Aller au contenu

Sécuriser les systèmes d'information et gérer les accès privilégiés

1. Objectif du cours

Analyser les vulnérabilités d'une infrastructure hybride (Windows/Linux) d'une coopérative agricole, proposer une stratégie priorisée de sécurisation incluant durcissement des systèmes, gestion des accès privilégiés et plan d'amélioration continue, en respectant contraintes opérationnelles et budget.

2. Notions et définitions essentielles

  • Durcissement (hardening) : application de configurations et suppressions de services pour réduire la surface d'attaque.
  • PAM (Privileged Access Management) : gestion centralisée et contrôlée des comptes et sessions privilégiées.
  • RBAC : attribution de droits en fonction de rôles métier.
  • MFA : authentification multifactorielle adaptée aux contextes bureau/terrain.
  • Défense en profondeur & moindre privilège : couches successives de protection et limitation des droits au strict nécessaire.

3. Fonctionnement et principes

  • Priorité au patch management : corriger les vulnérabilités connues réduit immédiatement la surface d'attaque (incident récent causé par un correctif manquant).
  • Isolation des fonctions critiques (ERP, base SQL, traçabilité) et règles réseau restrictives (bastion, règles de pare-feu limitant les flux interserveurs).
  • Suppression des comptes partagés et introduction de comptes nominatifs + journalisation pour traçabilité RGPD.
  • Mise en place d'une solution PAM + coffre-fort, MFA et procédures de délégation temporaire pour interventions d'urgence 24/7.
  • Validation progressive (phases Immédiat/Court/Moyen terme), avec tests fonctionnels et procédures de rollback pour protéger la continuité (contraintes récolte).

4. Commandes et manipulations

Regroupées par procédure : extraits de commandes essentielles fournis dans le cours (usage : adaptation et tests en labo avant production).

  • Durcissement Windows (extraits PowerShell / netsh / reg)
  • Gérer politique mots de passe : Set-ADDefaultDomainPasswordPolicy -Identity "agrocoop.local" ...
  • Désactiver services inutiles : Stop-Service -Name "Print Spooler" | Set-Service -StartupType Disabled
  • Pare-feu : netsh advfirewall set allprofiles state on ; netsh advfirewall set allprofiles firewallpolicy blockinbound,allowoutbound ; règles netsh advfirewall firewall add rule ...
  • UAC via registre : reg add "HKLM...\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d 2 /f
  • Audit : auditpol /set /subcategory:"Logon" /success:enable /failure:enable

  • SMB & BitLocker : Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol ; Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnlyEncryption –TpmProtector

  • Durcissement Linux (extraits shell)

  • Mises à jour : sudo apt-get update && sudo apt-get upgrade -y
  • SSH : modifications de /etc/ssh/sshd_config (port 2222, PermitRootLogin no, PasswordAuthentication no, AllowUsers ...) puis systemctl restart ssh
  • Pare-feu UFW : sudo ufw default deny incoming ; sudo ufw default allow outgoing ; règles allow from to port ... ; sudo ufw --force enable
  • Sysctl sécurisés : tee /etc/sysctl.d/99-security.conf <<'EOF' ... EOF ; sudo sysctl --system
  • Audit : apt install auditd -y ; ajout de règles audit dans /etc/audit/audit.rules ; systemctl enable/start auditd

  • Sudoers restrictif : définition de groupes et Defaults logfile/timestamp_timeout

  • PAM / coffre-fort / MFA (extraits de configuration)

  • Exemple coffre (Bitwarden) : password_policy (length:16, rotation_frequency:30_days, shared_folders: ...)

  • Azure MFA snippet (Set-MsolUser ...) pour activer StrongAuthenticationRequirements

  • Délégation temporaire & scripts

  • Exemple simple de script bash pour élévation temporaire par usermod + at (prévoir tests et rollback automatique)

  • Validation / rollback (exemples de sauvegarde)

  • Export registre avant modification ; copie des fichiers /etc/ssh/sshd_config et /etc/sysctl.conf avant changement

  • Monitoring / reporting

  • Extraits de règles d'alerte YAML (Admin Access Outside Hours, Privilege Escalation) et script Python de génération de rapport de conformité

5. Sécurité et bonnes pratiques

  • Prioriser les correctifs critiques immédiatement (patch management).
  • Appliquer principe du moindre privilège ; supprimer comptes administrateurs partagés.
  • Mettre en place MFA adaptée (bureau : token/app ; terrain : app mobile + codes de secours).
  • Journalisation et SIEM léger pour détection rapide ; alertes sur accès hors heures, tentatives multiples, modifications comptes privilégiés.
  • Procédures de tests (fonctionnel, performance, connectivité, utilisateur) et rollback avant déploiement en production.
  • Respecter contrainte opérationnelle (éviter interventions majeures en période de récolte ; pas d'interruption >2h).
  • Formation continue de l'équipe IT et sensibilisation utilisateurs ; cycle de révision trimestriel et maintenance planifiée (hebdo/mensuel/trimestriel/annuel).

