Pourquoi votre stratégie de sécurité des terminaux doit s'appuyer sur une architecture Zero Trust, et pas seulement sur une réduction du nombre d'outils

En matière de sécurité des terminaux, l'hypothèse la plus dangereuse n'est pas qu'un acteur malveillant franchira votre périmètre. C'est de partir du principe que les outils utilisés pour gérer les terminaux sont fiables.

Cette hypothèse se reflète dans de nombreux systèmes et constitue précisément le type de faille que les attaques sur la chaîne d'approvisionnement cherchent à exploiter.

ConnectWise a déployé beaucoup d'efforts pour intégrer son ensemble d'outils. ConnectWise RMM comprend ScreenConnect pour l'accès à distance, et l'expérience quotidienne des techniciens est globalement unifiée. Si vous utilisez ce système, vous ne naviguez pas entre des applications totalement isolées les unes des autres.

Cependant, une expérience intégrée et une architecture de sécurité unifiée ne sont pas synonymes. ScreenConnect et ConnectWise RMM sont deux produits distincts, chacun disposant de son propre historique de développement, de son propre enregistrement CVE et de son propre modèle de confiance. ScreenConnect est également disponible en tant que produit autonome. Même dans une suite parfaitement intégrée, l’architecture sous-jacente implique toujours des systèmes distincts dont les relations de confiance avec vos terminaux n’ont pas été conçues dès l’origine comme un modèle de sécurité unifié.

Or, cette distinction fait toute la différence. Non pas parce que les outils ne fonctionnent pas de concert, mais parce que lorsqu'un incident survient au niveau de la couche d'intégration, le terminal n'a aucun moyen natif de distinguer une instruction légitime d'une instruction compromise circulant dans un canal réputé fiable.

Les attaques ne réussissent pas toujours parce que les attaquants ont contourné le chiffrement, mais parce que les outils de gestion peuvent être implicitement considérés comme fiables, et que cette confiance n’est pas vérifiée au niveau de chaque action.

La sécurité Zero Trust repose sur un principe simple : ne faites confiance à rien, vérifiez tout. Non seulement lors de la connexion, mais aussi à chaque action sensible.

LogMeIn Resolve introduit l'architecture Zero Trust pour la sécurité de l'accès à distance, en exigeant que chaque agent authentifie ses actions avec une signature unique dont il est l'unique détenteur. Avec un contrôle d'accès avancé, personne, même un administrateur, ne peut modifier ou créer une tâche au nom de cet agent. Les terminaux ne font jamais confiance aveuglément ; ils vérifient la signature avant d'accorder les droits d'accès.

Voici ce que cela signifie concrètement :

• Chaque session à distance est vérifiée par l’identité, et non seulement par les identifiants. Chaque agent de l'équipe d'assistance génère une clé de signature unique pour confirmer son identité, rendant l'accès non autorisé presque impossible : même les administrateurs ne peuvent pas détourner de sessions à distance sans satisfaire aux mêmes exigences strictes de vérification.
• Toute action automatisée nécessite une vérification. L'exécution de scripts, les commandes PowerShell et le déploiement d'appareils sans surveillance suivent tous le même niveau d'authentification Zero Trust. Une session avec une connexion ne suffit pas.
• Le chiffrement AES 256 bits et le protocole TLS protègent toutes les données en transit. Ce mécanisme est appliqué à tous les types de session.

LogMeIn Resolve a intégré tous lespiliers fondamentaux du Zero Trust à chaque couche de l'architecture, ce qui signifie que le modèle de vérification s'applique de façon uniforme quelle que soit la capacité utilisée, sans point d'intégration permettant de contourner la vérification.

Au sein de la chaîne d'approvisionnement, les MSP constituent une cible particulièrement alléchante. Si un pirate parvient à compromettre votre outil RMM, il dispose d'un accès direct aux environnements client que vous gérez, sans avoir à s'introduire individuellement chez chaque client.

