Le travail d’un administrateur système est très difficile. Il y a de nombreuses tâches à effectuer, le besoin constant de mettre le système à jour au fur et à mesure des avancées technologiques et les longues heures nécessaires pour faire ce travail. Il faut manipuler des logiciels complexes et régler les demandes d’utilisateurs toujours plus exigeants. En plus de tout ce que l’administrateur système doit faire s’ajoute la liste de ce qu’il ne doit jamais faire.
Ce n’est pas que les administrateurs système font ces choses consciemment ; le fait est qu’il arrive à tout le monde de contourner les règles pour terminer une tâche. Par exemple, le directeur des ventes appelle parce qu’il lui faut l’accès à une liste de sites internet pour sa présentation qui se déroule dans trois minutes en salle de conférence et les sites en question affichent un accès bloqué. L’administrateur système n’a pas le temps de chercher pourquoi l’accès à ces sites est bloqué… il force dont l’ordinateur utilisé pour la présentation à outrepasser le blocage pour accéder à tous les sites désirés. Le directeur des ventes en est très content et la présentation se déroule sans encombre. Malheureusement, l’administrateur système se retrouve bientôt avec mille autres demandes de ce genre et oublie la manipulation qu’il a précédemment réalisée… En conséquence, l’ordinateur du directeur des ventes forcé reste ouvert à toutes les menaces et cyber-attaques présentes sur internet. Deux mois plus tard, quelqu’un télécharge un rançongiciel depuis un site frauduleux et toutes les données de la compagnie se retrouvent cryptées. Le chemin vers le désastre est pavé de bonnes intentions.
Nous avons donc établi une courte liste des choses que fait l’administrateur système, volontairement ou non, mais devrait éviter, car les conséquences pourraient être dramatiques.
1) Ne jamais créer d’exception pour le pare-feu et le filtre web
Cette règle comprend l’adresse IP de l’ordinateur désigné, souvent assignée par DHCP. Cela signifie que cette adresse IP peut être attribuée à un autre ordinateur le lendemain, lequel sera potentiellement utilisé par un employé qui ne devrait pas avoir une marge de manœuvre telle que celle configurée sur ce poste. Afin d’éviter le scénario exposé en introduction, créez une politique d’accès stricte exigeant de préciser combien de temps sera nécessaire à la requête. Vérifiez régulièrement la liste des exceptions pare-feu et filtre web et supprimez toutes celles qui n’ont plus lieu d’être.
2) Ignorer les paramètres sortants du pare-feu
Nous connaissons tous l’importance de la configuration des paramètres entrants du pare-feu, mais nous oublions fréquemment de vérifier les paramètres sortants, tout aussi importants. Parfois, les règles de la navigation externe sont ignorées parce que le processus de sécurisation vers l’extérieur est plus complexe que celui de la navigation vers l’intérieur, puisqu’il nous faut nous assurer que nos paramètres ne gênent pas le trafic autorisé ni les applications qui requièrent un accès internet. C’est une opération qui prend beaucoup de temps ; elle est cependant indispensable pour garantir la sécurité de votre entreprise, ainsi que celle de l’ensemble des utilisateurs. Si un ordinateur est piraté dans votre réseau, il peut servir aux cyber-pirates de point d’ancrage pour répandre logiciels malveillants, courriers indésirables et exfiltration de données importantes. Un soigneux filtrage des données sortantes peut vous protéger de ce cas de figure. Par exemple, vous devriez implémenter une règle selon laquelle les mails sortants et le trafic DNS sont autorisés uniquement sur les serveurs internes. Tout comme il vous faut être sûr qu’aucun port entrant n’est ouvert, vous devez décider qu’aucun port sortant ne le soit non plus.
3) Placer des ressources accessibles par internet sur le LAN interne
Tout pare-feu efficace opère sur plusieurs zones. Cela comprend les zones publiques (internet), le LAN interne (où naviguent les utilisateurs avec leurs ordinateurs, les services et les données) et une DMZ (une zone démilitarisée), qui sert à fournir aux serveurs et aux équipements technologiques un espace particulier devant être accessible depuis internet via serveurs mail, FTP et terminaux. La zone DMZ est par nature moins restrictive que le LAN interne, ce qui rend les ordinateurs qui y demeurent plus vulnérables. De nombreux problèmes peuvent survenir quand les ordinateurs opèrent sur le LAN interne ; il suffit qu’un seul d’entre eux soit corrompu pour que les cybercriminels exploitent la faille et créent le chaos dans l’entreprise. C’est là que réside la fonction de la DMZ : limiter la vulnérabilité d’un ordinateur sur le réseau. Cela suppose que le trafic entre la DMZ et le LAN soit sérieusement contrôlé et sécurisé. La DMZ a trop souvent un accès libre au LAN interne parce que personne n’a pris le temps de configurer la séparation.
