Sécurité des terminaux pour les techniciens d’assistance

Un ordinateur lent et un document verrouillé peuvent tous deux être des signes de la présence d’un logiciel malveillant, conçu pour endommager des appareils, voler ou verrouiller des données, ou utiliser des ressources sans consentement éclairé. Distingue son mode d’arrivée de son action. Un faux programme d’installation peut être un cheval de Troie qui installe un rançongiciel.

Suivre la voie d’entrée

Un cheval de Troie d’accès à distance (RAT) donne à un attaquant le contrôle à distance. Un faux convertisseur PDF peut installer un tel cheval de Troie tout en convertissant un document : son utilité apparente ne le rend donc pas sûr.

Reconnaître les dommages

Un rançongiciel chiffre les fichiers et exige un paiement pour fournir une clé. Les attaquants volent souvent les données auparavant. Des fichiers se terminant par .locked et une demande de rançon telle que HOW_TO_RECOVER.txt sont des signes d’alerte urgents. Les partages mappés et les dossiers cloud synchronisés peuvent aussi être touchés. Déconnecte rapidement un appareil concerné ; la récupération dépend de son nettoyage ou de sa reconstruction, puis de la restauration de données issues d’une sauvegarde saine. Le paiement ne garantit pas la récupération.

Un logiciel espion recueille secrètement des informations. Un enregistreur de frappes enregistre les touches tapées et peut être un logiciel ou un adaptateur matériel placé sur une connexion du clavier. Sur les ordinateurs partagés, vérifie les connexions physiques ainsi que les logiciels installés. Un logiciel de surveillance furtive suit les messages ou la position d’une personne pour le compte d’une de ses connaissances. Sa suppression peut alerter cette personne ; laisse le propriétaire de l’appareil décider quand il peut être supprimé sans danger.

Un mineur de cryptomonnaie malveillant utilise le processeur ou le processeur graphique pour produire de la cryptomonnaie. Un échauffement, des ventilateurs bruyants et une décharge de la batterie lorsque l’appareil est inactif peuvent correspondre à cette situation. Vérifie les processus en cours avant de conclure sur la cause.

Comprendre les infections cachées

Un rootkit modifie les interfaces ou les composants qui signalent l’activité du système. Il peut agir par les interfaces des applications, le noyau, le code de démarrage ou le micrologiciel. Le système d’exploitation infecté peut donner une vue faussée à un outil d’analyse. Une analyse hors ligne examine l’appareil pendant que ce système ne fonctionne pas. Une réinstallation est souvent nécessaire ; une infection du micrologiciel peut aussi nécessiter sa restauration à partir d’une source fiable.

Un logiciel malveillant sans fichier fonctionne en mémoire et peut détourner PowerShell ou l’Infrastructure de gestion Windows (WMI). Des tâches planifiées ou des entrées du Registre peuvent le relancer après un redémarrage. Les outils de détection comportementale peuvent reconnaître ses actions même lorsqu’il reste peu d’éléments sur le disque à comparer à une signature connue.

Distinguer les logiciels indésirables des logiciels malveillants

Un publiciel affiche des publicités indésirables ou modifie les résultats de recherche. Un programme potentiellement indésirable peut avoir été inclus dans un programme d’installation sous forme d’offre présélectionnée. Il peut être indésirable sans être malveillant. Examine les applications installées et les extensions du navigateur, supprime les ajouts indésirables et utilise les options d’installation personnalisée pour refuser les éléments supplémentaires proposés.

Les logiciels malveillants ciblent les Mac et les téléphones aussi bien que les PC Windows. Une analyse qui ne détecte rien est un indice utile, mais les symptômes inexpliqués doivent toujours être examinés, car un logiciel malveillant caché ou nouveau peut échapper à la détection.

L’ingénierie sociale manipule les personnes pour obtenir un accès, des informations ou une action. L’attaquant peut créer un sentiment d’urgence, se réclamer d’une autorité ou faire appel à la volonté d’aider. Un ordinateur bien configuré ne peut pas empêcher une personne d’autoriser un paiement frauduleux.

Reconnaître le message et sa cible

L’hameçonnage imite un expéditeur de confiance pour obtenir des identifiants ou inciter une personne à cliquer sur un lien ou à ouvrir une pièce jointe. L’hameçonnage vocal utilise les appels ; l’hameçonnage par SMS utilise les messages textuels ; l’hameçonnage par QR code cache une destination dans un code à scanner. Affiche un aperçu de la destination d’un QR code avant de l’ouvrir. Un code sur une affiche familière peut avoir été remplacé.

L’hameçonnage ciblé utilise des renseignements sur une personne ou une équipe particulière. L’hameçonnage ciblant les dirigeants vise les cadres dirigeants. Ces termes décrivent la cible : un message textuel soigneusement préparé peut donc relever à la fois de l’hameçonnage par SMS et de l’hameçonnage ciblé.

La compromission de messagerie professionnelle (BEC) consiste à demander de l’argent, des cartes cadeaux ou une modification des coordonnées bancaires au moyen d’une boîte aux lettres usurpée ou compromise. Le message peut ne contenir ni lien ni pièce jointe. Confirme toute demande de modification d’un paiement en utilisant un numéro déjà enregistré. Appeler le numéro indiqué dans le message suspect revient simplement à suivre les instructions de l’attaquant.

Lire correctement une destination

Supposons que le personnel utilise normalement northwind.example. Un message arrive de helpdesk@northwind-support.example avec l’objet « Boîte aux lettres pleine : confirme ton compte dans les 2 heures ». Le lien affiché indique https://portal.northwind.example, mais sa destination est https://northwind.example.login-verify.net/reset.

1. Vérifie l’adresse complète de l’expéditeur. Le mot supplémentaire change le domaine.
2. Examine la destination réelle sans l’ouvrir. Le texte du lien peut être choisi librement.
3. Lis le nom d’hôte entre https:// et la barre oblique simple suivante. Son domaine enregistré est login-verify.net ; les mots familiers à sa gauche sont des sous-domaines contrôlés par le propriétaire de ce domaine.
4. Considère le délai comme une pression destinée à te faire renoncer aux vérifications. Ouvre le service à partir d’un favori connu pour examiner la situation indépendamment.

HTTPS chiffre la connexion avec le domaine indiqué. Un site d’hameçonnage peut lui aussi avoir un certificat valide.

Réagir sans aggraver l’attaque

Signale un message suspect à l’aide du bouton de signalement de l’organisation ou au centre d’assistance. Ne réponds pas, n’ouvre pas les pièces jointes et n’essaie pas le lien pour voir ce qui se passe. Un signalement rapide permet à l’assistance de supprimer les copies présentes dans d’autres boîtes aux lettres.

