Vérifications de la posture des appareils pour l'accès à distance : Ce que les équipes informatiques doivent savoir

Dans la cybersécurité, les vérifications de posture des appareils servent à déterminer si un point de terminaison répond aux exigences de sécurité définies, tant avant que pendant l'accès aux ressources de l'entreprise. Pour les administrateurs système gérant les connexions à distance, l'authentification réussie n'est qu'une partie de la décision. En effet, de telles vérifications soulèvent des questions d'authentification essentielles, allant de « Est-ce le bon utilisateur ? » à « Cet appareil est-il suffisamment fiable pour se connecter ? », en passant par les conditions de connexion et l'identité réelle de l'appareil.

Les travailleurs à distance peuvent s'authentifier en utilisant des identifiants valides tout en se connectant depuis un ordinateur non corrigé, non géré ou compromis, rendant la vérification d'identité nécessaire mais clairement insuffisante. Les vérifications de posture des appareils aident les équipes informatiques à évaluer le point de terminaison lui-même et à décider si l'accès doit être accordé, restreint ou refusé.

Qu'est-ce qu'un contrôle de posture de périphérique pour l'accès à distance ?

Un contrôle de posture des appareils évalue l'état de sécurité d'un ordinateur portable, d'une station de travail ou d'un autre point de terminaison par rapport à des exigences prédéfinies. Le résultat sert à déterminer si cet appareil doit être autorisé à accéder aux applications, aux bureaux ou à d'autres ressources de l'entreprise.

Une évaluation de posture peut examiner des éléments tels que la version du système d'exploitation, l'état de chiffrement, la protection des points de terminaison et l'identité de l'appareil. Par exemple, Microsoft décrit politiques de conformité des appareils comme des règles utilisées pour déterminer si les appareils gérés satisfont aux configurations requises avant que leur statut de conformité puisse être utilisé pour des décisions d'accès.

Ceci est nettement différent de l'authentification des utilisateurs. Des identifiants corrects prouvent l'identité de la personne se connectant. Un contrôle de posture évalue le système à partir duquel ces identifiants sont présentés et s'il répond aux exigences de sécurité de l'organisation.

Pour les environnements de protocole de bureau à distance, cette distinction est très importante. Par exemple : bien qu'autorisé, un compte se connectant depuis un point de terminaison non sécurisé est susceptible d'exposer des ressources distantes au vol de données d'identification, aux logiciels malveillants ou à un accès non autorisé. Notre guide sur évaluer la sécurité d'un ordinateur exposé via Remote Desktop investit le posture des points de terminaison aux côtés de l'exposition du réseau et des contrôles de compte.

Quels signaux de périphérique les équipes informatiques devraient-elles vérifier ?

Il ne peut y avoir aucune politique de posture de dispositif universelle unique qui convienne à tous. Les signaux doivent être sélectionnés en fonction des ressources à protéger, de la gestion et de la propriété des dispositifs, ainsi que du niveau de risque associé à l'utilisateur, à l'application ou aux données impliquées.

État du système d'exploitation et des correctifs

Un point de terminaison exécutant un système d'exploitation obsolète ou manquant de mises à jour de sécurité présente un risque plus élevé qu'un poste de travail géré entièrement mis à jour. Les versions minimales du système d'exploitation et les exigences de correctifs fournissent donc des vérifications de base utiles.

De plus, les politiques peuvent être adaptées au type d'accès requis : plus strictes pour des fins administratives à haut risque que pour les utilisateurs d'applications ordinaires ou ceux accédant à une application spécifique. L'objectif n'est pas de collecter chaque attribut d'endpoint possible, mais d'identifier les conditions qui affectent matériellement la confiance accordée à l'accès.

Protection des points de terminaison, pare-feu et cryptage

Des vérifications approfondies de la santé des appareils évalueront si la protection des points de terminaison requise est en cours d'exécution et si des contrôles tels qu'une configuration de pare-feu local appropriée et un chiffrement de disque adéquat sont activés. La détection et la réponse des points de terminaison (EDR), les plateformes de gestion des points de terminaison et similaires peuvent fournir des informations supplémentaires sur les détections de logiciels malveillants, les niveaux de menace ou la conformité de la configuration.

Ces signaux sont particulièrement importants pour les ordinateurs portables fonctionnant en dehors du réseau de l'entreprise. Un nom d'utilisateur et un mot de passe valides ne révèlent pas si la protection des points de terminaison a été désactivée ou si l'appareil continue de signaler correctement aux outils de sécurité de l'organisation.

Identité de l'appareil, certificats et statut de gestion

Au-delà de la santé des appareils, d'autres questions doivent être abordées : les équipes informatiques peuvent également avoir besoin de déterminer plus précisément quel appareil se connecte.

