La difficulté de la gestion de flotte informatique moderne, c’est qu’elle s’est massivement compliquée des dernières années, avec l’arrivée quotidienne de deux changements majeurs :
La présence exacerbée du cloud,
Le télétravail.
L’immense présence d’outils cloud fait que, en pratique, tout ce qui a trait au travail (et donc n’importe quelle donnée un peu sensible pour l’entreprise) est susceptible de transiter en HTTPS sur des URLs non maitrisées à priori, pour être stocké on ne sais où. C’est l’un des arguments majeurs au refus qu’ont encore certaines entreprises pour refuser des solutions de type « cloud public », au profit d’outils internes ou de type « cloud privé » (sur des serveurs dédiés, avec des URLs connues). D’un point de vue administration de flotte et de réseau, ça complique énormément les choses, parce que ça rends très difficile la détermination de « est-ce un flux de données légitime ou non » ?
Mais le vrai problème (du point de vue d’un gestionnaire de flotte et de réseau, pas de celui des employés), c’est l’arrivée massive du télétravail, avec des machines d’entreprise qui d’un coup peuvent se retrouver n’importe où et se connecter avec n’importe quel point d’accès. On est très loin du cas facile d’avant, où la flotte est majoritairement constituée d’ordinateurs fixes avec une connexion filaire (ou au pire le wifi local) jusqu’à un point d’accès Internet unique, devant lequel on peut coller un bon gros pare-feu et des outils de monitoring.
Maintenant, il faut un serveur VPN bien configuré, qui tient la charge (c’est pas trivial, les Fortinet d’il y a 10 ans avaient de vraies limitations fortes sur le nombre de connexions simultanées et le débit par exemple), une bonne configuration des clients avec des questions non triviales. Par exemple, doit-on autoriser les postes clients à accéder à quoi que ce soit sur le réseau si le VPN est désactivé ? La sécurité répondra que « non », le pragmatisme peut se demander s’il est pertinent de surcharger le serveur VPN et d’interdire aux employés de travailler en cas de panne de celui-ci alors que presque tout est sur le cloud, accessible sans VPN. Mais si on accepte une connexion au réseau hors VPN, comment monitorer ce qui circule entre le poste client et Internet ? Parce que rien ne garantit que le poste client ne va pas se connecter à travers un réseau complètement vérolé. Pire : sur une entreprise moyenne ou grosse, on a plutôt la certitude que ça sera le cas chez au moins un des salariés.
En résumé, si tu possèdes un réseau sain et maitrisé chez toi, les administrateurs n’ont aucun moyen de le vérifier, mais surtout ils doivent travailler en partant du principe que chez tout le monde, c’est la situation inverse.
De même sur la bonne gestion du poste : on sait très bien que les procédures de sécurité et les mises à jour ne seront pas faites si elles ne sont pas forcées. Et ça peut aller loin : j’ai connu une entreprise dont certains salariés n’avaient pas redémarré leur poste (simple hibernation/sortie) depuis plus d’un an pour éviter une mise à jour qui les emmerdait (sans autre raison que le temps perdu à la mise à jour et à tout relancer derrière), avant que l’administration ne se décide à la forcer et à interdire toute connexion au réseau des PC pas mis à jour. Même si tu fais tout bien, l’administration système doit partir du principe que tout le monde ne jouera pas le jeu.
Et les risques en cas de faille ne sont pas hypothétiques : sans réfléchir, j’ai connaissance de 4 entreprises avec lesquelles j’ai travaillé qui se sont mangées un ransomware. C’est que les cas qui ont été assez publics pour que je le sache, et ça ne concerne que ce problème précis, donc pas les attaques plus subtiles et discrètes.
Donc, qu’est-ce qu’on peut faire ? Eh bien, il n’y a pas tellement de solutions : forcer les utilisateurs à mettre à jour leurs postes de travail, interdire la désactivation des outils de sécurité. Et surtout, des logiciels espions (parce qu’il s’agit bien de ça) sur les postes qui remontent des alertes en cas de comportement inhabituel, pour que le gestionnaire de flotte puisse détecter les comportements anormaux et réagir avant de voir tout le réseau corrompu et toutes les machines chiffrées.
