarde les alertes, et sur quelle plage horaire ?
4. Qui corrige les causes une fois l’incident traité ?
5. Les journaux système sont-ils centralisés en complément de la télémétrie ?
6. Le traitement est-il déclaré, et les salariés informés ?

Sources

• ISO/IEC 27002:2022, mesures 8.7, 8.15, 8.16 et 8.19
• MITRE ATT&CK — techniques observables sur poste
• ANSSI — Guide d’hygiène informatique
• CNIL — encadrement des dispositifs de contrôle

Aller plus loin

L’exploitation quotidienne relève de notre infogérance SOC, et l’évaluation de votre couverture actuelle de l’audit 360.