Poste de travail : une liberté sous surveillance

Thibault Michel

Décision Informatique

le 09/02/2007 à 07h00

envoyer
par mail

imprimer
l'article

La mobilité des postes de travail complique la gestion de leur sécurité. Un collaborateur nomade habitué à changer de réseau et à exploiter son poste à des fins personnelles est beaucoup plus vulnérable que celui qui utilise un poste fixe. Pour l'entreprise, le danger de voir son réseau contaminé est grand. La prévention passe par des contrôles visant à déterminer si les postes qui se connectent sont sains, si les correctifs sont à jour ou si l'antivirus dispose des dernières signatures.

L'offre est assez importante tant du côté des constructeurs de passerelles SSL, qui proposent en général une fonction de vérification d'intégrité du poste, que de celui des équipementiers, tel Cisco avec NAC, ou de celui des éditeurs, tel LAN-Desk avec Security Suite. Les entreprises s'y intéressent, comme le rappelle Jean-François Cadudal, responsable du pôle intégration des solutions de sécurité chez l'intégrateur Cyber Networks : “ Aujourd'hui, rares sont les projets de mobilité qui n'intègrent pas une composante d'analyse du réseau. ”

Les besoins : maîtriser le réseau

Pour Patrice Moret, chargé de mission informatique à la chambre d'agriculture de l'Indre, le projet a débuté en 2005 lorsque la direction a choisi de revoir la sécurité de l'architecture. “ L'objectif était d'identifier les postes nomades tout en vérifiant leur intégrité. Notre contexte de travail est un peu particulier, car je suis le seul à m'occuper de l'informatique et ne peux donc consacrer mon temps à la vérification des logs. Le nomadisme a une part importante dans notre entreprise puisque 40 postes sur 70 sont des portables. L'information transportée n'est pas hautement confidentielle, mais nous ne pouvons nous permettre de détruire ou de perdre des données ”, précise-t-il.

C'est aussi la volonté de remettre à plat la sécurité qui a incité le groupe Ircem à se pencher sur le poste client : “ En 2005, la direction a créé un poste de responsable de la sécurité. Jusque-là, les mises à jour des postes étaient effectuées de façon basique par le module Windows Update de Microsoft. Nous avons alors cherché une solution permettant de faire l'inventaire, la télédistribution et la prise de main à distance ”, explique Julien Soleil, responsable assistance utilisation et sécurité informatique.

Pour le Crédit Immobilier de France, la prise de conscience au sujet de la sécurité s'est faite dès 2003, avec la création d'un poste de RSSI : “ Nous sommes passés d'une informatique régionale à une informatique sous-traitée par un GIE. Dans ce contexte, il était indispensable d'accéder à une photographie du réseau pour définir la politique de sécurité et pour s'accorder sur les contrats de service. De plus, le poste de travail est aujourd'hui rattaché à de nouveaux médias externes tels les lecteurs MP3 ou les clés USB, qui introduisent souvent des trous de sécurité importants ”, affirme Éric Doyen, responsable de la sécurité.

De son côté, la SPB, courtier en assurances, a tout simplement suivi l'évolution de l'offre proposée par Enterasys : “ Nous travaillons avec cet équipementier depuis 1996. La mise sur le marché de l'offre Secure Networks, qui permet notamment d'isoler un poste non conforme à la politique de sécurité, était en adéquation avec nos besoins du moment. En 2001, nous avons été victimes d'un arrêt brutal d'une semaine à cause du vers Klez. Cet événement a convaincu notre direction d'investir dans une solution ”, explique Bruno Hinfray, responsable des infrastructures. Relais H, spécialisé dans la distribution de presse a aussi fait le choix d'une solution proposée par un éditeur déjà présent dans l'entreprise : “ Lorsque nous avons décidé d'équiper nos points de vente en informatique, nous sommes passés de 300 postes à 1200. Comme nous possédions déjà des logiciels de LANDesk, nous nous sommes logiquement tournés vers eux ”, expose Thierry Barré, responsable micro.

La mise en œuvre : le rôle des intégrateurs

À l'instar de la chambre d'agriculture de l'Indre, la plupart des entreprises interrogées ont fait appel à un intégrateur et ont réalisé une maquette avant la mise en production. “ Une fois la décision prise de monter le projet en mars 2006, nous avons eu recours à l'infograteur Infocentre à Bourges. Nous avons remplacé les coupe-feu, car nos anciens boîtiers n'étaient pas administrables et nous souhaitions avoir une vue des flux du réseau. Nous possédions déjà du matériel Citrix en interne et le lancement de l'équipement Citrix Access Gateway avec le module Advanced Access Gateway arrivait à point nommé. Nous nous sommes concentrés sur la vérification d'intégrité du poste distant. Nous vérifions l'adresse MAC de la machine, son adresse IP et la présence de l'antivirus avec les dernières signatures. Si le poste répond à l'ensemble des critères, nous lui donnons accès. Sinon, soit nous lui interdisons la connexion, soit nous lui donnons un accès restreint aux ressources. Une maquette légère a été réalisée en juin et nous sommes passés à une mise en production en août, période pendant laquelle 60 % du personnel est en vacances ”, explique Patrice Moret.