Si un utilisateur a saisi un mot de passe, utilise un appareil dont tu sais qu’il est sain pour le changer, révoque les sessions actives et vérifie si des méthodes d’authentification multifacteur ou des règles de transfert inconnues ont été ajoutées. Consigne les faits dans un ticket. Changer le mot de passe ne suffit pas : il faut aussi vérifier les autres voies d’accès possibles.

Vérifier les personnes aussi soigneusement que les messages

L’usurpation d’identité repose sur un rôle ou une histoire crédible. Le talonnage consiste à suivre une personne à travers une porte sécurisée sans autorisation distincte. L’espionnage par-dessus l’épaule consiste à observer un écran ou un clavier ; masquer la saisie d’un code PIN et utiliser un filtre de confidentialité aident à s’en protéger. La fouille de poubelles consiste à chercher des documents ou des unités de stockage utiles dans les déchets.

Une personne qui appelle en prétendant être directrice peut exiger une réinitialisation urgente. Suis les vérifications d’identité approuvées, par exemple en rappelant le numéro de l’annuaire ou en obtenant une confirmation par la procédure de tickets. Le rang et l’urgence ne remplacent pas la vérification. Une approche convaincante peut aussi tromper du personnel formé ; un signalement rapide est plus utile que la recherche d’un responsable.

Une vulnérabilité est une faiblesse, comme une application non corrigée. Une menace est ce qui pourrait l’exploiter, comme une personne malveillante au sein de l’organisation. Une attaque est la tentative d’utiliser cette faiblesse. Ces termes désignent différentes parties du problème.

Comprendre les essais de mots de passe

Une attaque par force brute essaie les combinaisons possibles. Pour un ensemble fixe de caractères, l’espace de recherche est :

Ici, $a$ est le nombre de caractères autorisés et $n$ la longueur du mot de passe. Avec 26 lettres minuscules, 8 caractères donnent environ 209 milliards de combinaisons. À une vitesse illustrative de 10 milliards d’essais par seconde hors ligne, il faut environ 21 secondes pour toutes les tester. À cette vitesse, huit caractères choisis parmi 94 symboles donnent environ 7,1 jours ; 16 lettres minuscules donnent environ 138 000 ans. Ces calculs comparent les espaces de recherche complets pour des choix aléatoires. La vitesse réelle dépend du système de hachage des mots de passe et du matériel ; les phrases prévisibles peuvent être trouvées beaucoup plus tôt.

Une attaque en ligne envoie des essais à un service de connexion actif, où les verrouillages et les limites de débit la ralentissent. Une attaque hors ligne utilise des empreintes de hachage de mots de passe volées, hors de portée de ces contrôles. Une attaque par dictionnaire essaie en priorité des mots courants, des mots de passe divulgués et des variantes comme « Summer2026! ». Le bourrage d’identifiants consiste à essayer sur d’autres services des couples nom d’utilisateur et mot de passe déjà divulgués. Les mots de passe longs et uniques et l’authentification multifacteur répondent à différents aspects de ces risques.

Reconnaître les interceptions et les fausses identités

Une attaque de l’homme du milieu place un attaquant entre des parties qui communiquent. Un jumeau maléfique copie le nom d’un réseau Wi-Fi légitime pour attirer les connexions. Ne rejoins pas automatiquement les réseaux ouverts ; vérifie l’identité du réseau, utilise HTTPS, tiens compte des avertissements de certificat et utilise le VPN approuvé sur les réseaux Wi-Fi publics. Un VPN protège le trajet de son trafic, mais ne rend pas fiable une fausse page de connexion.

L’usurpation d’identité falsifie une identité, comme une adresse d’expéditeur, un numéro d’appelant ou une adresse MAC. Une attaque du jour zéro utilise une faiblesse pour laquelle aucun correctif n’est encore disponible ou que le fournisseur ne connaît pas encore. La détection comportementale, les comptes aux droits limités et les pare-feu aident à limiter l’exposition avant l’arrivée d’un correctif.

Reconnaître les attaques contre les services et les applications

Un déni de service (DoS) surcharge un service ; un déni de service distribué (DDoS) utilise de nombreuses sources, souvent un réseau d’appareils compromis. Une menace interne abuse d’un accès légitime, intentionnellement ou par négligence.

L’injection SQL amène une application non sécurisée à traiter une saisie comme des commandes de base de données. L’injection de script intersite (XSS) amène un site web à exécuter un script fourni par l’attaquant dans les navigateurs des visiteurs. Une attaque de la chaîne d’approvisionnement compromet un produit ou une mise à jour de confiance ; la compromission de SolarWinds Orion en 2020 en est un exemple. Le personnel d’assistance maintient les logiciels à jour et signale les signes de compromission ; les développeurs corrigent le traitement non sécurisé des saisies.

Repérer le terminal exposé

Un appareil non corrigé ne dispose pas de correctifs pourtant disponibles. Un appareil non protégé ne dispose pas d’un antivirus ou d’un pare-feu en état de marche. Un appareil non conforme enfreint la politique de l’organisation, par exemple parce qu’il n’est pas chiffré. Le BYOD désigne les appareils personnels utilisés pour le travail, dont la sécurité doit aussi être vérifiée.

Un logiciel en fin de vie ne reçoit plus les correctifs de sécurité habituels. Windows 10 Home et Pro ont atteint la fin du support le 14 octobre 2025 ; les appareils inscrits peuvent recevoir des mises à jour de sécurité étendues limitées dans le cadre d’Extended Security Updates. Remplace ou isole les systèmes qui ne sont plus pris en charge. Traite en priorité les faiblesses que les attaquants exploitent déjà.

Un mot de passe robuste doit être à la fois long et unique. Ajouter des caractères augmente l’espace de recherche, mais réutiliser un mot de passe robuste permet à une seule compromission de toucher plusieurs comptes. Les types de caractères, les exigences de complexité et l’expiration sont des paramètres de politique distincts.

Appliquer la politique en comprenant son objectif

Les recommandations de 2025 du NIST exigent au moins 15 caractères pour un mot de passe utilisé seul. Lorsque le mot de passe est utilisé avec une authentification multifacteur, le minimum peut être de 8 caractères. Elles recommandent d’accepter au moins 64 caractères et rejettent les combinaisons de caractères imposées ainsi que les changements périodiques systématiques. Un changement est exigé en présence d’indices de compromission, et les mots de passe courants, prévisibles ou compromis doivent être bloqués.

