Prise en main à distance : outils et sécurité

La prise en main à distance (ou prise de contrôle à distance) permet à un technicien de voir l'écran d'un utilisateur et d'agir sur son poste sans se déplacer, à travers le réseau. C'est l'outil quotidien du support, mais c'est aussi une porte d'entrée que les attaquants cherchent à utiliser. Ce chapitre compare les outils (Assistance rapide, Bureau à distance, SSH, logiciels spécialisés), décrit une session menée dans les règles et les mesures de sécurité qui l'encadrent.

Assister ou administrer : deux usages différents

Les outils

Mener une session d'assistance dans les règles

Voici le déroulé d'une session d'Assistance rapide chez Cèdre Habitat, ticket 4127 (l'imprimante du chapitre 3).

1. Le ticket existe avant la session. La prise en main est une étape du traitement, notée dans le ticket.
2. C'est le support qui propose la session, dans le cadre du ticket, au téléphone : « Je peux prendre la main sur votre poste pour vérifier l'imprimante ? Vous verrez tout ce que je fais. »
3. L'utilisateur donne son accord et lance l'outil. Sarah lui dicte le code de sécurité, qui expire au bout de quelques minutes.
4. L'utilisateur autorise le partage, puis la demande de contrôle.
5. Sarah prévient avant chaque action : « Je vais ouvrir la file d'impression », « Je vais regarder le gestionnaire de périphériques ». Elle ne lit ni les courriels ni les documents ouverts ; elle demande à l'utilisatrice de fermer ce qui est confidentiel.
6. Elle n'enregistre aucun mot de passe et ne demande jamais à l'utilisatrice le sien. Avec l'Assistance rapide, les fenêtres de contrôle de compte d'utilisateur (UAC) s'ouvrent sur un bureau sécurisé que Sarah ne voit pas : elle ne peut pas y saisir son compte d'administration, et l'utilisatrice n'en a pas. Pour une action qui demande des droits élevés (redémarrer le spouleur, réinstaller un pilote), Sarah la lance depuis son poste avec son compte d'administration (Invoke-Command -ComputerName PC-SIE-047 { Restart-Service Spooler }, console de gestion de l'ordinateur), ou passe par un outil qui gère l'élévation, comme Remote Help ou l'outil de prise en main de l'organisation.
7. Elle met fin à la session dès que la vérification est faite, et le dit.
8. Elle note dans le ticket l'heure, l'outil, ce qui a été fait.

La sécurité de l'accès à distance

Les outils de prise en main donnent le contrôle complet d'une machine : ils intéressent donc les attaquants. Les mesures à connaître :

• Des accès temporaires, ouverts pour l'intervention et refermés après. Pour la télémaintenance d'un prestataire, la CNIL recommande d'ouvrir les accès à sa demande, pour une durée définie à l'avance, puis de les refermer ; elle déconseille de laisser un accès complet ou permanent.
• Des outils qui chiffrent les communications, à jour. La CNIL déconseille d'installer des applications de télémaintenance ayant des vulnérabilités connues, par exemple qui ne chiffrent pas les communications.
• Une authentification forte pour les techniciens : comptes nominatifs, double authentification, aucun compte partagé.
• Pas de service d'accès à distance exposé directement sur Internet : le Bureau à distance ou SSH s'utilisent derrière un VPN ou une passerelle d'administration (bastion). Le cours cybersécurité de l'infrastructure détaille ces architectures.
• Une liste d'outils autorisés : un seul outil de prise en main, choisi par la DSI. Un outil installé par un utilisateur ou un prestataire sans accord est un risque, et l'inventaire de GLPI aide à le repérer.
• Des traces : qui s'est connecté, sur quel poste, quand, pour quel ticket. La CNIL recommande d'enregistrer les interventions de maintenance dans une main courante.

Repérer une arnaque au faux support technique

Les escrocs se font passer pour le support (« le service informatique », « Microsoft ») et demandent à l'utilisateur d'installer un outil de prise en main ou de leur donner un code. Une fois connectés, ils volent des données, installent un logiciel malveillant ou réclament un paiement. Microsoft le rappelle dans sa documentation de l'Assistance rapide : n'autoriser une connexion que si c'est l'utilisateur qui a contacté lui-même le support.

Les règles à rappeler aux utilisateurs, et à appliquer toi-même :

Pour le support, cela implique une méthode d'identification stable : les utilisateurs doivent savoir que le support passe toujours par un ticket et par l'outil habituel. Un support qui appelle sans ticket et avec un outil différent à chaque fois entraîne ses utilisateurs à accepter n'importe quelle demande.

Exercices

Exercice 1 sur 4 Quel outil ? Réussi À revoir

Choisis l'outil le plus adapté et justifie.

