Sécurisation du réseau

Les principaux éléments de sécurisation du réseau.

1.   Attribution des droits

Bonnes pratiques

Définir des profils d’habilitation dans les systèmes en séparant les tâches et les domaines de responsabilité, afin de limiter l’accès des utilisateurs aux seules données strictement nécessaires à l’accomplissement de leurs missions.

Supprimer les permissions d’accès des utilisateurs dès qu’ils ne sont plus habilités à accéder à un local ou à une ressource informatique.

Mettez en place une fiche navette avec les RH afin d’organiser les procédures d'arrivée, de départ ou de changement de fonction des utilisateurs avec ouverture / fermeture / mise à jour des droits d’accès à votre système d’information.

Mettez en place une une revue annuelle des habilitations en rapport afin d’identifier et de supprimer les comptes non utilisés et de réaligner les droits accordés sur les fonctions de chaque utilisateur.

Une bonne gestion des droits utilisateurs limités au cadre de leur mission avec une vigilance particulière quant aux accès communiqués permettant un accès aux données sensibles.

Ce qu’il ne faut pas faire

• Créer ou utiliser des comptes partagés par plusieurs personnes.
• Donner des droits d’administrateurs à des utilisateurs n’en ayant pas besoin.
• Accorder à un utilisateur plus de privilèges que nécessaire.
• Oublier de retirer des autorisations temporaires accordées à un utilisateur (pour un remplacement,   par exemple).
• Oublier de supprimer les comptes utilisateurs des personnes ayant quitté l’organisation ou ayant changé de fonction.

2-Segmentez et cloisonnez le réseau : filtrage IP (Firewall)

Les firewalls véritables combinaisons de solutions logicielles et matérielles visent à empêcher et détecter l’intrusion de malwares et de pirates sur l’ensemble du réseau.

3-Utilisez les bons protocoles et algorithmes

- WPA-2 pour le WiFi,

- HTTPS pour la navigation web,

- IMAPS et SMTPS pour l'emailing, etc….

4-Utilisez un réseau dédié et cloisonné pour l'administration du Système d'Information

Le poste de travail de l’Administrateur est le point d’entrée du SI d’administration : c’est le composant critique par nature car il dispose d’accès étendus et privilégiés. Ce poste plus que les autres postes de travail doit faire l’objet d’une sécurisation physique et logicielle afin de restreindre au mieux les risques de compromission.

Ce qu’il ne faut pas faire

• En aucun cas l’utilisation d’un équipement personnel (BYOD) ne doit être tolérée pour l’administration d’un SI.
• L’accès depuis un poste bureautique à un poste d’administration par connexion à distance est à proscrire. Via l’accès à Internet, le poste peut être compromis et permettre à un attaquant d’espionner les actions effectuées depuis le poste et, par rebond, accéder aux outils d’administration puis au SI administré.
• Interdire en particulier la navigation Web, l’usage de messageries électroniques connectées à Internet, même si ces services sont filtrés par des passerelles sécurisées d’accès Internet. En effet, l’accès à Internet augmente significativement la surface d’exposition aux attaques informatiques et favorise un grand nombre de vecteurs d’attaque, rendant très difficile la garantie d’intégrité du poste.
  
  

Ce qu’il faut faire

• Mettez en place deux postes physiquement distincts, l’un étant dédié aux actions d’administration et l’autre pour les autres usages (bureautiques, accès à Internet).
• À défaut d’un poste d’administration physiquement dédié, utilisez des technologies de virtualisation ou de conteneurisation pour obtenir un système d’administration multi-niveaux. Dans ce cas, les fonctions permettant un échange d’informations entre les deux environnements doivent être désactivées.
• Veillez à limiter les risques en :
  • Désactivant tous les services inutiles ;
  • Application de droits restreints au juste besoin opérationnel ;
  • Activation et configuration du pare-feu local pour interdire toute connexion entrante et limiter les flux sortants au juste besoin ;
  • Activation de l’ensemble des mécanismes de mise à jour dédiés au maintien en condition de sécurité.
• Le poste d’administration ne devant en aucun cas avoir accès à Internet, pour les mises à jour de sécurité du poste, utilisez des serveurs relais.
  
  

5-Mises à jour logiciel  via des serveurs relais.

Mettre en place des serveurs relais pour la récupération des mises à jour. Seuls les flux initiés depuis ces dépôts relais vers Internet doivent permettre le téléchargement des mises à jour.

Les mises à jour ne doivent être possibles qu’au travers de dépôts relais internes à l’entité dédiés au SI d’administration et isolés d’Internet par une passerelle de type DMZ .

Filtrages par liste blanche (liste exclusive de sites Web correspondant aux sites éditeurs ou constructeurs autorisés) avec vérification dans la mesure du possible, de l’intégrité et de l’authenticité des fichiers téléchargés.

Plus d'information sur le site de l'ANSSI https://www.ssi.gouv.fr/uploads/2015/02/guide_admin_securisee_si_anssi_pa_022_v2.pdf