Sécuriser un poste de travail

Sécuriser un poste de travail, on dit aussi le durcir, c'est réduire ce qu'un attaquant peut faire contre lui : rendre les données illisibles si le poste est perdu ou volé, bloquer les logiciels malveillants, limiter les dégâts d'un compte compromis et détecter une attaque en cours. Aucune mesure ne suffit seule : on les empile, pour qu'une attaque qui franchit une barrière bute sur la suivante. C'est la défense en profondeur. Ce chapitre passe en revue les mesures d'un poste Windows 11 ou Linux : chiffrement du disque, antivirus et EDR, pare-feu local, démarrage sécurisé, comptes, contrôle des applications, et termine par une check-list d'audit.

Les menaces et les mesures

Chiffrer le disque

Le chiffrement du disque rend son contenu illisible sans la clé : un voleur qui sort le SSD et le branche sur une autre machine ne voit que des données aléatoires. C'est la seule protection efficace contre la perte et le vol, la menace la plus fréquente pour un portable.

BitLocker chiffre les volumes de Windows (éditions Professionnel, Entreprise, Éducation) en AES. Il déverrouille le disque au démarrage grâce à un ou plusieurs protecteurs :

Un portable volé en veille, session verrouillée, a déjà son disque déverrouillé : le code PIN ne joue pas. Pour les déplacements, préfère l'arrêt ou la veille prolongée.

La clé de récupération est le point critique. Si elle est perdue et que le TPM refuse de déverrouiller (carte mère changée, micrologiciel mis à jour sans suspendre BitLocker), les données sont perdues pour toujours. En entreprise, la stratégie de groupe ou Intune impose de sauvegarder la clé dans Active Directory ou Entra ID avant d'activer le chiffrement. Sur un poste personnel, elle est sauvegardée dans le compte Microsoft de l'utilisateur.

# État du chiffrement de tous les volumes
manage-bde -status

# Détail du volume système : état, pourcentage chiffré, protecteurs
Get-BitLockerVolume -MountPoint "C:" | Select-Object VolumeStatus, EncryptionPercentage, KeyProtector

# Activer BitLocker : d'abord un mot de passe de récupération, puis le chiffrement avec le TPM
Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

L'option -UsedSpaceOnly ne chiffre que l'espace occupé : c'est beaucoup plus rapide sur un poste neuf, dont l'espace libre n'a jamais contenu de données. Sur un disque qui a déjà servi, chiffre tout le disque, car l'espace « libre » contient encore d'anciens fichiers.

Sur l'édition Famille, Windows 11 propose le chiffrement de l'appareil, une version simplifiée de BitLocker. Depuis la version 24H2, il s'active automatiquement lors d'une installation propre sur les PC compatibles, en Famille comme en Professionnel, dès qu'on se connecte avec un compte Microsoft ou un compte professionnel, et la clé de récupération est sauvegardée dans le compte Microsoft. Pense à vérifier sa présence avant de toucher au micrologiciel d'un PC personnel. BitLocker To Go chiffre les clés USB et les disques externes.

Sous Linux, le chiffrement se fait avec LUKS (Linux Unified Key Setup), le plus souvent à l'installation (chapitre 5). La phrase de passe est demandée à chaque démarrage, sauf si on enregistre la clé dans le TPM :

lsblk -f                                    # la partition chiffrée apparaît en « crypto_LUKS »
sudo cryptsetup luksDump /dev/nvme0n1p3     # version de LUKS, algorithme, emplacements de clés
sudo systemd-cryptenroll --tpm2-device=auto /dev/nvme0n1p3   # déverrouillage par le TPM

Sur macOS, c'est FileVault. Quel que soit le système, la règle ne change pas : un chiffrement sans clé de récupération sauvegardée est une bombe à retardement.

Antivirus, EDR et XDR

Un antivirus recherche des logiciels malveillants connus, par leur signature, et des comportements suspects. Un EDR (Endpoint Detection and Response, détection et réponse sur les terminaux) va plus loin : il enregistre en continu ce qui se passe sur le poste (processus lancés, fichiers modifiés, connexions réseau), détecte les enchaînements suspects même sans logiciel malveillant connu, et permet de réagir à distance.

Windows 11 intègre Microsoft Defender Antivirus, un antivirus complet et bien noté. Pour l'EDR, on ajoute un produit : Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne, ou des éditeurs français comme HarfangLab. Un XDR (Extended Detection and Response) étend l'EDR à d'autres sources (messagerie, identités, cloud, réseau) ; un service MDR (Managed Detection and Response) confie la surveillance à un prestataire, jour et nuit, ce qui convient aux petites structures sans équipe de sécurité.

# État de Microsoft Defender : protection en temps réel, date des signatures, protection contre les falsifications
Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled, AntivirusSignatureLastUpdated, IsTamperProtected

# Lancer une analyse rapide
Start-MpScan -ScanType QuickScan

La protection contre les falsifications (tamper protection) empêche un logiciel malveillant, même lancé avec des droits d'administration, de désactiver Defender : laisse-la active.

Le pare-feu local

Le pare-feu local filtre les connexions qui entrent sur le poste et qui en sortent. Il complète le pare-feu du réseau : il protège un portable branché sur le Wi-Fi d'un hôtel, et il empêche un poste compromis de se connecter facilement à ses voisins (le mouvement latéral).