Les certificats de périphérique, les enregistrements d'inscription, l'identité de l'hôte et l'état de gestion peuvent aider à distinguer les points de terminaison d'entreprise connus des ordinateurs inconnus ou non gérés. Dans un environnement de type Apportez Votre Propre Appareil (BYOD), cela crée une distinction importante entre « suffisamment sain » et « autorisé » : un ordinateur portable personnel sécurisé ne devient pas nécessairement un appareil d'entreprise approuvé.

Quand le statut de l'appareil doit-il être vérifié ?

Le moment le plus évident pour exécuter un protocole de vérification de l'appareil est avant le début de l'accès. Le point de terminaison fournit les informations pertinentes, qui sont ensuite évaluées par rapport aux exigences, et la connexion est donc autorisée ou bloquée en conséquence.

Cependant, la posture peut changer au cours d'une session prolongée. Ainsi, pour certains environnements, un ensemble de vérifications est insuffisant. Un appareil peut ne plus être conforme, la protection des points de terminaison peut s'arrêter ou la télémétrie de sécurité peut identifier une nouvelle menace. Pour atténuer ce fait qu'une session peut potentiellement dépasser un accès initialement justifié, des architectures plus matures soutiennent donc une réévaluation périodique. Elles peuvent également mettre en place des décisions d'accès déclenchées par des événements plutôt que de considérer une connexion réussie comme une preuve permanente de confiance.

La fréquence appropriée dépend du risque. Les comptes administratifs et les applications sensibles peuvent justifier une validation beaucoup plus fréquente que les ressources à faible risque. Le principe important est que les informations utilisées pour prendre une décision d'accès ne doivent pas rester fiables indéfiniment, surtout si un point de terminaison évolue.

Que devrait-il se passer lorsqu'un appareil échoue à un contrôle de posture ?

L'échec ne doit pas toujours entraîner la même réponse. Les équipes informatiques doivent décider à l'avance quels échecs nécessitent un blocage immédiat et lesquels peuvent être corrigés et donc nécessitent une remédiation.

Une politique pratique peut :

• refuser l'accès en cas d'échecs critiques tels que lorsque la protection des points de terminaison est manquante ou si un appareil est trouvé compromis ;
• restreindre l'accès lorsque l'état de l'appareil est incertain ou ne peut pas être vérifié;
• informer l'utilisateur de l'exigence qui a échoué;
• diriger le point de terminaison par une mise à jour, un correctif ou une remédiation;
• enregistre les journaux de l'évaluation échouée pour enquête ; et
• testez et réévaluez l'appareil avant de rétablir l'accès normal.

La réponse doit correspondre au risque. Un correctif manquant ou une version obsolète peut justifier une remédiation, tandis que des preuves de compromission active devraient déclencher des procédures d'isolement et de réponse aux incidents.

TSplus Remote Support peut aider à ce stade. Les techniciens de support peuvent utiliser l'assistance à distance avec ou sans présence pour résoudre et remédier aux problèmes des points de terminaison lorsque l'intervention administrative est nécessaire.

Comment les vérifications de posture des appareils s'intègrent-elles avec l'authentification multifacteur et le Zero Trust ?

La posture des appareils, l'authentification multi-facteurs (MFA) et le Zero Trust abordent des questions connexes mais différentes.

MFA demande si la personne demandant l'accès peut prouver son identité par plus d'un facteur. La posture de l'appareil ajoute si le point de terminaison à partir duquel elle se connecte satisfait aux exigences de sécurité. Les autorisations déterminent ensuite les applications ou systèmes auxquels cette combinaison utilisateur + appareil spécifique devrait être autorisée à accéder.

NIST, réglementation européenne et autres pionniers de la cybersécurité abordent Principes de Zero Trust L'authentification des utilisateurs et la santé des appareils ainsi que l'autorisation sont des fonctions distinctes effectuées avant qu'une nouvelle connexion ne soit établie vers des ressources distantes parfois invisibles aux utilisateurs eux-mêmes.

Les vérifications de posture des appareils sont donc un élément d'une stratégie d'accès en couches et ne remplacent certainement pas l'authentification multifacteur, les autorisations ou la protection côté serveur. Continuez à lire. ici pour notre couverture de Zero Trust en matière d'identité, de confiance des appareils, de moindre privilège et de surveillance.

Comment les équipes informatiques peuvent-elles appliquer les principes de posture des appareils avec TSplus ?

Appliquer les fonctionnalités du logiciel TSplus pour renforcer les vérifications des appareils

Une déploiement TSplus est capable de combiner plusieurs contrôles autour de la décision d'accès tandis que des vérifications de conformité des points de terminaison plus approfondies restent avec certains outils dédiés conçus pour les effectuer.