1. Une gestionnaire ne trouve pas comment ajouter une signature à ses courriels ; elle est devant son poste.
2. Thomas doit redémarrer un service sur un serveur Debian du siège.
3. Lucas doit vérifier l'espace disque de 40 postes Windows sans déranger personne.
4. Sarah doit montrer à un utilisateur où se trouve un réglage, mais l'utilisateur veut garder la main sur sa souris.

Voir la réponseMasquer la réponse de l'exercice 1

1. Assistance rapide (ou l'outil de prise en main de l'organisation) : partage d'écran avec l'accord de l'utilisatrice, puis contrôle si elle l'accepte. Elle voit et apprend en même temps.
2. SSH, avec son compte nominatif et une clé, depuis le réseau d'administration.
3. PowerShell à distance (Invoke-Command sur la liste des postes) ou l'inventaire de GLPI qui remonte l'espace disque : aucune session à ouvrir.
4. Assistance rapide en partage d'écran sans demander le contrôle : Sarah voit l'écran et guide l'utilisateur, qui manipule lui-même. Certains outils permettent aussi d'annoter l'écran.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 L'écran qui se fige Réussi À revoir

Lucas a pris le contrôle du poste d'un gestionnaire avec l'Assistance rapide pour réinstaller le pilote d'un scanner. Il lance l'installation : son écran devient noir et ne répond plus. Le gestionnaire dit : « J'ai une fenêtre qui me demande un mot de passe administrateur. Vous voulez que j'essaie le mien ? »

1. Que se passe-t-il ?
2. Que répond Lucas au gestionnaire ?
3. Comment Lucas aurait-il dû s'y prendre ?

Voir la réponseMasquer la réponse de l'exercice 2

1. L'installation demande une élévation de droits : Windows affiche l'invite du contrôle de compte d'utilisateur (UAC) sur le bureau sécurisé, que l'Assistance rapide ne transmet pas au technicien. Lucas voit un écran figé ; seul l'utilisateur voit l'invite.
2. « Non, ne saisissez rien et cliquez sur Non : votre compte n'a pas ces droits, et vous n'avez pas à donner de mot de passe. Je vais faire l'installation autrement. » Il note l'incident dans le ticket.
3. Avec ses propres droits d'administration, sans passer par la session de l'utilisateur : déploiement du pilote depuis son poste (PowerShell à distance, console de gestion, outil de déploiement de logiciels de l'organisation), ou un outil de prise en main qui gère l'élévation (Remote Help, outil de l'organisation). L'Assistance rapide reste utile pour voir le symptôme et vérifier le résultat avec l'utilisateur.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Une session à corriger Réussi À revoir

Relève les erreurs de ce technicien et dis ce qu'il aurait dû faire.

« Je vois que l'ordinateur de Mme Leroy est allumé, je m'y connecte avec notre outil pour gagner du temps pendant qu'elle est en réunion. Je trouve son mot de passe de messagerie noté dans un fichier sur le bureau, je l'utilise pour tester la messagerie. Je laisse la session ouverte au cas où il faudrait revenir. Je n'ai rien noté, c'était rapide. »

Voir la réponseMasquer la réponse de l'exercice 3

• Connexion sans l'accord ni la présence de l'utilisatrice : il fallait la prévenir et convenir d'un moment, ou utiliser des outils qui n'ouvrent pas sa session.
• Utilisation du mot de passe d'un utilisateur : interdit. Il fallait tester avec un compte de test, ou avec l'utilisatrice présente. Le fichier contenant un mot de passe est par ailleurs un risque à signaler à l'utilisatrice (en lui conseillant un gestionnaire de mots de passe et un changement de mot de passe).
• Session laissée ouverte : un accès doit être fermé à la fin de l'intervention.
• Aucune trace : l'heure, l'outil et les actions doivent figurer dans le ticket.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Vrai appel ou arnaque ? Réussi À revoir

Un salarié de Cèdre Habitat reçoit un appel : « Bonjour, ici le service informatique. Votre poste envoie des virus, je dois intervenir tout de suite. Téléchargez ce logiciel et donnez-moi le code affiché. » Il n'a ouvert aucun ticket.

1. Quels indices doivent l'alerter ?
2. Que doit-il faire ?
3. Que fait le centre de services quand il apprend l'appel ?

Voir la réponseMasquer la réponse de l'exercice 4

1. L'appel n'est pas sollicité et ne cite aucun ticket ; il crée l'urgence et la peur ; il demande d'installer un logiciel inconnu et de donner un code.
2. Ne rien installer, ne donner aucun code, raccrocher, puis appeler le centre de services au numéro habituel pour signaler l'appel.
3. Il ouvre un ticket d'incident de sécurité, prévient la personne chargée de la sécurité, vérifie si d'autres salariés ont reçu l'appel, envoie un message d'alerte à tous les salariés et rappelle la règle : le support ne demande jamais d'installer un outil inconnu.

Tu avais trouvé ?

Oui, j'avais bonPas encore