L’accès à distance d’une PME : VPN, bureau à distance et sécurité

Un employé travaille de la maison, un autre est en déplacement, et tous doivent atteindre le serveur de fichiers ou le logiciel comptable du bureau. Le plus souvent, cela passe par un réseau privé virtuel (RPV, ou VPN), parfois par un accès au bureau à distance ouvert sur Internet. Le Centre canadien pour la cybersécurité rappelle que le travail à distance ajoute des vulnérabilités à celles de l’organisation (ITSAP.10.016). Voici ce qu’il recommande, avec la CISA et la NSA américaines.

Ce qu’un VPN fait, et ce qu’il ne fait pas

Un VPN chiffre les données qui circulent entre l’appareil de l’employé et le réseau de l’entreprise, sur un réseau auquel on ne peut pas se fier (ITSAP.80.101). Le Centre canadien précise aussi ce qu’il ne fait pas : un VPN ne protège pas contre un utilisateur qui clique sur un lien malveillant, et sa sécurité dépend de sa configuration (ITSAP.80.101). Le VPN est une porte bien gardée, pas une protection de l’appareil qui l’utilise.

Le bureau à distance ouvert sur Internet

Le guide du Centre canadien sur les rançongiciels nomme les services exposés à Internet, dont le protocole de bureau à distance (RDP), parmi les portes d’entrée des attaquants : vulnérabilités exploitées, essais massifs de mots de passe (ITSM.00.099). Il demande que les utilisateurs passent par le VPN de l’organisation. Le guide conjoint de la CISA, de la NSA et du FBI le dit plus directement : ne pas exposer sur le Web des services comme le bureau à distance, et fermer les ports qui ne servent pas (#StopRansomware, en anglais).

1. Mettre à jour le VPN, vite

Un VPN fait face à Internet, et c’est pour cela qu’il est attaqué. Le Centre canadien a publié plusieurs alertes sur l’exploitation active de failles dans des VPN, et demande d’appliquer les correctifs le plus rapidement possible (alerte AL19-016). Une de ces failles permettait même de contourner l’authentification à deux facteurs : l’authentification multifacteur ne remplace pas les mises à jour. La NSA et la CISA notent que des failles de VPN ont été exploitées parfois moins de 24 heures après leur publication, et recommandent de remplacer un appareil qui n’est plus mis à jour par son fabricant (NSA et CISA, en anglais).

2. L’authentification multifacteur sur chaque accès

Le Centre canadien demande l’authentification multifacteur pour l’accès au VPN, avec des facteurs qui résistent à l’hameçonnage (ITSAP.80.101), et son guide sur les rançongiciels demande de l’activer à tous les points d’accès (ITSM.00.099). Notre article sur l’authentification multifacteur obligatoire dans Microsoft 365 explique ce que Microsoft exige déjà, et ce qui reste à faire de votre côté.

3. Ne donner accès qu’à ce qui sert

Le Centre canadien recommande de restreindre les ports et les protocoles permis par le VPN (ITSAP.80.101) et d’appliquer le principe du droit d’accès minimal, aussi aux accès à distance (ITSM.00.099). Un employé qui a besoin du logiciel comptable n’a pas besoin de voir tout le réseau.

4. Garder une trace

Le Centre canadien recommande de journaliser l’activité du VPN et de lire ces journaux (ITSAP.80.101), et son guide sur les rançongiciels demande des journaux horodatés qu’on ne peut pas modifier (ITSM.00.099). Le jour d’un incident, ce sont ces journaux qui disent qui est entré, quand, et d’où. Notre article sur le rançongiciel dans la première heure montre à quoi ils servent ce jour-là.

5. L’appareil et le réseau de la maison

Le Centre canadien recommande de préférer les appareils fournis par l’entreprise, parce qu’un appareil personnel peut ne pas être à jour (ITSAP.10.016). À la maison, il conseille de changer le mot de passe par défaut du Wi-Fi, et rappelle qu’un routeur qui n’est plus mis à jour est un risque (ITSAP.10.116).

En résumé

Un VPN à jour, avec l’authentification multifacteur, qui ne donne accès qu’à ce qui sert et qui garde une trace ; aucun bureau à distance ouvert directement sur Internet ; des appareils à jour. C’est ce que vérifie, mois après mois, la revue de sécurité mensuelle de MPJM, avec un rapport écrit.

Questions fréquentes

Un VPN suffit-il à protéger l’accès à distance ?

Non : le Centre canadien pour la cybersécurité précise qu’un VPN ne protège pas contre un utilisateur qui clique sur un lien malveillant, et que sa sécurité dépend de sa configuration.

Peut-on laisser le bureau à distance ouvert sur Internet ?

Le Centre canadien nomme les services exposés comme le bureau à distance parmi les portes d’entrée des rançongiciels et demande de passer par le VPN ; la CISA demande de ne pas les exposer sur le Web.

Faut-il mettre à jour un VPN ?

Oui, le plus rapidement possible : le Centre canadien a publié des alertes sur des failles de VPN exploitées, dont une qui contournait l’authentification à deux facteurs.

Et maintenant ?

Vous ne savez pas comment vos employés entrent dans votre réseau de l’extérieur, ni ce qui est ouvert sur Internet ? Demandez l’analyse réseau gratuite de MPJM, offerte aux entreprises de 10 postes et plus.

P.-S. Seize questions, huit domaines, un portrait clair de vos forces et de vos angles morts : commencer l’évaluation.