Le Pare-feu Windows Defender a trois profils, choisis selon le réseau auquel le poste est connecté :

Par défaut, les connexions entrantes sont bloquées, sauf celles qu'une règle autorise, et les connexions sortantes sont autorisées. Les règles se gèrent dans la console wf.msc, par stratégie de groupe pour tout le parc, ou en PowerShell :

# Les trois profils sont-ils actifs ?
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction

# Autoriser le Bureau à distance uniquement depuis le VLAN d'administration
New-NetFirewallRule -DisplayName "RDP depuis le VLAN admin" -Direction Inbound -Protocol TCP `
    -LocalPort 3389 -RemoteAddress 10.10.30.0/24 -Action Allow -Profile Domain

Sous Ubuntu, ufw (Uncomplicated Firewall) est installé mais inactif par défaut :

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow from 10.10.30.0/24 to any port 22 proto tcp   # SSH depuis le VLAN d'administration seulement
sudo ufw enable
sudo ufw status numbered

Le cours Cybersécurité des infrastructures traite des pare-feu réseau, de la DMZ et du VPN.

Le démarrage, les comptes et l'authentification

• Le démarrage : Secure Boot actif, TPM actif, micrologiciel à jour, mot de passe administrateur sur le micrologiciel, démarrage sur USB désactivé ou protégé (chapitre 2).
• Les comptes : utilisateurs standard, comptes d'administration séparés, administrateur local géré par LAPS (chapitre 6).
• L'authentification : Windows Hello Entreprise remplace le mot de passe par un code PIN ou une donnée biométrique liés au TPM du poste ; même connu, le PIN ne sert à rien sur une autre machine. L'authentification multifacteur protège les accès aux services en ligne (messagerie, VPN).
• La protection des identifiants (Credential Guard) isole les secrets d'authentification de Windows dans une zone protégée par la virtualisation, pour qu'un logiciel malveillant ne puisse pas les extraire de la mémoire. Elle est activée par défaut sur les éditions Entreprise et Éducation récentes, sur le matériel compatible.
• Le verrouillage de session : automatique après quelques minutes d'inactivité, fixé par stratégie, et le réflexe Windows + L (ou Super + L sous Linux) quand on quitte son bureau.

Contrôler les applications et les périphériques

Un poste qui n'exécute que des logiciels approuvés résiste à la plupart des logiciels malveillants. Windows propose plusieurs niveaux :

• SmartScreen avertit avant d'ouvrir un fichier téléchargé peu connu ou un site d'hameçonnage.
• Les règles de réduction de la surface d'attaque (ASR) de Defender bloquent des comportements typiques des attaques : un document Office qui lance un programme, un script qui télécharge un exécutable, le vol de mots de passe dans la mémoire du processus lsass.
• Les macros Office provenant d'Internet sont bloquées par défaut depuis 2022 : ne réactive jamais ce blocage pour « faire marcher un fichier ».
• App Control for Business (anciennement WDAC) et AppLocker n'autorisent que les applications listées (par éditeur, par chemin, par empreinte). C'est la mesure la plus forte, à déployer progressivement, en mode audit d'abord.

Les ports USB sont une porte d'entrée : clé infectée, clé qui imite un clavier et tape des commandes, fuite de données. Une stratégie de groupe ou Intune peut interdire les supports de stockage amovibles, ou n'autoriser que les clés chiffrées de l'entreprise. L'exécution automatique (autorun) des supports amovibles est désactivée depuis longtemps dans Windows ; vérifie qu'aucune stratégie ne l'a réactivée.

Journaliser et suivre des référentiels

Un poste bien protégé doit aussi laisser des traces : ouvertures de session réussies et échouées (événements 4624 et 4625 du journal Sécurité), installations, modifications des groupes d'administration. Ces journaux sont envoyés vers un serveur central ou une solution de supervision de la sécurité, pour être conservés et analysés même si l'attaquant efface ceux du poste. Voir les chapitres Quoi journaliser et Lire et analyser des logs du cours Réponse à incident, et le cours Supervision.

Inutile d'inventer ta propre liste de réglages : des référentiels existent. L'ANSSI publie un guide d'hygiène informatique (42 mesures, résumées dans le chapitre Hygiène informatique du cours Cybersécurité, dont plusieurs concernent directement les postes de travail) et des recommandations de configuration des systèmes GNU/Linux ; Microsoft publie des lignes de base de sécurité (security baselines) pour Windows 11, applicables par stratégie de groupe ou Intune ; le CIS publie des guides détaillés pour chaque système. Citer un référentiel dans un compte rendu montre que tes choix ne sont pas arbitraires.

La check-list d'audit d'un poste

Sur un poste d'entreprise, certains réglages sont verrouillés par l'administrateur : noter « réglé par stratégie » est une réponse juste dans un audit. Pour chaque écart, l'audit propose une action et une priorité.

Exercices

New-NetFirewallRule -DisplayName "SSH depuis le VLAN admin" -Direction Inbound -Protocol TCP `
    -LocalPort 22 -RemoteAddress 10.10.30.0/24 -Action Allow -Profile Domain

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow from 10.10.30.0/24 to any port 22 proto tcp
sudo ufw enable