6. Points essentiels à retenir pour le TSSR

  • L'incident a été causé par un correctif manquant : patch management = priorité n°1.
  • Budget total 80 000 € réparti en 3 phases (Phase1 urgent 25k, Phase2 renforcement 35k, Phase3 optimisation 20k).
  • Supprimer 6 comptes administrateurs partagés et instaurer PAM + coffre-fort (ex. Bitwarden) et RBAC.
  • Durcissement Windows (GPO, UAC, pare-feu, SMB, BitLocker) et Linux (SSH, UFW, sysctl, auditd, sudoers) ciblé selon criticité des serveurs.
  • MFA différenciée pour bureau vs terrain et procédure de délégation temporaire pour urgences.
  • Monitoring/SIEM + alertes automatiques pour réduire temps de détection (objectif <1 heure).
  • Plan de validation : tests techniques automatisés + tests fonctionnels métier + tests performance.
  • KPI cibles : patch compliance >95%, incidents sécurité <2/mois, conformité durcissement >90%, 0 compte privilégié partagé.
  • Déploiement planifié en dehors de la période récolte et avec procédures de rollback documentées.
  • Processus d'amélioration continue en cycle trimestriel avec veille CERT-FR/ANSSI/CVE.

7. Tableau récapitulatif

Élément Priorité initiale Objectif concret Contraintes
Patch management Très haute Corriger 35% serveurs vulnérables Minimiser downtime (récolte)
Comptes privilégiés Très haute 0 comptes partagés, RBAC + PAM Formation + procédures d'urgence
Durcissement Windows vs Linux Prioritaire sur serveurs critiques GPO/UAC/BitLocker / SSH/UFW/sysctl Compatibilité applis métier
MFA bureau vs terrain Moyen-haut Token/app pour bureau ; app+codes secours pour terrain Couverture réseau rurale
Monitoring & KPI Moyen Détection <1h, rapports mensuels Ressources IT limitées (2 pers.)

8. Vérifications pratiques

  • Tests de validation listés : tests fonctionnels (ERP, traçabilité), performance (réponse <3s), connectivité et tests utilisateur.
  • Vérifications scripts fournies : Vérifier que PermitRootLogin est à no, que UFW est actif et que auditd est actif (tests techniques automatisés fournis).
  • Mesures de performance à contrôler : CPU <80%, RAM <90%, latence sites distants <100 ms.
  • KPI à suivre pour constater succès : taux de mise à jour >95%, incidents <2/mois, conformité durcissement >90%, comptes privilégiés partagés = 0.
  • Procédures de rollback : export registre Windows et sauvegarde des fichiers de configuration Linux avant changements (préconisées).

9. Flashcards Anki

Quel est le budget cybersécurité alloué sur 12 mois? :: 80 000 €
Combien de serveurs physiques et quelle répartition Windows/Linux? :: 12 serveurs physiques (8 Windows Server 2019, 4 Linux Ubuntu 20.04)
Combien de comptes administrateurs partagés ont été identifiés? :: 6 comptes administrateurs partagés
Quelle contrainte d'interruption en période de récolte? :: Pas d'interruption de service > 2 heures en période de récolte (juillet-octobre)
Quel pourcentage de serveurs avait des correctifs non appliqués? :: 35% des serveurs
Quelle mesure est identifiée comme priorité absolue dans la stratégie? :: Patch management (déploiement immédiat des correctifs)
Quelles solutions sont proposées pour PAM et coffre-fort dans l'exemple? :: cyberArk (PAM) et Bitwarden Business (coffre-fort)
Quel objectif KPI pour le taux de mise à jour (patch compliance)? :: >95%
Quel seuil d'alerte pour tentatives d'accès multiples? :: 5 échecs
Quel port SSH est utilisé en exemple pour le durcissement Linux? :: 2222