Un guide en 3 étapes avec les meilleures pratiques de sécurité, les pièges à éviter et quelques conseils pour éviter les escroqueries

Introduction

Dans le monde numérique d'aujourd'hui, il est plus important que jamais de sécuriser les sessions d'assistance informatique à distance. Avec pas moins de 80 % des attaques par rançongiciel commençant par des canaux d'accès à distance, les pirates se concentrent sur ces outils. Les enjeux n'ont jamais été aussi élevés : l'IA donne aux cybercriminels de nouveaux outils pour mettre sur pied des stratégies d'ingénierie sociale convaincante, bénéficier d'une reconnaissance plus rapide et créer des logiciels malveillants de façon automatisée. Dans ce contexte, chaque entreprise se doit de sécuriser son système d'assistance informatique.

Dans ce guide, vous découvrirez les 3 étapes les plus importantes pour sécuriser les accès à distance, ainsi que les meilleures pratiques et les pièges les plus courants (qui sont aussi les plus coûteux). Ensuite, dans une étape bonus, nous nous pencherons spécifiquement sur les sessions de participation auxquelles vous participez, ce qui vous aidera à protéger vos utilisateurs contre les usurpateurs et les escroqueries.

Pourquoi l'assistance informatique à distance est-elle une cible de choix ?

L'actualité en matière de cybersécurité est claire : les outils d'accès à distance constituent une cible de choix pour les attaques sur la chaîne d'approvisionnement. Les pirates s'en prennent aux fournisseurs de services d'assistance et s'en servent comme point d'entrée dans de nombreuses autres entreprises. Par exemple, vous vous souvenez peut-être que des pirates ont pénétré dans le département du Trésor aux États-Unis en exploitant une vulnérabilité dans BeyondTrust, ou que 1 500 entreprises ont été infectées par un rançongiciel grâce à des serveurs Kaseya compromis.

Pour comprendre pourquoi ces outils sont si attrayants pour les pirates, il est utile de commencer par faire la distinction entre deux types d'assistance à distance, car les problématiques associées ne sont pas les mêmes :

1. Accès à distance sans surveillance : le Graal des acteurs malveillants

L'accès à distance sans surveillance (également appelé accès à distance ou bureau à distance) permet aux techniciens de se connecter aux appareils sans que l'utilisateur final soit présent, généralement via un hôte préinstallé sur les terminaux gérés et avec des privilèges de niveau administrateur. Utilisés aussi bien par les prestataires de services managés (MSP) que par les employés en télétravail, ces outils sont une mine d'or pour les pirates, puisqu'en ciblant un seul ensemble d'identifiants, ils peuvent prendre le contrôle de centaines ou de milliers de terminaux. De plus, leurs fonctions d'automatisation intégrées leur permettent de répandre facilement des logiciels malveillants ou de voler des données sans que les outils de sécurité ne les signalent. Ils sont donc complètement insoupçonnables.

2. Participation à des sessions d'assistance : un cheval de Troie pour les mécanismes d'ingénierie sociale

Les sessions auxquels les utilisateurs participent (ad hoc, donc) ne nécessitent pas d'hôte préinstallé. L'utilisateur final doit simplement donner temporairement accès à son système à un technicien, souvent en entrant un code secret ou en cliquant sur un lien. C'est la solution idéale pour intervenir sur des appareils non gérés, mais c'est aussi une faille dans laquelle les pirates n'hésitent pas à se glisser. En se faisant passer pour des membres du personnel informatique ou des fournisseurs, ils peuvent inciter les utilisateurs à leur accorder un accès direct, ce qui rend possible une attaque en temps réel en une seule étape.

3 étapes pour sécuriser les accès à distance (+ 1 étape bonus pour le second cas)

Étape 1 : protégez vos comptes et vos sessions

Idéalement, vous devez arrêter les attaquants avant même qu'ils n'accèdent à vos comptes ou à vos appareils. Bonnes pratiques :

• Utiliser des outils chiffrés : utilisez toujours des outils d'assistance à distance avec un système de chiffrement robuste et testé, et ce à chaque étape de la connexion. Optez pour des plateformes qui utilisent le protocole TLS 1.3 et intègrent le chiffrement AES sur 256 bits, ce qui garantit la protection de toutes les données.
• Mettre en œuvre l'authentification multifacteur (MFA) : selon plusieurs études, la MFA peut bloquer jusqu'à 99,9 % des assauts automatisés sur les identifiants. Pourtant, il n'est pas rare qu'elle ne soit pas activée. C'est l'un des systèmes les plus efficaces que vous puissiez mettre en œuvre.
• Appliquer des restrictions au niveau des identifiants : appliquez des politiques relatives aux mots de passe pour forcer les utilisateurs à choisir des clés complexes et à les changer régulièrement, ou utilisez l'authentification unique (SSO) pour renforcer la sécurité (par exemple en vous débarrassant complètement des mots de passe). Vous pouvez également envisager de limiter l'accès à la console à certains segments du réseau, auxquels vous faites confiance, en restreignant les adresses IP.