TSplus Remote Access fournit un accès utilisateur contrôlé aux applications et bureaux Windows centralisés. L'ajout de TSplus 2FA renforce l'authentification des utilisateurs en exigeant un mot de passe et un code de vérification à usage unique basé sur le temps pour les méthodes de connexion TSplus Remote Access prises en charge.

TSplus Advanced Security ajoute une autre couche de protection. Sa fonctionnalité Appareils de confiance peut associer des utilisateurs à des noms d'appareils spécifiés et rejeter les connexions provenant d'appareils invalides. Cela fournit un contrôle d'accès conscient des appareils. Autre TSplus Advanced Security les fonctionnalités valent la peine d'être explorées en périphérie de la gestion des appareils.

Mesures de sécurité supplémentaires à mettre en œuvre

Le niveau de protection supplémentaire d'un moteur de posture complet serait additionnel à ceux-ci. Je devrais évaluer l'état des correctifs, le chiffrement des disques, la santé de l'EDR ou d'autres signaux de conformité des points de terminaison.

Les administrateurs système doivent également tenir compte des limitations de déploiement lors de la conception de leurs politiques. Les appareils de confiance ne sont pas compatibles avec les connexions HTML5, et les appareils mobiles peuvent présenter des limitations supplémentaires d'identification des noms d'hôte. Ces facteurs sont importants lors de la conception de politiques concernant l'accès web ou mobile.

Des informations plus approfondies sur la santé des appareils peuvent donc rester sous la responsabilité de la gestion de Windows, de l'EDR, de la gestion des points de terminaison ou d'autres outils de conformité. TSplus peut alors contrôler comment les utilisateurs authentifiés accèdent aux ressources publiées et protéger certains aspects de sécurité spécifiques aux serveurs d'applications. Cette séparation permet aux équipes informatiques de construire une sécurité en couches sans supposer que l'identité, la santé des points de terminaison et la livraison des applications doivent toutes provenir du même système.

Visibilité du réseau fournie par le logiciel de surveillance TSplus

TSplus Server Monitoring ajoute de la visibilité du côté de l'infrastructure en suivant la performance des serveurs, les applications et l'activité des utilisateurs. Il ne réalise pas d'évaluation de la posture des appareils clients, mais il peut compléter les contrôles d'accès par une surveillance opérationnelle une fois que les charges de travail à distance sont en cours d'exécution. Notre documentation et notre guide à logiciel de surveillance de bureau à distance et visibilité des sessions fournir plus de détails. De plus, la surveillance (et le blocage) des IP effectuée par TSplus Advanced Security complète cette visibilité et cette protection.

Une liste de contrôle pratique de la posture des dispositifs pour les administrateurs système

Une politique de posture commençant par un petit nombre de vérifications que les administrateurs peuvent appliquer de manière cohérente sera certainement plus facile à gérer. Pour un environnement d'accès à distance orienté Windows, envisagez les questions suivantes :

1. Le point de terminaison exécute-t-il un système d'exploitation pris en charge et correctement mis à jour ?
2. L'antivirus requis, l'EDR ou toute autre protection des points de terminaison requise est-elle active ?
3. Les paramètres de pare-feu et de cryptage essentiels sont-ils configurés conformément à la politique de l'entreprise ?
4. L'appareil est-il enregistré comme un appareil reconnu ou géré ?
5. L'endpoint a-t-il un statut de conformité ou de menace acceptable ?
6. L'utilisateur est-il protégé par des contrôles d'authentification appropriés ?

Le seuil exact devrait réfléter la sensibilité de la ressource et varient en conséquence. Les sessions administratives devraient normalement faire face à des exigences plus strictes que l'accès ordinaire à une seule application métier publiée.

Intégrer la confiance des appareils dans chaque décision d'accès à distance

La sécurité d'accès à distance ne doit pas s'arrêter lorsque le mot de passe est accepté. Les vérifications de posture des appareils fournissent des informations sur l'état des points de terminaison et l'identité essentielles à la décision d'accès, aidant les administrateurs système à distinguer les identifiants légitimes d'une source de connexion qui est réellement sûre à faire confiance d'un risque de sécurité potentiel.

TSplus Remote Access, Advanced Security et 2FA peuvent faire partie de cette architecture en couches, fournissant plusieurs des contrôles d'accès et d'identité autour de cette décision. Pendant ce temps, les outils de gestion et de sécurité des points de terminaison fournissent des signaux de santé des appareils et de conformité plus approfondis lorsque cela est nécessaire.

Le résultat final est un modèle de décision beaucoup plus défendable dans lequel l'équipe informatique peut évaluer les utilisateurs, les appareils et les ressources ensemble et en fonction de leur risque réel, pas seulement une fois mais de manière récurrente.