Pour le groupe Ircem, les tests du logiciel Criston Precision, appelé désormais Criston Desktop Management, n'ont pas posé de problème et la maquette a été réalisée en deux mois fin 2005. En mars 2006, 80 % des applications ont été déployées avec cet outil. En avril 2006 Criston propose Vulnerability Management qui permet de faire une analyse des vulnérabilités et de vérifier l'intégrité du poste. Compte tenu des logiciels Criston déjà installés, l'Ircem l'adopte. En revanche, l'entreprise constate que le besoin en ressources humaines est assez important : “ Pour mettre en place et assurer la maintenance des logiciels de Criston, il faut quasiment une personne à temps plein ”, précise Julien Soleil.

Ce besoin en personnel technique a aussi été constaté par le Crédit Immobilier de France : “ Nous avons découvert Spectator de Promisec fin 2004. Cette solution était en adéquation avec notre besoin de cartographier le parc et de connaître ce qui tourne sur les machines. Nous avons commencé par une première maquette sur 200 postes durant l'été 2005. Nous sommes encore en phase de déploiement car nous manquons de ressources sur ce projet ”, détaille Éric Doyen.

L'intervention humaine reste également assez importante à la SPB qui a fait le choix d'assurer un suivi précis des alertes plutôt que d'automatiser l'ensemble des processus : “ Lorsqu'un poste analysé ne correspond pas à la politique de sécurité de l'entreprise, nous l'orientons vers le help desk. Côté technique, nous avons opté pour la solution Sentinel d'Enterasys Networks qui s'appuie sur l'architecture Secure Networks. Une maquette a été réalisée début 2006. Sentinel travaille en collaboration avec les commutateurs. Par défaut, les ports du commutateur sont verrouillés. Sentinel vérifie l'intégrité du poste et valide l'OS, l'antivirus et ses mises à jour. Il transmet ensuite le résultat au commutateur qui ouvre le port ou non ”, décrit Bruno Hinfray.

Les gains : une gestion sereine du réseau

Grâce à l'utilisation de ces solutions d'analyse du poste de travail, tous les acteurs interrogés sont plus sereins. “ Nous voyons vraiment ce qui se passe. Cette solution couplée au RPV SSL nous rend plus confiants dans notre réseau. Pour les utilisateurs, rien n'a réellement changé ”, précise Patrice Moret. “ On sait désormais ce qui peut être installé à notre insu sur les postes ”, affirme Thierry Barré. Pour Bruno Hinfray, même si le ROI est difficile à chiffrer, l'entreprise peut désormais sécuriser le réseau suite à un événement. “ Les clients et la direction sont séduits. Nous sommes aussi plus tranquilles sur le plan technique ”, explique-t-il.

Pour Julien Soleil, le gain de temps est également important : “ L'assistance intervient moins du fait de la mise à jour des postes. Nos équipes ont été très vite conquises, elles se servent de l'outil au quotidien. Une interface renseigne sur les vulnérabilités du réseau avec les failles connues et les erreurs de configuration. Les remontées d'informations se font de façon visuelle sous forme de tableaux. Il est possible de faire une requête sur une machine. En un mois, en appliquant 4 000 correctifs, nous avons fait baisser les vulnérabilités de 10 %. L'objectif est d'avoir résolu les vulnérabilités principales de notre réseau d'ici à la fin de l'année. ”

Les écueils : assurer le suivi des outils

Comme souvent pour ce genre de projet, le plus difficile semble être d'adapter la solution à l'entreprise : “ Mis à part quelques soucis mineurs au niveau du numéro de série, nous n'avons pas eu de grosses difficultés. Ce qui a pris le plus de temps a été de définir la façon dont allait être utilisé le logiciel ”, affirme Patrice Moret. Sur la même problématique, Bruno Hinfray ajoute : “ Il nous a fallu assimiler le mode de fonctionnement de la solution. Le logiciel Dragon demande beaucoup de travail pour évaluer les faux positifs et définir un comportement en cas d'alerte. Il requiert également des techniciens compétents. En fait, dès qu'on veut aller plus loin dans la sécurité que le simple filtrage par coupe-feu, réalisé pour nous par des coupe-feu Check Point, cela demande un gros investissement. ”

La justification du projet n'a pas toujours été des plus simples : “ Nous avons eu quelques difficultés pour vendre le projet en interne ”, précise Éric Doyen. Côté technique, les difficultés liées aux solutions elles-mêmes restent mineures. “ Nous avons constaté quelques bugs dans le logiciel de Criston, notamment concernant le déploiement des correctifs. L'outil ne précisait pas, par exemple, si les correctifs étaient installés alors qu'il l'avait effectivement fait ”, détaille Julien Soleil. Pour Thierry Barré, les postes sont un peu plus longs au démarrage et il y a eu quelques remarques des utilisateurs. Le prix à payer pour une meilleure sécurité en quelque sorte.

agrandir la photo

agrandir la photo

Les outils d'analyse des postes proposent souvent de cartographier le réseau. L'administrateur dispose ainsi d'une photographie de son architecture à l'instant T qui lui permet d'identifier les failles.

L'application des correctifs permet de diminuer les vulnérabilités. La gestion du réseau s'opère alors de façon plus sereine.

Du fait de la mise à jour des postes, l'équipe technique assure moins d'assistance et peut consacrer du temps à d'autres tâches.

Quels que soient les outils employés, ils se doivent d'être adaptés à l'environnement de l'entreprise. Cette opération peut être coûteuse en temps et nécessite un suivi lors de l'analyse du réseau. Le passage par un intégrateur est souvent nécessaire.

La vérification d'intégrité des postes engendre dans certains cas une chute des performances. Mais certains administrateurs préféreront réduire les performances si leur sécurité s'en trouve améliorée.