Tout ça rejoint le modèle Zero Trust(lien vers l’ANSSI) qui est de plus en plus mis en place, voire nécessaire.
Oui, c’est chiant parce qu’on a des composants qui font on ne sait quoi sur nos machines.
Oui, c’est chiant parce que ça bouffe une puissance incroyable.
Oui, c’est pénible parce qu’il y a des comportement vraiment étranges et gênants (exemple : Windows Defender qui scanne les fichiers avant leur suppression).
Oui, certains de ces outils vont beaucoup trop loin dans ce qu’ils récoltent et envoient les résultats n’importe où, et oui, c’est un problème.
Est-ce que j’ai mieux à proposer ? En théorie oui, en pratique, rien qui survive aux faits dans une entreprise de plus de une personne (moi-même), et encore.
Qu’est-ce qu’on peut faire pour bien séparer sa vie privée des données de sa vie « d’entreprise » ?
Trouver une PME qui tourne encore en mode « tout le monde est admin et on compte sur votre responsabilité ».
Utiliser un réseau séparé chez soi (VLAN différent, wifi invité...), et ne jamais utiliser son matériel pro pour des opérations perso et inversement.
Faire venir une seconde connexion Internet dédiée chez soi réservée à l’usage pro. Ça s’est fait au tout début du télétravail, aujourd’hui aucun employeur ne financerait ça (et je ne sais même pas si c’est possible sans faire tirer une seconde ligne physique, avec les frais que ça engendre).
Tout simplement, refuser le télétravail – s’il est très fréquemment proposé c’est rare qu’il soit imposé depuis la fin des directives Covid. Tu te retrouves dans le cas où, effectivement, l’outil imposé par l’entreprise enverra des données te concernant on ne sais où, mais ça sera des données liées à ton travail uniquement, et c’est donc le problème de l’entreprise et plus le tien.
Dans tous les cas je n’imagine pas qu’un contrat de télétravail moderne ne puisse prévoir de financer une connexion Internet séparée. En fait, les indemnités des différents accords dont j’ai connaissance sont plutôt du côté ridicule de la force.
Pour finir, j’ai une vraie question : si demain vous devriez gérer une flotte d’ordinateurs mixte (Linux + Windows + éventuellement Mac) avec les contraintes sus-nommées (aucune confiance dans les utilisateurs malgré toute leur bonne volonté), qu’est-ce que vous auriez comme solution ?
# Zero Trust / Du besoin des mouchards pour assurer un minimum de sécurité
Posté par SpaceFox (site web personnel, Mastodon) . En réponse au journal L'entreprise est-elle responsable des fuites de données dans le cadre du télétravail ?. Évalué à 10.
La difficulté de la gestion de flotte informatique moderne, c’est qu’elle s’est massivement compliquée des dernières années, avec l’arrivée quotidienne de deux changements majeurs :
L’immense présence d’outils cloud fait que, en pratique, tout ce qui a trait au travail (et donc n’importe quelle donnée un peu sensible pour l’entreprise) est susceptible de transiter en HTTPS sur des URLs non maitrisées à priori, pour être stocké on ne sais où. C’est l’un des arguments majeurs au refus qu’ont encore certaines entreprises pour refuser des solutions de type « cloud public », au profit d’outils internes ou de type « cloud privé » (sur des serveurs dédiés, avec des URLs connues). D’un point de vue administration de flotte et de réseau, ça complique énormément les choses, parce que ça rends très difficile la détermination de « est-ce un flux de données légitime ou non » ?
Mais le vrai problème (du point de vue d’un gestionnaire de flotte et de réseau, pas de celui des employés), c’est l’arrivée massive du télétravail, avec des machines d’entreprise qui d’un coup peuvent se retrouver n’importe où et se connecter avec n’importe quel point d’accès. On est très loin du cas facile d’avant, où la flotte est majoritairement constituée d’ordinateurs fixes avec une connexion filaire (ou au pire le wifi local) jusqu’à un point d’accès Internet unique, devant lequel on peut coller un bon gros pare-feu et des outils de monitoring.