De nombreux employeurs exigent encore un mélange de types de caractères, un historique des mots de passe ou une expiration. Applique la politique de l’organisation et explique correctement ses paramètres. Respecter une règle de complexité ne rend pas un mot familier imprévisible : « P@ssw0rd! » fait partie des mots de passe couramment essayés.

Une phrase de passe associe des mots aléatoires sans lien entre eux. « Violet bateau renard nuages » contient 27 caractères, espaces compris. Une citation célèbre, des paroles de chanson ou un renseignement personnel sont plus faciles à prévoir. Garde toute véritable phrase de passe secrète et réserve-la à un seul compte.

Utiliser un gestionnaire pour avoir des mots de passe uniques

Un gestionnaire de mots de passe stocke les mots de passe dans un coffre chiffré et génère de longues valeurs aléatoires pour les différents sites. Protège le coffre avec un mot de passe principal robuste et une authentification multifacteur. Les gestionnaires intégrés au navigateur ou au système d’exploitation peuvent remplir cette fonction, tout comme des applications distinctes.

Le remplissage automatique constitue aussi une vérification utile. Un gestionnaire associe normalement un identifiant enregistré à son site web : une page d’apparence familière sur laquelle le mot de passe enregistré n’est pas proposé mérite donc un examen. Ouvre le véritable service par un moyen connu au lieu de copier les identifiants dans la page pour forcer la connexion.

Comprendre les paramètres Windows

Dans Windows Pro et les éditions supérieures, ouvre Stratégie de sécurité locale avec secpol.msc, puis examine les stratégies de compte. Une stratégie de domaine peut gérer ces paramètres de manière centralisée.

Le verrouillage ralentit les essais sur le service de connexion actif. Il ne ralentit pas un attaquant qui teste hors ligne des empreintes de hachage volées. Un seuil d’échecs très bas permet aussi à un attaquant de bloquer volontairement de nombreux comptes et provoque des appels évitables à l’assistance.

Pour illustrer simplement une limite de débit, supposons qu’un service autorise 5 essais par période de 15 minutes. Il y a 96 périodes dans une journée : le service autorise donc 480 essais par jour. Essayer les 10 000 codes PIN possibles à quatre chiffres prendrait environ 21 jours à cette limite. Le comportement réel du verrouillage dépend du seuil configuré, du délai de réinitialisation et de la durée du verrouillage.

Réinitialiser sans exposer le secret

Vérifie l’identité de la personne qui appelle selon la procédure approuvée avant toute modification. Lorsqu’un mot de passe temporaire est utilisé, active l’option « L’utilisateur doit changer le mot de passe à la prochaine ouverture de session » et transmets le secret temporaire par le canal sécurisé approuvé. Ne demande jamais le mot de passe actuel et n’inscris jamais de mot de passe dans un ticket, une discussion ordinaire ou un courriel. Consigne les vérifications d’identité et l’action effectuée, sans enregistrer le secret.

L’authentification vérifie une identité déclarée. Les principales catégories de facteurs sont ce que tu sais, comme un mot de passe ; ce que tu possèdes, comme une clé de sécurité ; et ce que tu es, comme une empreinte digitale. La position et le rythme de frappe peuvent fournir des signaux supplémentaires.

Compter les catégories, pas les écrans

L’authentification multifacteur combine au moins deux catégories de facteurs. Un mot de passe et un code généré par téléphone combinent savoir et possession. Un mot de passe et une question de sécurité utilisent deux fois le savoir, même si le service affiche deux écrans.

Un mot de passe et une vérification biométrique peuvent aussi combiner des catégories lorsqu’ils sont mis en œuvre comme des vérifications indépendantes. Sur les téléphones et les appareils Windows Hello, une vérification locale par empreinte digitale ou par reconnaissance faciale déverrouille généralement une clé protégée sur l’appareil.

Bien gérer les codes et les demandes d’approbation

Un mot de passe à usage unique fondé sur le temps (TOTP) utilise un secret partagé enregistré dans l’application, généralement en scannant un QR code. L’application le combine avec l’heure pour générer un code, souvent de six chiffres, qui change toutes les 30 secondes. Le calcul ne nécessite pas de réseau, mais une horloge incorrecte sur l’appareil peut provoquer des échecs. Un mot de passe à usage unique n’est valable qu’une fois ; un code à six chiffres possède un million de valeurs possibles.

Une attaque par fatigue de l’authentification multifacteur envoie des demandes répétées jusqu’à ce qu’une personne approuve. Les utilisateurs doivent refuser et signaler les demandes qu’ils n’ont pas déclenchées. La correspondance des numéros leur demande de saisir le numéro affiché sur leur propre écran de connexion et réduit les approbations irréfléchies. Elle ne rend pas une procédure dans laquelle un code est saisi ou retransmis équivalente à une clé résistante à l’hameçonnage.

Les clés de sécurité FIDO2 et les clés d’accès résistent à la retransmission par un faux site, car elles s’authentifient auprès du bon service. Les codes saisis sur une fausse page peuvent être transmis au véritable service pendant qu’ils sont encore valides.

Prévoir la perte sans contourner les vérifications d’identité

En cas de perte d’un téléphone contenant l’application d’authentification, vérifie l’identité, révoque la méthode perdue, utilise une méthode de secours ou un code de récupération approuvé, puis enregistre le téléphone de remplacement. Encourage l’enregistrement de deux méthodes afin qu’une seule perte ne bloque pas l’accès. N’enregistre pas un nouveau téléphone simplement parce qu’une personne qui appelle connaît le nom d’utilisateur.

Les lecteurs biométriques peuvent accepter à tort une mauvaise personne ou refuser la bonne. Le modèle biométrique local est conservé dans un composant matériel protégé, et un code PIN ou un mot de passe reste disponible comme solution de secours. Une donnée biométrique est plus difficile à remplacer qu’un mot de passe compromis.

Reconnaître le service derrière la demande

Kerberos fournit des tickets à durée limitée pour la connexion à Windows Active Directory ; sa tolérance par défaut pour l’écart des horloges est de cinq minutes. Vérifie donc la synchronisation de l’heure lorsque l’authentification au domaine échoue. RADIUS vérifie les accès Wi-Fi et VPN. L’authentification unique (SSO) permet d’ouvrir plusieurs applications après une seule connexion, souvent au moyen d’assertions SAML. Protéger cette connexion centrale par une authentification multifacteur sécurise une voie d’accès importante aux applications connectées.