4) Autoriser le trafic de zone DNS à tout serveur
De nombreuses entreprises permettent cela, par facilité ou par manque d’expérience. Si vous autorisez le transfert de zone à tout serveur, toutes les données enregistrées sont alors visibles par tout hôte capable de contacter votre serveur DNS ; cela inclue les serveurs DNS corrompus localisés dans votre réseau. Afin d’éviter cela, assurez-vous que les transferts de zone ne sont autorisés que pour les serveurs avec AD intégré, si vous utilisez un réseau Windows AD. Si ce n’est pas le cas, spécifiez les adresses IP autorisées sur tous les serveurs DNS et restreignez les transferts de zone à leur usage exclusif. L’opération prendra du temps, mais la sécurisation de vos zones DNS en vaut largement la peine.
5) Consulter vos emails ou naviguer sur internet en utilisant votre compte administrateur
Oui, nous le savons tous, et pourtant, c’est l’un des raccourcis que nous empruntons de temps en temps. Peut-être attendons-nous un email important pendant que nous configurons un nouveau serveur ou peut-être souhaitons-nous naviguer quelques minutes sur internet en attendant la fin d’une mise à jour lancée… Ne le faites pas, le risque est trop grand. Les comptes administrateurs sont les clefs du royaume que rêve de posséder chaque cyber-pirate. Le logiciel malveillant est installé sur le compte qui l’a téléchargé ; les comptes administrateurs agissent comme des stéroïdes pour malwares, leur accordant un accès total au réseau.
6) Héberger plus d’un AD sur un contrôleur de domaine
Un contrôleur de domaine est un ordinateur qui prend en charge Windows Active Directory ; il est donc indispensable qu’il soit soigneusement sécurisé. La première étape : une isolation totale. L’ordinateur hébergeant Active Directory doit ne servir qu’à cela, et rien d’autre. Se servir de cet ordinateur pour autre chose est une invitation à éprouver la loi de Murphy. En informatique, les éléments importants doivent être isolés. Si l’un d’eux se trouvait piraté, les autres resteraient en sécurité, au moins temporairement. D’autre part, si vous conserviez une sauvegarde sur ce même ordinateur, que feriez-vous de cette sauvegarde si elle était compromise à son tour ? Combien de temps pensez-vous qu’il faudrait au cybercriminel pour avoir mainmise sur vos données ? Pourquoi prendre ce risque ?
7) Ré-utiliser le même mot de passe
Cette règle semble simple et évidente. Cela dit, le bon sens n’est pas si répandu… Un administrateur système ne devrait jamais utiliser le même mot de passe sur plusieurs ordinateurs ou services. Si un cybercriminel le dérobe, il aura accès à toutes les données de l’entreprise.
8) Utiliser les identifiants d’administration pour se connecter sur un poste de travail
Dans ce cas précis, c’est comme si vous donniez votre mot de passe directement aux cybercriminels. Il existe en effet aujourd’hui de nombreuses façons pour eux d’obtenir vos identifiants et mots de passe en quelques secondes.
9) Déployer un réseau wifi libre d’accès
Il n’y a aucun besoin de réseau wifi libre en entreprise. Si vous avez besoin d’un compte invité en réseau, créez-en un avec mot de passe, que vous changerez régulièrement. Si vos invités se plaignent parce qu’il faut toujours demander le nouveau mot de passe, posez-vous la question suivante : ces gens viendront-ils se plaindre quand vous devrez gérer la remise en ordre du système après une cyber-attaque ? Une chose est certaine : en cas de problème, vous serez tenu pour responsable du désastre. Avec une solide technologie comme WebTitan Wifi, vous pourrez fournir une haute qualité internet sécurisée aux utilisateurs naviguant sur votre réseau. Vous pourrez bloquer les logiciels malveillants et surveiller l’utilisation faite d’internet dans toute l’entreprise.
La sécurité ne devrait être jamais sacrifiée sur l’autel de la facilité. La plupart des administrateurs système ne penseraient jamais à faire les choses listées ci-dessus volontairement ; il est clair qu’administrer un réseau est une tâche difficile. Chaque réseau est différent, aussi la configuration de la sécurité et la gestion de crise reste un domaine de compétence très spécialisé et apprécié. Et cela continuera jusqu’à ce que quelqu’un développe des réseaux et des ordinateurs capables de lire dans l’esprit des utilisateurs.