Durcissement du poste de travail : les mesures qui changent vraiment quelque chose

Le poste de travail reste le point d’entrée le plus fréquent. Le durcir réduit le besoin de détecter — et c’est un meilleur investissement que d’ajouter un outil de surveillance sur un parc ouvert.

Voici les mesures classées par rapport efficacité sur difficulté, telles que nous les observons en mission.

1. Retirer les droits d’administration locaux

C’est la mesure la plus efficace, et la plus impopulaire. Un utilisateur administrateur de son poste permet à tout code exécuté dans son contexte d’installer un service, de désactiver une protection, de modifier la configuration système.

Les objections sont toujours les mêmes, et elles ont des réponses.

« Les utilisateurs doivent installer des logiciels. » Un catalogue en libre-service couvre les besoins courants. Les cas restants passent par une demande, ce qui est aussi un moyen de savoir ce qui tourne sur le parc.

« Certaines applications métier l’exigent. » C’est parfois vrai, souvent hérité d’un mauvais paramétrage initial. Une élévation ciblée sur l’application concernée vaut mieux qu’un droit permanent.

« Les développeurs en ont besoin. » Argument recevable, qui se traite par un poste dédié ou un environnement isolé — pas par une dérogation sur le poste bureautique connecté à la messagerie.

Cette mesure s’articule directement avec le cloisonnement des comptes à privilèges : un administrateur qui consulte ses courriels avec son compte d’administration annule tout le dispositif.

2. Restreindre l’exécution de code

Le principe : seuls les programmes autorisés s’exécutent. C’est structurellement plus robuste que de chercher à reconnaître ce qui est malveillant.

La difficulté est le passage à l’échelle. La démarche qui aboutit ressemble à celle de la segmentation :

1. Observer ce qui s’exécute réellement, en mode journalisation, pendant plusieurs semaines.
2. Construire la liste à partir de l’observation, pas de la documentation.
3. Basculer en blocage par population, en commençant par les postes les plus standardisés.
4. Prévoir un circuit de dérogation rapide, faute de quoi les équipes contourneront.

Une règle simple donne déjà beaucoup : interdire l’exécution depuis les répertoires temporaires et les dossiers de téléchargement, où atterrit l’essentiel des charges initiales.

3. Neutraliser les vecteurs bureautiques

Les mécanismes d’automatisation des suites bureautiques restent un vecteur d’entrée majeur.

Les mesures utiles : blocage de l’exécution automatique pour les documents provenant d’Internet, restriction aux seules macros signées, et désactivation complète pour les populations qui n’en ont pas l’usage — c’est-à-dire la grande majorité.

Point de méthode : identifier les rares métiers qui en dépendent réellement avant de désactiver, et traiter leur cas séparément. Une désactivation générale sans étude bloque un service et provoque un retour arrière définitif.

4. Durcir le navigateur

Le navigateur est devenu le principal environnement d’exécution du poste. Trois mesures :

Encadrer les extensions. Une extension dispose souvent d’un accès au contenu de toutes les pages affichées — donc à vos applications métier. Une politique d’entreprise limitant les extensions à une liste autorisée traite un risque réel et sous-estimé, y compris celui des extensions d’assistance IA qui transmettent le contenu affiché à un tiers. Voir comment les données sortent.

Contrôler la synchronisation. Un navigateur connecté à un compte personnel synchronise mots de passe et historique hors du périmètre de l’entreprise.

Gérer les mises à jour de façon centralisée, avec un délai court.

5. Chiffrer les disques

Protège contre le vol et la perte, ainsi que contre la fuite lors de la réforme du matériel. Sans effet sur une machine allumée et compromise — voir ce que le chiffrement protège.

Le point à vérifier : où sont les clés de récupération, et qui y a accès.

6. Appliquer un référentiel de configuration

Plutôt que de décider mesure par mesure, s’appuyer sur un référentiel existant et documenter les écarts.

L’intérêt n’est pas seulement technique : un durcissement fondé sur un référentiel reconnu est directement défendable en audit, alors qu’une configuration maison demande de justifier chaque choix.

La contrepartie est qu’un référentiel appliqué sans discernement casse des usages. La bonne pratique consiste à partir du référentiel, à tester par vagues, et à tracer chaque dérogation avec sa justification — ce qui relève de la mesure 8.9 d’ISO/IEC 27002:2022 sur la gestion de la configuration.

Ce qui ne sert pas à grand-chose

Le renouvellement forcé des mots de passe sans compensation — voir ce qui a changé.

Le blocage des ports USB sans alternative. Produit du contournement par messagerie personnelle ou service de partage, c’est-à-dire un déplacement du risque hors de votre vue.

Les bannières d’avertissement à l’ouverture de session. Utiles juridiquement, sans effet sur la sécurité.

Le durcissement d’un parc dont l’inventaire est incomplet. On durcit ce qu’on connaît, et les machines inconnues restent ouvertes.

Mesurer l’application réelle

Un durcissement décidé n’est pas un durcissement appliqué. Trois indicateurs :

1. Le pourcentage de postes conformes au référentiel, mesuré et non déclaré.
2. Le nombre de dérogations actives, et leur ancienneté.
3. Le nombre d’utilisateurs disposant encore de droits d’administration locaux.

Le deuxième indicateur est le plus révélateur : les dérogations s’accumulent et ne sont jamais réexaminées, exactement comme les règles de filtrage.

La séquence recommandée

Sur un parc peu durci, l’ordre qui donne le plus de résultat pour le moins de friction :

1. Inventorier et mesurer l’existant.
2. Retirer les droits d’administration locaux, par vagues, en traitant les cas particuliers.
3. Neutraliser les mécanismes bureautiques inutiles.
4. Encadrer les extensions de navigateur.
5. Interdire l’exécution depuis les répertoires temporaires.
6. Appliquer progressivement un référentiel complet.

Les points 2 et 3 traitent la majorité des scénarios d’accès initial. Les suivants complètent.

Sources

• ISO/IEC 27002:2022, mesures 8.1, 8.7, 8.9 et 8.19
• ANSSI — Guide d’hygiène informatique
• MITRE ATT&CK — Execution

Aller plus loin

L’évaluation de votre niveau de durcissement fait partie de l’audit 360, et sa mise à l’épreuve de nos tests d’intrusion internes. Voir aussi la détection sur les postes, qui complète le durcissement sans le remplacer.