Windows distingue à qui appartient le compte de ce que ce compte peut modifier. Un compte local, Microsoft ou professionnel peut avoir différents droits. Le choix de l’identité appropriée ne justifie pas à lui seul un accès administrateur.

Choisir l’identité

Un utilisateur standard peut exécuter les applications installées et modifier ses paramètres personnels. Un administrateur peut aussi modifier les paramètres de l’ensemble du système et gérer d’autres comptes. Utilise des droits standard pour le travail quotidien et une identité administrateur distincte pour la maintenance approuvée. Cela limite les modifications que les logiciels lancés dans une session ordinaire peuvent effectuer.

Garde le compte Invité désactivé. L’ancien groupe Utilisateurs avec pouvoir subsiste pour des raisons de compatibilité et ne donne par défaut aucun droit supplémentaire par rapport à un utilisateur standard.

Élever les privilèges pour une tâche sans promouvoir une personne

Le contrôle de compte d’utilisateur (UAC) maintient les applications avec des droits ordinaires jusqu’à ce qu’une élévation soit demandée. Un administrateur voit normalement une demande de consentement ; un utilisateur standard doit fournir les identifiants d’un administrateur. Le bureau sécurisé assombri aide à protéger la demande contre les autres applications.

Un bouclier signale les paramètres qui nécessitent une élévation. Un clic droit sur un programme suivi du choix Exécuter en tant qu’administrateur élève les privilèges de ce programme. Par exemple, une réparation approuvée avec sfc /scannow nécessite une fenêtre de commande aux privilèges élevés. Vérifie le programme et la raison de la demande avant de l’approuver. Un programme malveillant doté de privilèges élevés peut lui aussi modifier le système.

Ne donne pas les droits administrateur à un employé uniquement pour installer un programme approuvé. Fournis des identifiants autorisés à l’invite du contrôle de compte d’utilisateur pour cette tâche. Garde le contrôle activé ; « Ne jamais m’avertir » supprime une vérification utile.

Comprendre Windows Hello

Windows Hello propose un code PIN propre à l’appareil, l’empreinte digitale ou la reconnaissance faciale. La reconnaissance faciale nécessite un matériel infrarouge adapté. Les paramètres de connexion sans mot de passe peuvent masquer l’option de connexion par mot de passe.

Un code PIN Hello déverrouille une clé protégée par le module de plateforme sécurisée (TPM) de l’appareil, qui dispose de protections contre les essais répétés. Ce n’est pas le mot de passe réutilisable envoyé à un compte en ligne. Connaître le code PIN sans posséder l’appareil ne donne pas le même accès à distance que connaître le mot de passe de ce compte. Cela explique pourquoi un code PIN local court et un mot de passe en ligne long jouent des rôles de sécurité différents.

Préparer et entretenir l’ordinateur portable d’un employé

1. Inscris-le ou joins-le selon la procédure de l’organisation pour les comptes professionnels.
2. Confirme que l’employé dispose de droits standard et que le technicien possède une identité distincte pour la maintenance.
3. Configure Hello et garde le contrôle de compte d’utilisateur au niveau approuvé.
4. Désactive les comptes locaux inutilisés et confirme que le compte Invité reste désactivé.
5. Vérifie que les paramètres de gestion requis s’appliquent.

Un domaine Active Directory centralise les comptes et les paramètres. La stratégie de groupe peut appliquer des règles de mot de passe, de pare-feu et de chiffrement, des scripts de connexion, des mappages de dossiers personnels et la redirection de dossiers. Les cibles de la stratégie dépendent des unités d’organisation et des groupes de sécurité. gpresult /r affiche les stratégies appliquées ; gpupdate /force demande une actualisation. Si un paramètre local revient sans cesse à sa valeur précédente, vérifie la stratégie qui le gère avant de le modifier à nouveau.

Ouvre Sécurité Windows pour examiner Protection contre les virus et menaces, Protection des comptes, Pare-feu et protection du réseau, Contrôle des applications et du navigateur, et Sécurité de l’appareil. SmartScreen avertit des téléchargements suspects et de l’hameçonnage. Sécurité de l’appareil présente des fonctionnalités comme le TPM et le démarrage sécurisé.

Garder l’antivirus actif

L’Antivirus Microsoft Defender fournit des vérifications en temps réel et dans le cloud ainsi qu’une protection contre les falsifications. Ses mises à jour du renseignement de sécurité contiennent les informations de détection actuelles et arrivent par Windows Update. Vérifie les mises à jour de la protection lorsque les définitions doivent être actualisées manuellement.

La désactivation de la protection en temps réel dans l’interface est temporaire ; Windows la réactive normalement. Un antivirus non Microsoft enregistré devient le principal moteur en temps réel. Defender peut être désactivé ou fonctionner dans un mode passif administré, selon la configuration. Vérifie quel produit assure la protection avant de considérer un écran Defender inactif comme une panne. Deux moteurs en temps réel concurrents peuvent entrer en conflit et ralentir l’ordinateur.

Choisir l’analyse adaptée au problème

Microsoft Defender hors ligne prend en charge les PC Windows 11 x64 ; il n’est pas disponible sur Windows 11 avec processeur ARM. Enregistre le travail de l’utilisateur avant une analyse hors ligne. Elle prend environ 15 minutes et aide à trouver les logiciels malveillants qui se cachent pendant l’exécution de Windows. Examine ensuite les résultats et les symptômes toujours inexpliqués.

Une exclusion indique à Defender d’ignorer un emplacement ou un processus précis. Utilise-la uniquement pour répondre au besoin vérifié d’une application, avec le périmètre approuvé le plus réduit possible. Exclure Téléchargements ou un lecteur entier crée une importante zone non surveillée. Un programme d’installation bloqué doit être examiné ; désactiver l’antivirus pour le lancer supprime le contrôle qui a déclenché l’avertissement.

Adapter les règles de pare-feu au réseau

Le Pare-feu Microsoft Defender est un pare-feu personnel qui protège cet ordinateur. Ses profils sont Domaine pour une connexion à un domaine reconnu, Privé pour un réseau domestique ou professionnel de confiance et Public pour les réseaux inconnus. Choisis Public sur un réseau que tu ne contrôles pas. Garde la protection activée sur chaque profil.

Par défaut, le pare-feu bloque les connexions entrantes non sollicitées sauf si une règle les autorise, tout en autorisant le trafic sortant. Une règle d’application autorise un programme sur les profils sélectionnés. Les règles avancées dans wf.msc peuvent aussi limiter le protocole, le port et les adresses distantes.

