Télétravail, nomadisme et sécurité¶
1. Objectif du cours¶
Comprendre les vulnérabilités spécifiques liées au télétravail, savoir appliquer des protections adaptées et reconnaître les signaux faibles d'une compromission pour réagir rapidement.
2. Notions et définitions essentielles¶
- Evil Twin : faux point d'accès Wi‑Fi créé par un attaquant pour intercepter le trafic.
- MDM (Mobile Device Management) : gestion centralisée des appareils permettant contrôle, sécurité et supervision des postes mobiles.
- Split tunneling / tunnel complet (VPN) : split = seuls flux pro transitent ; tunnel complet = tout le trafic passe par l'entreprise.
- Principe du moindre privilège : chaque utilisateur n'a que les droits strictement nécessaires à ses fonctions.
- Shadow IT : usage d'outils non validés par la DSI (cloud perso, messagerie perso, services grand public).
3. Fonctionnement et principes¶
- Attaques réseau : sur Wi‑Fi publics/compromis l'attaquant peut capturer trafic non chiffré, voler cookies/sessions, forcer une rétrogradation HTTPS (ex. SSLStrip) ou pousser vers un Evil Twin. Les attaques de dé‑authentification forcent la reconnexion vers un faux hotspot.
- Infrastructure domestique : box/routeurs avec identifiants par défaut ou firmware obsolète constituent des portes d'entrée (modification DNS, firmware compromis) pouvant même contourner un VPN mal configuré.
- Mix pro/perso : partage d'équipements et applications non contrôlées créent « angles morts » (malwares via applis perso, synchronisations cloud involontaires) qui peuvent compromettre les accès professionnels.
- Défense en profondeur : combinaison de protections techniques (antivirus pro, pare‑feu local, chiffrement disque, mises à jour auto, segmentation pro/perso, MDM) et d'un encadrement organisationnel (charte, principes d'accès, cloisonnement, monitoring).
- Détection : s'appuie sur signaux faibles (connexions hors horaires, géolocalisations incohérentes, sessions simultanées, téléchargements massifs, requêtes inhabituelles) corrélés via SIEM pour automatiser les alertes.
- Réponse : isolement immédiat du poste, rotation des mots de passe, activation/MFA, révocation de tokens, alerte DSI, investigation forensique et documentation horodatée pour le retour d'expérience.
4. Commandes et manipulations¶
Non abordé dans ce cours
5. Sécurité et bonnes pratiques¶
- Sécuriser la box domestique : changer le mot de passe administrateur par défaut, activer les mises à jour automatiques du firmware, segmenter le réseau domestique.
- Maintenir postes à jour : activer mises à jour automatiques OS et applications.
- Protections locales : antivirus professionnel avec protection temps réel, pare‑feu local activé, chiffrement disque (BitLocker/FileVault).
- Segmentation des usages : créer profils utilisateurs séparés pro/perso ; verrouillage automatique de session après 5 minutes d'inactivité.
- Authentification : activer MFA et utiliser clés FIDO/YubiKey lorsque possible.
- Encadrement : charte IT précisant outils autorisés, politique de moindre privilège, procédures d'escalade et formation des utilisateurs nomades.
- VPN : privilégier configuration rigoureuse (connaître les risques du split tunneling) ; envisager tunnel complet quand la sécurité prime sur la performance.
- Réaction à incident : isolement total et immédiat du poste (câble débranché, Wi‑Fi et VPN arrêtés), rotation des mots de passe, révocation des tokens et alerte immédiate de la DSI.
- Traçabilité : documenter horodatage, symptômes, actions et personnes contactées pour forensique et conformité.
6. Points essentiels à retenir pour le TSSR¶
- Les Wi‑Fi publics et les box domestiques vulnérables sont des vecteurs majeurs d'intrusion.
- Le mix pro/perso sans MDM crée des angles morts et amplifie le risque d'exfiltration.
- Le principe du moindre privilège et le cloisonnement des accès limitent la propagation d'une compromission.
- Vérifier et corréler signaux faibles (horaires, géolocalisation, volumes de téléchargement) permet une détection précoce.
- Isolement immédiat du poste compromis doit précéder toute autre action.
- La documentation précise de l'incident est indispensable pour l'investigation et le retour d'expérience.
- Une charte IT claire et la formation des télétravailleurs réduisent les comportements à risque.
- VPN mal configuré (split tunneling) peut laisser passer des injections malveillantes depuis le réseau local.
- Mises à jour automatiques (OS, firmware box, antivirus) sont critiques en télétravail.
- Solutions d'entreprise chiffrées et traçables (Teams/SharePoint, OneDrive entreprise) doivent remplacer outils grand public.
7. Tableau récapitulatif¶
| Élément | Risque principal | Protection recommandée | Impact si absent |
|---|---|---|---|
| Wi‑Fi public | interception/evil twin | VPN tunnel complet + prudence | vol d'identifiants, exfiltration |
| Box domestique obsolète | compromission du trafic | changer mot de passe admin, MAJ firmware | redirection DNS, malware réseau |
| Cloud perso / WeTransfer | perte de traçabilité | OneDrive/SharePoint entreprise chiffrés | non‑conformité RGPD, fuite de données |
| Absence de MDM | angles morts sur postes | déployer MDM obligatoire | visibilité et contrôle manquants |
| Split tunneling VPN | injection locale possible | config rigoureuse ou tunnel complet | contournement protections SI |
8. Vérifications pratiques¶
- Consulter les logs VPN pour connexions en dehors des horaires habituels et sessions simultanées.
- Vérifier géolocalisations incohérentes des connexions et adresses IP récurrentes.
- Détecter téléchargements massifs ou accès à répertoires/ressources jamais consultés.
- Relever requêtes anormales sur annuaires ou bases de données (reconnaissance).
- Repérer échecs d'authentification répétés et sessions de durée anormale.
- Confirmer l'intégrité des fichiers consultés/téléchargés et des sauvegardes.
- Corréler IP/signes avec d'autres utilisateurs pour détecter propagation.
- Documenter l'heure exacte de détection et les actions entreprises pour la traçabilité.
9. Flashcards Anki¶
Qu'est‑ce qu'un Evil Twin ? :: Un faux point d'accès Wi‑Fi créé par un attaquant pour intercepter le trafic. Que signifie MDM ? :: Mobile Device Management, gestion centralisée des appareils. Quel paramètre de session limiter pour réduire les accès non autorisés ? :: Verrouillage automatique après 5 minutes d'inactivité. Quel est le risque principal d'utiliser WeTransfer pour des fiches de paie ? :: Stockage temporaire non sécurisé sans traçabilité. Quelle mesure immédiate doit être faite lors d'une compromission d'un poste ? :: Isolement total et immédiat du poste (câble, Wi‑Fi, VPN). Pourquoi les firmwares de box doivent‑ils être mis à jour ? :: Des firmwares obsolètes contiennent des vulnérabilités qui compromettent tout le trafic. Que protège le chiffrement du disque ? :: Les données en cas de vol ou perte de l'équipement. Quel mode VPN envoie tout le trafic via l'entreprise ? :: Tunnel complet. Quel indicateur réseau signale souvent une exfiltration ? :: Téléchargements massifs de fichiers inhabituels. Qu'est‑ce que le principe du moindre privilège ? :: Donner à chaque utilisateur uniquement les droits nécessaires à ses fonctions.