⚠️ Évitez les anciens outils comme RDP ou VNC. Ces protocoles sont fréquemment ciblés par les pirates, car ils sont souvent dépourvus de contrôles de sécurité modernes, utilisent par défaut un chiffrement faible ou inexistant et sont vulnérables aux attaques par force brute et basées sur des failles connues, en particulier en cas de connexion à Internet. À moins de passer exclusivement par des canaux sécurisés tels qu'un réseau privé virtuel (RPV) et d'appliquer des règles drastiques au niveau du pare-feu, ces outils sont particulièrement risqués.

Étape 2 : limiter les dégâts en cas d'identifiants compromis ou d'attaques venues de l'intérieur

Une bonne stratégie de sécurité ne se concentre pas seulement sur la protection des comptes, mais aussi sur la réaction à adopter pour limiter les dégâts en cas d'identifiants compromis. Voici quelques bonnes pratiques à mettre en place :

• Contrôles d'accès basés sur les rôles et le principe du moindre privilège : en limitant le champ d'action des utilisateurs au minimum requis pour leur rôle, on réduit également les possibilités des pirates en cas d'attaque réussie. Par exemple, n'accordez un accès administrateur qu'à certaines personnes, créez des groupes de techniciens et limitez les autorisations de session.
• Architecture Zero Trust : certains outils, comme LogMeIn Resolve, reposent sur des modèles Zero Trust, qui exigent une vérification supplémentaire au niveau de l'appareil avant toute action sensible. Ces vérifications nécessitent une clé spéciale qui n'est pas stockée par le fournisseur, ce qui permet de sécuriser les appareils en cas de faille côté fournisseur.
• Politiques de stockage et de conservation des données : ne stockez que les données dont vous avez absolument besoin. Si vous n'avez pas besoin des journaux de discussion, des adresses IP ou d'autres données personnelles, désactivez leur enregistrement ou automatisez leur suppression. Raccourcissez les périodes de conservation afin que les données anciennes ne soient pas accessibles par les attaquants.

⚠️ Pour les sessions à distance, évitez les outils d'accès sans surveillance qui n'utilisent pas de mot de passe ou pour lesquels le mot de passe est spécifique à l'outil. L'absence de mot de passe est particulièrement risquée, car les attaquants n'ont besoin que de vos identifiants pour obtenir un accès complet à vos terminaux. Les mots de passe spécifiques à un outil sont légèrement meilleurs, mais ils ne sont souvent pas aussi forts ou bien protégés que l'exigent les politiques de votre entreprise. Ils peuvent être réutilisés, facilement devinés ou compromis en cas de faille côté fournisseur. Préférez les outils qui exigent des contrôles Zero Trust, ou les identifiants locaux ou administrateur de l'appareil. Ainsi, l'accès est protégé par les normes de sécurité existantes de votre entreprise.

Étape 3 : se préparer à une détection et à une réaction rapides

Même les meilleures défenses ne peuvent pas garantir que vous ne serez jamais confronté à un incident. C'est pourquoi la capacité à identifier rapidement les activités suspectes et à y réagir efficacement est cruciale pour limiter les dégâts. Voici quelques bonnes pratiques à mettre en place :

• Alertes en temps réel : activez les notifications immédiates pour les actions critiques du compte, comme les échecs de connexion, les changements de mot de passe ou les nouvelles activités administrateur, afin que vous puissiez agir au plus vite.
• Rapports d'audit et journaux complets : utilisez des outils qui génèrent des rapports détaillés et infalsifiables pour enregistrer les activités du compte et de la session, notamment les informations de connexion, les actions des techniciens, les accès aux appareils, les transferts de fichiers et les changements d'autorisation. Exportez les journaux à des fins de conformité, stockez-les en toute sécurité et conservez-les en cas d'enquête ou d'audit.
• Enregistrement de la session : vous pouvez activer l'enregistrement automatique des sessions pour obtenir une piste d'audit visuelle de l'activité. En fonction des exigences de confidentialité ou de conformité, cette pratique peut être assortie de restrictions supplémentaires. Par exemple, vous pouvez avoir l'obligation d'informer les utilisateurs et de fixer des périodes de conservation spécifiques. Si vous optez pour cette solution, configurez votre outil de manière que les enregistrements soient chiffrés au repos et ne puissent pas être interrompus ou désactivés par les techniciens, de sorte à garantir un enregistrement continu et fiable.