Rétablir l’accès par une modification ciblée

Supposons que le centre d’assistance ne puisse pas atteindre un PC du domaine par le Bureau à distance :

1. Confirme que le Bureau à distance est approuvé et activé sur le PC de destination.
2. Examine sa règle de trafic entrant existante pour TCP 3389.
3. Autorise le profil Domaine et la plage d’adresses approuvée du centre d’assistance.
4. Effectue un test depuis une source autorisée et consigne la modification de la règle.

Ouvrir le même port sur tous les profils et à toutes les sources crée une exposition inutile. Désactiver entièrement le pare-feu supprime aussi d’autres protections. Une règle doit décrire le trafic nécessaire aussi précisément que la tâche le permet.

L’accès d’un utilisateur dépend du chemin emprunté pour atteindre le fichier et des autorisations présentes sur ce chemin. Les autorisations NTFS s’appliquent localement et sur le réseau. Les autorisations de partage ne s’appliquent que lorsqu’une personne accède à un dossier partagé par le réseau.

Combiner les bons contrôles

NTFS propose Contrôle total, Modification, Lecture et exécution, Affichage du contenu du dossier, Lecture et Écriture. Les autorisations de partage proposent Contrôle total, Modifier et Lecture. Pour un accès réseau, l’action demandée par l’utilisateur doit être autorisée par les deux niveaux.

Supposons que le partage Rapports donne Lecture à Tout le monde, tandis que NTFS donne Modification au groupe Ventes. Ana appartient au groupe Ventes :

1. Par le partage, le niveau de partage autorise uniquement la lecture.
2. NTFS autorise la modification, mais ne peut pas ajouter un droit bloqué par le niveau de partage.
3. Ana peut donc lire les fichiers sur le réseau. Lorsqu’elle est connectée localement, la restriction du partage ne s’applique pas : son autorisation NTFS Modification prend effet.

Une pratique courante consiste à garder des autorisations de partage suffisamment larges pour le travail prévu et à gérer les accès détaillés au moyen de groupes NTFS.

Comprendre les groupes multiples et l’héritage

Les autorisations accordées par les différents groupes s’additionnent généralement. Lecture accordée par un groupe et Modification par un autre donnent Modification. Un refus au même niveau de priorité l’emporte sur l’autorisation correspondante, mais les entrées explicites priment sur les entrées héritées. Une entrée explicite Autoriser peut donc l’emporter sur une entrée héritée Refuser. Le raccourci « Refuser l’emporte toujours » masque cette distinction.

Les nouveaux fichiers et sous-dossiers héritent normalement des entrées du dossier de destination. Les entrées héritées apparaissent grisées. Désactiver l’héritage permet de les convertir en entrées explicites ou de les supprimer. Pour un sous-dossier privé des ressources humaines, examine l’accès hérité du service avant de décider quelles entrées conserver.

Accorde les droits à des groupes lorsque c’est possible et utilise les refus avec parcimonie. L’onglet Accès effectif des paramètres de sécurité avancés permet d’examiner l’accès NTFS d’un utilisateur précis. Vérifie séparément les autorisations de partage en cas de problème d’accès réseau.

Prévoir les effets d’une copie ou d’un déplacement

Par exemple, déplacer un fichier à accès restreint entre des dossiers d’un même volume peut le laisser restreint même si les fichiers voisins sont lisibles. Une copie dans le dossier de destination reçoit généralement les autorisations de ce dossier. Les outils dotés d’options spéciales de conservation peuvent volontairement se comporter autrement : vérifie donc l’opération utilisée lorsque tu diagnostiques un résultat inattendu.

Distinguer les attributs

Lecture seule, Caché, Système et Archive sont des attributs qui ne remplacent pas les autorisations d’accès. attrib +r +h notes.txt marque un fichier comme étant en lecture seule et caché. Un utilisateur disposant des droits appropriés peut modifier les attributs, et l’affichage des fichiers cachés rend leurs noms visibles. Les attributs avancés comprennent aussi la compression et le chiffrement EFS.

Évite d’accorder le contrôle total à Tout le monde pour résoudre un problème d’accès : cela peut exposer les données à des comptes qui n’en ont pas besoin.

Le durcissement réduit la surface d’attaque : les comptes, services, programmes et connexions qui pourraient fournir une voie d’accès. Conserve ce qui est nécessaire au travail, sécurise-le et supprime les accès inutilisés.

Restreindre l’accès aux comptes

Remplace les identifiants administrateur d’usine par des identifiants uniques, renomme les comptes administrateur par défaut lorsque la politique l’exige et désactive les comptes inutilisés ainsi que le compte Invité. Renommer un compte ne change pas son mot de passe et ne suffit pas à le protéger. Utilise des droits standard pour le travail quotidien.

Définis des dates d’expiration pour les travailleurs temporaires et limite les heures de connexion lorsque c’est approprié. Pour un compte local, net user jdoe /times:M-F,08:00-18:00 définit les heures de connexion en semaine ; les horaires des comptes de domaine peuvent être gérés de manière centralisée. Configure par stratégie le verrouillage après des tentatives échouées. Vérifie les besoins de travail et d’assistance prévus avant de restreindre les horaires.

Définis un court délai de verrouillage après inactivité, par exemple cinq minutes sur un PC de bureau, et exige une connexion au retour. Les utilisateurs peuvent appuyer sur la touche Windows + L avant de s’absenter et fermer leur session à la fin de la journée. Le verrouillage dynamique utilise la présence Bluetooth du téléphone appairé pour aider à verrouiller l’ordinateur lorsque l’utilisateur s’éloigne.

Protéger les paramètres de démarrage et les données stockées

Un mot de passe administrateur ou superviseur du micrologiciel protège les paramètres BIOS/UEFI. Un mot de passe utilisateur ou de mise sous tension est demandé avant le démarrage. Ils ont des rôles différents.

Un mot de passe administrateur seul peut laisser accessible le menu de démarrage ponctuel sur USB. Place le lecteur interne en premier, désactive ou protège par mot de passe le démarrage externe et le menu ponctuel, et conserve le démarrage sécurisé. Le chiffrement du disque protège les données si une personne retire entièrement le lecteur. Conserve les identifiants du micrologiciel en lieu sûr ; la perte d’un mot de passe sur un ordinateur portable professionnel peut nécessiter l’intervention du fabricant.

Supprimer les moyens inutiles d’exécuter des logiciels

Les versions actuelles de Windows n’exécutent pas automatiquement les programmes des clés USB ordinaires au moyen de autorun.inf, mais Exécution automatique peut encore proposer des actions lors de l’insertion d’un support. Dans Paramètres > Bluetooth et appareils > Exécution automatique, désactive cette fonctionnalité ou exige un choix à chaque fois. La stratégie de groupe peut gérer ces choix.