Maintenant, il faut un serveur VPN bien configuré, qui tient la charge (c’est pas trivial, les Fortinet d’il y a 10 ans avaient de vraies limitations fortes sur le nombre de connexions simultanées et le débit par exemple), une bonne configuration des clients avec des questions non triviales. Par exemple, doit-on autoriser les postes clients à accéder à quoi que ce soit sur le réseau si le VPN est désactivé ? La sécurité répondra que « non », le pragmatisme peut se demander s’il est pertinent de surcharger le serveur VPN et d’interdire aux employés de travailler en cas de panne de celui-ci alors que presque tout est sur le cloud, accessible sans VPN. Mais si on accepte une connexion au réseau hors VPN, comment monitorer ce qui circule entre le poste client et Internet ? Parce que rien ne garantit que le poste client ne va pas se connecter à travers un réseau complètement vérolé. Pire : sur une entreprise moyenne ou grosse, on a plutôt la certitude que ça sera le cas chez au moins un des salariés.
En résumé, si tu possèdes un réseau sain et maitrisé chez toi, les administrateurs n’ont aucun moyen de le vérifier, mais surtout ils doivent travailler en partant du principe que chez tout le monde, c’est la situation inverse.
De même sur la bonne gestion du poste : on sait très bien que les procédures de sécurité et les mises à jour ne seront pas faites si elles ne sont pas forcées. Et ça peut aller loin : j’ai connu une entreprise dont certains salariés n’avaient pas redémarré leur poste (simple hibernation/sortie) depuis plus d’un an pour éviter une mise à jour qui les emmerdait (sans autre raison que le temps perdu à la mise à jour et à tout relancer derrière), avant que l’administration ne se décide à la forcer et à interdire toute connexion au réseau des PC pas mis à jour. Même si tu fais tout bien, l’administration système doit partir du principe que tout le monde ne jouera pas le jeu.
Et les risques en cas de faille ne sont pas hypothétiques : sans réfléchir, j’ai connaissance de 4 entreprises avec lesquelles j’ai travaillé qui se sont mangées un ransomware. C’est que les cas qui ont été assez publics pour que je le sache, et ça ne concerne que ce problème précis, donc pas les attaques plus subtiles et discrètes.
Donc, qu’est-ce qu’on peut faire ? Eh bien, il n’y a pas tellement de solutions : forcer les utilisateurs à mettre à jour leurs postes de travail, interdire la désactivation des outils de sécurité. Et surtout, des logiciels espions (parce qu’il s’agit bien de ça) sur les postes qui remontent des alertes en cas de comportement inhabituel, pour que le gestionnaire de flotte puisse détecter les comportements anormaux et réagir avant de voir tout le réseau corrompu et toutes les machines chiffrées.
Tout ça rejoint le modèle Zero Trust (lien vers l’ANSSI) qui est de plus en plus mis en place, voire nécessaire.
Oui, c’est chiant parce qu’on a des composants qui font on ne sait quoi sur nos machines.
Oui, c’est chiant parce que ça bouffe une puissance incroyable.
Oui, c’est pénible parce qu’il y a des comportement vraiment étranges et gênants (exemple : Windows Defender qui scanne les fichiers avant leur suppression).
Oui, certains de ces outils vont beaucoup trop loin dans ce qu’ils récoltent et envoient les résultats n’importe où, et oui, c’est un problème.
Est-ce que j’ai mieux à proposer ? En théorie oui, en pratique, rien qui survive aux faits dans une entreprise de plus de une personne (moi-même), et encore.
Qu’est-ce qu’on peut faire pour bien séparer sa vie privée des données de sa vie « d’entreprise » ?
Dans tous les cas je n’imagine pas qu’un contrat de télétravail moderne ne puisse prévoir de financer une connexion Internet séparée. En fait, les indemnités des différents accords dont j’ai connaissance sont plutôt du côté ridicule de la force.
Pour finir, j’ai une vraie question : si demain vous devriez gérer une flotte d’ordinateurs mixte (Linux + Windows + éventuellement Mac) avec les contraintes sus-nommées (aucune confiance dans les utilisateurs malgré toute leur bonne volonté), qu’est-ce que vous auriez comme solution ?
La connaissance libre : https://zestedesavoir.com