LogMeIn Resolve est spécialement conçu pour éviter la plupart des attaques par ransomware, sur la chaîne d'approvisionnement et par injection de commande qui ont durement frappé le secteur. Le mécanisme est structurel : chaque action requiert la signature vérifiée d'un agent, de sorte qu'un identifiant compromis ou une session détournée ne peut pas, à l'insu de l'utilisateur, transmettre d'instructions malveillantes aux terminaux. Le terminal lui-même refuse toute commande non signée.

Il s'agit d'une différence majeure par rapport aux solutions qui intègrent l'accès à distance et l'automatisation mais où ces fonctions demeurent distinctes au niveau de leur architecture. Une bonne intégration lève les contraintes, sans pour autant supprimer les limites de confiance entre les produits.

Comme la surveillance et gestion à distance (RMMà, l'accès à distance, l'automatisation des correctifs et la gestion des appareils mobiles (MDM) sont intégrés nativement à Resolve, le contrôle d'accès Zero Trust vérifie l'identité des utilisateurs et des appareils, applique le principe du moindre privilège en accordant uniquement le niveau d'accès requis pour mener à bien sa fonction et recourt à la micro-segmentation afin de limiter les déplacements latéraux sur le réseau. Ce mécanisme est appliqué de manière cohérente pour chaque action au sein de la plateforme.

Pour les MSP, cela implique qu'un modèle d'autorisation unique et vérifiable dans le cadre d'un audit couvre tous les environnements client. Pour les équipes informatiques internes, les rapports de conformité et la préparation à l'audit ne nécessitent pas de corréler des journaux entre différents outils, puisque tout est centralisé et qu'une même logique de gouvernance s'applique de bout en bout.

Qu'est-ce que l'architecture Zero Trust dans le contexte de la gestion des terminaux ?

Le principe Zero Trust implique qu'aucun utilisateur, appareil ni action n'est considéré comme fiable par défaut : chaque demande d'accès et chaque tâche automatisée requiert une vérification explicite. Dans le contexte de la gestion des terminaux, cette logique s'applique aux sessions à distance, à l'exécution des scripts et à l'accès aux appareils sans surveillance. LogMeIn Resolve applique la vérification Zero Trust au niveau de chaque action, et pas uniquement lors de la connexion.

Comment l'architecture Zero Trust assure-t-elle une protection contre les attaques sur la chaîne d'approvisionnement ?

Les attaques sur la chaîne d'approvisionnement consistent généralement à compromettre un outil en lequel vous avez confiance, puis à exploiter cette confiance pour envoyer des instructions malveillantes aux terminaux. Le modèle Zero Trust de Resolve exige que chaque action soit validée par un agent vérifié. Comme les terminaux vérifient la signature avant d’exécuter toute instruction, une identité compromise ou une session détournée ne peut pas déployer de scripts malveillants de manière discrète.

ConnectWise RMM inclut-il ScreenConnect ?

Oui, ScreenConnect est inclus avec ConnectWise RMM, et ces deux outils sont parfaitement intégrés afin d'en simplifier l'usage au quotidien. Toutefois, ScreenConnect est également disponible en tant que produit autonome, et ces deux solutions disposent d'historiques de développement distincts ainsi que d'architectures de sécurité séparées. Intégration et architecture unifiée ne sont pas synonymes.

Comment le modèle Zero Trust de Resolve influence-t-il les processus quotidiens des techniciens ?

Pour la plupart des tâches courantes, la couche de vérification fonctionne de façon transparente. Les techniciens s'authentifient une seule fois, et leur clé de signature unique détermine ce à quoi ils peuvent accéder et ce qu'ils peuvent exécuter. La différence réside dans le fait que personne (y compris les administrateurs) ne peut agir hors du périmètre vérifié, ce qui réduit les risques internes sans créer de contrainte significative.

Le contrôle d'accès Zero Trust est-il proposé avec tous les forfaits Resolve ?

L'architecture Zero Trust est intégrée à la plateforme Resolve elle-même, et non réservée à un forfait premium.

Vous souhaitez découvrir la gestion des terminaux en mode Zero Trust dans votre environnement ?