Désinstalle les logiciels d’essai inutilisés, les modules complémentaires obsolètes et les applications inutiles. Ne désactive les services inutilisés qu’après avoir vérifié leurs dépendances dans services.msc. Désactiver le Bureau à distance est judicieux sur un PC qui n’a aucun besoin approuvé d’accès distant ; désactiver un service nécessaire peut en revanche empêcher l’utilisateur de travailler.

Maintenir les correctifs à jour

Installe rapidement les mises à jour de sécurité du système d’exploitation, des applications et des pilotes. Traite en priorité une faille déjà exploitée. Un correctif ne peut pas aider tant qu’il n’est pas installé et que tout redémarrage nécessaire n’est pas effectué. Remplace ou isole les produits qui ne sont plus pris en charge et ne reçoivent plus de correctifs.

Pour un ordinateur portable de bureau de réserve, une séquence utile consiste à supprimer les anciens comptes et logiciels, appliquer les mises à jour actuelles, vérifier l’état de l’antivirus et du pare-feu, contrôler le verrouillage après inactivité et le chiffrement, puis tester les applications nécessaires. Cela confirme que l’appareil durci reste utilisable.

Protège aussi le matériel et les informations à proximité. Sécurise un ordinateur portable laissé sans surveillance, évite de le laisser dans une voiture, range les documents imprimés sensibles sous clé, ne laisse rien sur le bureau et utilise des filtres de confidentialité là où des personnes peuvent voir les écrans. Les données à caractère personnel permettent d’identifier une personne et doivent être protégées tout au long du travail courant d’assistance.

Les données au repos sont stockées sur un appareil ; les données en transit circulent sur un réseau. Le chiffrement du disque protège les données stockées si un appareil éteint est volé ou si son lecteur est retiré. Une fois que l’utilisateur a déverrouillé une session, les applications et les logiciels malveillants de cette session peuvent lire les fichiers accessibles. Maintiens aussi les verrouillages d’écran et les outils antimalveillants en état de marche.

Choisir l’outil Windows

BitLocker utilise normalement un module de plateforme sécurisée (TPM) pour protéger le matériel de clé et vérifier l’intégrité du démarrage. Il prend en charge TPM 1.2 ou ultérieur ; Windows 11 exige TPM 2.0. Un code PIN de démarrage ajoute une vérification avant le déverrouillage automatique. Sans TPM, les configurations prises en charge utilisent une clé de démarrage USB. Exécute manage-bde -status pour examiner l’état du chiffrement et de la protection.

La version 24H2 de Windows 11 a étendu la compatibilité avec le chiffrement automatique de l’appareil. Lors d’une nouvelle installation compatible, le chiffrement peut s’initialiser avant l’activation effective de la protection. La connexion avec un compte Microsoft ou professionnel sauvegarde la clé de récupération et active la protection. Une configuration utilisant uniquement des comptes locaux peut laisser une clé en clair, ce qui équivaut à une protection suspendue. Vérifie l’état de la protection, et pas seulement le pourcentage chiffré. Les lecteurs externes nécessitent leur propre protection.

Récupérer l’accès après une modification du démarrage

La clé de récupération BitLocker est un mot de passe de récupération de 48 chiffres présenté en huit groupes de six chiffres. Un identifiant de clé permet de retrouver l’enregistrement correspondant. Des modifications du micrologiciel ou des paramètres de démarrage, le déplacement d’un lecteur ou des saisies incorrectes répétées du code PIN de démarrage peuvent déclencher la récupération.

Si un écran de récupération apparaît après une mise à jour du micrologiciel :

1. Fais correspondre son identifiant de clé à l’enregistrement dans l’annuaire de l’organisation ou le compte Microsoft du propriétaire.
2. Récupère la valeur autorisée de 48 chiffres et déverrouille le lecteur.
3. Vérifie que la modification du démarrage était prévue et que la protection est active ensuite.

Conserve les informations de récupération hors du lecteur chiffré : dans l’annuaire ou le compte approuvé, dans un fichier séparé ou sur un document imprimé protégé. Microsoft ne peut pas créer une clé manquante. Avant une intervention prévue sur le micrologiciel ou le matériel, suis la procédure de suspension approuvée. La suspension laisse les données chiffrées, mais rend temporairement une clé accessible ; réactive la protection après la modification et vérifie son état.

Protéger les fichiers et les autres plateformes

EFS utilise un certificat utilisateur et une clé privée pour chiffrer les fichiers NTFS sélectionnés. Le propriétaire les ouvre normalement ; les autres utilisateurs, y compris les administrateurs par défaut, ne peuvent pas les déchiffrer simplement parce qu’ils disposent de droits administrateur. Sauvegarde le certificat avec sa clé privée, normalement dans un fichier .pfx protégé, ou assure-toi qu’une clé d’agent de récupération autorisée existe. Sans cela, la perte du profil ou la réinitialisation du mot de passe local par un administrateur peut rendre les fichiers inaccessibles. Une copie vers FAT32 ou exFAT supprime la protection EFS.

BitLocker protège contre une personne en possession du lecteur ; EFS protège l’accès à certains fichiers contre les autres utilisateurs. FileVault chiffre le disque d’un Mac avec des options de récupération configurées. Les iPhone et les iPad utilisent le chiffrement et une protection des données liée au code. Les téléphones Android actuels chiffrent le stockage et le protègent par le verrouillage d’écran. Des verrouillages robustes et des moyens de récupération testés restent nécessaires sur toutes les plateformes.

La suppression d’un fichier n’est pas une méthode fiable d’assainissement. Sur un disque dur, la référence est supprimée, mais les données peuvent subsister jusqu’à leur réécriture. Sur un SSD, TRIM et la récupération des blocs peuvent effacer les blocs supprimés, mais le moment où cela se produit ne permet pas d’en faire une procédure d’élimination fiable.

Choisir le résultat requis

Le cadre du NIST relatif à l’assainissement des supports distingue trois résultats :

Choisis le niveau selon la sensibilité des données, la politique de l’organisation et la destination de l’appareil. Avant de commencer, confirme que les données importantes sont sauvegardées et que l’effacement est autorisé.