⚠️ Évitez d'utiliser des comptes d'agents communs. Bien que cela puisse sembler rentable, les identifiants partagés détruisent l'obligation de rendre des comptes, ce qui empêche de retracer avec précision les activités suspectes, d'enquêter sur les incidents ou de tenir les bonnes personnes pour responsables de leurs actes. Pour faire des économies sans perdre en flexibilité, recherchez des solutions avec des licences simultanées, auquel cas plusieurs agents peuvent partager des licences tout en conservant des identifiants individuels à des fins d'audit et de traçabilité.

Étape bonus : protéger les utilisateurs finaux contre les usurpations d'identité

Bien que la sécurisation des accès à distance soit essentielle, il arrive que les attaquants n'aient pas besoin de pirater vos comptes : il leur suffit de tromper vos utilisateurs finaux. Voici quelques stratégies que vous pouvez mettre en œuvre pour les protéger lors des sessions d'assistance auxquelles ils participent.

• Clés d'assistance et applets à usage unique : pour les sessions d'assistance ad hoc, utilisez des outils qui génèrent des clés à usage unique limitées dans le temps pour chaque session et qui lancent des applets temporaires qui se suppriment d'elles-mêmes. Ainsi, vous réduisez les risques en empêchant la persistance des accès après la fin de la session.
• Page d'entreprise avec validation pour les clés d'assistance : si vous utilisez une clé d'assistance pour lancer une session ad hoc, intégrez votre page de saisie à votre propre site ou créez un raccourci de bureau dédié, et configurez-la de manière à ce qu'elle n'accepte que les clés issues de votre compte. Il est ainsi beaucoup plus difficile pour les attaquants d'usurper l'identité des membres de votre équipe.
• Restrictions sur les adresses IP et appareils des utilisateurs finaux : certains outils d'assistance à distance vous donnent la possibilité de réserver à votre compte les droits d'accès à certaines adresses IP et appareils, bloquant ainsi les tentatives provenant d'autres comptes. En appliquant cette précaution et en bloquant les autres outils via le pare-feu, vous pouvez entraver efficacement les escrocs qui tentent d'utiliser leurs propres outils ou de mettre en place un accès à distance sans surveillance non autorisé.

⚠️ Évitez les outils qui demandent aux utilisateurs finaux d'installer une application permanente avec un identifiant et un mot de passe réutilisables. Les identifiants persistants sont susceptibles d'être exploités par des pirates, ce qui augmente le risque d'accès non autorisé bien après la fin de la session d'assistance initiale. N'oubliez pas que la meilleure façon de protéger votre maison, c'est de ne pas y mettre de porte.

Conclusion

En suivant ces bonnes pratiques, vous pouvez réduire considérablement le risque de violation de données lors des sessions d'assistance informatique à distance. Toutefois, n'oubliez pas qu'activer les bons paramètres ne suffit pas. Une stratégie complète revient à se protéger à la fois des failles techniques (attaques par force brute, vulnérabilités ou logiciels malveillants) et des menaces centrées sur l'humain (ingénierie sociale, menaces internes ou vol d'identifiants). La véritable résilience repose sur la culture de sécurité, qui dépend d'un plan de sensibilisation et de formation continue, de consignes claires pour réagir en cas d'incident et d'une évaluation minutieuse des fournisseurs. Ne baissez jamais votre garde, mettez la sécurité au cœur de vos habitudes, et votre entreprise gardera une longueur d'avance, même avec les sessions d'assistance à distance.

Vous souhaitez en savoir plus ? Découvrez comment l'architecture Zero Trust de LogMeIn peut vous aider à sécuriser chaque session d'assistance à distance, à protéger vos données et à gagner la confiance des utilisateurs.

En savoir plus sur le Zero Trust avec LogMeIn