Un formatage rapide crée un système de fichiers vide. Sur un disque dur, une grande partie du contenu précédent peut subsister. Le formatage complet des versions actuelles de Windows réécrit aussi la partition sélectionnée, mais n’assainit ni les zones extérieures à celle-ci ni les blocs de réserve d’un SSD. Un véritable formatage de bas niveau relève de la fabrication ; les utilitaires utilisant ce nom réécrivent généralement le support.

Adapter la méthode au support

Une réécriture complète approuvée peut effectuer un effacement logique d’un disque dur ; un passage suffit pour atteindre ce niveau sur les disques modernes. Des passages répétés prennent plus de temps sans améliorer utilement la résistance à la récupération ordinaire. À 150 Mo/s, écrire 1 To revient à écrire 1 000 000 Mo. La division donne environ 6 667 secondes, soit 1 heure et 51 minutes ; trois passages prennent environ 5,6 heures.

Un SSD répartit les écritures grâce à la répartition de l’usure et aux blocs de réserve. Les réécritures effectuées par le système d’exploitation peuvent laisser d’anciennes données intactes. Utilise une procédure d’assainissement ou d’effacement sécurisé approuvée par le fabricant et adaptée au lecteur, ou une procédure d’effacement cryptographique validée, puis vérifie qu’elle est terminée.

L’effacement cryptographique rend les données chiffrées inaccessibles en détruisant le matériel de clé nécessaire à leur déchiffrement. Les données doivent avoir été correctement chiffrées et toutes les copies utilisables du matériel de clé concerné doivent être éliminées. Supprimer un fichier de clé de récupération ou retirer une méthode de protection BitLocker ne suffit pas. Une procédure d’assainissement approuvée de l’appareil gère le cycle de vie requis des clés. Les procédures de réinitialisation des téléphones modernes chiffrés peuvent effacer les clés ; avant un transfert autorisé, déconnecte le compte Apple ou Google du propriétaire afin que le verrouillage d’activation ou la protection contre la réinitialisation d’usine ne bloque pas le prochain utilisateur.

Savoir quand la destruction est nécessaire

Un lecteur défaillant peut encore contenir des données lisibles. Utilise une méthode de destruction approuvée lorsque l’effacement ne peut pas être réalisé ou que la politique l’exige. Le broyage industriel réduit le support en morceaux suffisamment petits. Percer quelques trous peut laisser des fragments de plateaux ou de puces lisibles. La démagnétisation agit sur les supports magnétiques comme les disques durs et les bandes, mais pas sur les puces flash des SSD. Les installations agréées peuvent aussi recourir à l’incinération.

Pour remettre un ordinateur portable à un employé, effectue d’abord un effacement logique selon la méthode approuvée, puis installe l’image de l’organisation. Pour un SSD contenant des données sensibles qui quitte l’organisation, utilise une méthode de purge approuvée et vérifie le résultat. Une réinstallation à partir d’une image peut à elle seule laisser d’anciennes données sur le support.

Clôturer le dossier d’élimination

Suis les appareils au moyen d’une chaîne de traçabilité documentée. Le certificat du prestataire d’élimination devrait indiquer les numéros de série, la date, la méthode et préciser si les supports ont été détruits ou recyclés. Consigne les preuves de vérification ainsi que l’action demandée. Respecte les exigences applicables à la protection des données et aux déchets électroniques, et remets les appareils et les batteries à des filières de recyclage agréées.

Un réseau Wi-Fi a besoin d’un chiffrement moderne et d’une méthode d’authentification adaptée à ses utilisateurs. Une phrase de passe partagée robuste convient à une petite équipe, mais des identités individuelles facilitent la révocation des accès lorsque l’organisation grandit.

Choisir une génération de sécurité prise en charge

TKIP était une solution provisoire pour les anciens matériels. Il est moins sûr et empêche les débits élevés du Wi-Fi moderne. Évite « WPA/WPA2 mixte TKIP+AES ». AES est l’algorithme de chiffrement moderne utilisé par WPA2 et WPA3. WPA3-Enterprise propose aussi un mode de sécurité facultatif plus robuste à 192 bits.

Choisis WPA3 lorsque tous les appareils le prennent en charge. Le mode de transition WPA2/WPA3 accepte les appareils plus anciens, mais ceux-ci utilisent toujours la protection WPA2. Garde AES activé et prévois de remplacer le matériel incompatible.

Le mode personnel utilise un secret partagé

En mode personnel, tous utilisent une phrase de passe partagée, généralement de 8 à 63 caractères. WPA2-Personnel utilise une clé prépartagée (PSK). Le trafic de connexion capturé permet à un attaquant de tester des phrases de passe hors ligne : une phrase de passe longue et aléatoire est donc précieuse.

WPA3-Personnel utilise l’authentification simultanée des égaux (SAE) pour résister aux essais passifs hors ligne et assurer la confidentialité persistante : une divulgation ultérieure du mot de passe ne révèle pas le trafic capturé auparavant. Le fonctionnement exclusivement en WPA3 exige la protection des trames de gestion (PMF), qui protège certains messages de gestion contre la falsification. Le mode de transition conserve un fonctionnement de compatibilité moins sûr pour les clients WPA2.

Toute personne qui connaît le secret partagé peut continuer à se connecter jusqu’à ce qu’il soit changé. Sépare les invités et change le secret du personnel lorsqu’il a été exposé ou qu’un ancien utilisateur ne doit plus avoir accès au réseau.

Le mode entreprise vérifie chaque utilisateur

Le mode entreprise, qui utilise 802.1X, donne aux utilisateurs des identifiants ou des certificats distincts. Le point d’accès transmet l’authentification à un serveur, généralement RADIUS, relié à l’annuaire de l’organisation. Désactive le compte d’un employé qui part sans changer le mot de passe de tous les appareils. Configure les clients pour qu’ils vérifient le certificat du serveur d’authentification approuvé ; un nom de réseau correspondant ne suffit pas à rendre une demande de connexion fiable.

Un cabinet dentaire de 12 employés pourrait utiliser WPA3-Personnel et un réseau invité isolé pour les patients. Une entreprise de 300 personnes connaissant de fréquents changements de personnel bénéficie du mode entreprise et d’un contrôle centralisé des comptes. Le choix porte autant sur la gestion des accès que sur la robustesse du chiffrement.

Reconnaître le rôle des protocoles

RADIUS prend couramment en charge le Wi-Fi, les VPN et l’accès à distance. RADIUS traditionnel utilise UDP 1812 pour l’authentification et UDP 1813 pour la comptabilisation ; sa protection traditionnelle des paquets chiffre le mot de passe, mais pas le paquet entier. TACACS+ utilise TCP 49, protège le corps du message et sépare l’authentification, l’autorisation et la comptabilisation ; il gère principalement l’accès administrateur aux routeurs et aux commutateurs. Kerberos fournit des tickets pour la connexion aux domaines Windows. L’authentification multifacteur peut aussi être intégrée aux systèmes d’accès RADIUS compatibles.

Un routeur contrôle la frontière entre les appareils locaux et Internet. Son mot de passe administrateur protège la configuration ; sa phrase de passe Wi-Fi permet aux clients de se connecter. Ce sont deux secrets différents qui doivent tous deux être robustes et uniques.

Sécuriser d’abord l’accès d’administration

Remplace les identifiants administrateur d’usine partagés, y compris le nom d’utilisateur lorsque c’est possible. Si la configuration te demande de créer un mot de passe, choisis-en un unique. Installe le micrologiciel à jour et active les mises à jour automatiques lorsqu’elles sont disponibles. Remplace les routeurs qui ne reçoivent plus de correctifs.

Utilise HTTPS pour la page d’administration. Désactive l’administration depuis Internet (WAN) sauf si un besoin précis et approuvé la justifie, et limite l’administration aux clients du réseau local filaire ou à des adresses désignées. Une personne qui accède à l’interface avec des identifiants valides peut modifier les paramètres du réseau.

Configurer l’accès sans fil

Remplace le SSID d’usine, c’est-à-dire le nom du réseau, par un nom neutre qui ne révèle ni l’adresse du propriétaire ni le modèle du routeur. Configure WPA3 ou le mode de transition WPA2/WPA3 avec AES pour les clients plus anciens. Désactive WPS. Sa méthode par code PIN vérifie séparément deux parties, ce qui réduit la recherche théorique de l’ensemble des codes à huit chiffres à 11 000 combinaisons au maximum, sans tenir compte des protections par verrouillage.

Masquer le SSID le retire des listes courantes, mais le trafic de connexion le révèle toujours. Le filtrage par adresse MAC offre lui aussi une protection limitée, car un attaquant peut copier une adresse autorisée. Aucun des deux ne remplace le chiffrement et une authentification robuste.

Séparer les invités et les services exposés

Crée un SSID invité avec sa propre phrase de passe. Confirme que les clients invités ont accès à Internet, mais ne peuvent pas atteindre les ordinateurs ni les imprimantes du bureau. L’isolation des clients peut aussi empêcher les invités de communiquer entre eux. Sépare les objets connectés lorsque c’est possible, car leurs options de mise à jour et de gestion peuvent être moins robustes.

Universal Plug and Play (UPnP) permet aux appareils locaux de demander automatiquement des redirections entrantes. Désactive-le sauf si un besoin pris en charge le justifie. Un logiciel malveillant sur un appareil local peut lui aussi détourner cette facilité.

La redirection de port envoie le trafic d’un port externe vers un appareil interne précis. Pour un serveur web approuvé, rediriger TCP 443 vers une adresse interne réservée expose ce service web. Consigne l’objectif de la redirection et supprime-la lorsque le service prend fin. L’hôte a toujours besoin de ses propres mises à jour et de la protection de son pare-feu.

L’option du routeur de petite entreprise ou domestique ne constitue pas une zone démilitarisée isolée. Utilise une redirection de port précise lorsqu’un seul service est nécessaire ; rediriger des ports sans rapport augmente l’exposition.

Terminer les vérifications

Garde le pare-feu du routeur activé. Le filtrage IP autorise ou bloque des adresses précises, tandis que le filtrage de contenu bloque des catégories de sites ou des domaines malveillants. Désactive les ouvertures inutilisées du pare-feu et les ports physiques inutilisés lorsque le matériel administrable le permet.

Place le routeur là où les visiteurs ne peuvent pas appuyer sur le bouton de réinitialisation ni remplacer les câbles. Une réinitialisation peut rétablir les paramètres par défaut. Un emplacement central et une puissance d’émission adaptée peuvent réduire le signal à l’extérieur de l’espace de travail, mais le chiffrement reste essentiel partout où le signal porte.

Avant de clôturer la tâche de configuration, teste l’accès du personnel, l’isolation des invités et toute redirection de service nécessaire depuis le réseau approprié. Sauvegarde la configuration approuvée et consigne les identifiants dans l’espace de stockage des secrets autorisé.

Les téléphones, tablettes et ordinateurs portables contiennent à la fois des fichiers stockés et des accès actifs à des comptes. Associe un verrouillage d’écran robuste au chiffrement, aux mises à jour et à un plan de récupération avant que l’appareil ne disparaisse.

Définir un véritable verrouillage

Le balayage ne fournit aucune protection. Les schémas sont faciles à observer et peuvent laisser des traces reconnaissables. Le nombre de possibilités d’un code PIN augmente avec sa longueur : quatre chiffres donnent 10 000 combinaisons, tandis que six chiffres en donnent un million. Un mot de passe long offre un espace de recherche plus grand lorsqu’il est choisi de manière imprévisible.

Le déverrouillage par empreinte digitale ou par reconnaissance faciale est pratique, mais la qualité du matériel compte. Un déverrouillage facial utilisant seulement une caméra peut être moins sûr qu’un code PIN adapté. Le code PIN ou le mot de passe de secours doit lui aussi être robuste. Définis un court délai de verrouillage automatique, par exemple une minute, et active les restrictions de l’organisation après des tentatives échouées.

Les délais ralentissent les essais incorrects répétés. Sur iPhone, le paramètre facultatif Effacer les données supprime les données de l’appareil après dix saisies incorrectes consécutives du code. Vérifie les modalités de sauvegarde avant d’activer une politique d’effacement approuvée. La gestion des appareils mobiles peut imposer les paramètres de code et de tentatives.

Conserver les protections de la plateforme

Les iPhone et les téléphones Android modernes utilisent le chiffrement du stockage protégé par un code ou un verrouillage d’écran. Les ordinateurs portables utilisent BitLocker ou FileVault. Installe rapidement les mises à jour du système d’exploitation et des applications, et remplace les téléphones qui ne reçoivent plus de mises à jour de sécurité pour un usage professionnel.

Installe les applications depuis les boutiques officielles et évite le rootage d’Android ou le débridage d’iOS, qui suppriment d’importantes restrictions intégrées. Examine les autorisations étendues demandées par les applications. Les applications de sécurité Android peuvent analyser les autres applications installées dans les limites de la plateforme. Sur iOS et iPadOS, le cloisonnement des applications empêche un antivirus tiers d’analyser les autres applications ou les fichiers système ; les outils de sécurité se concentrent donc sur des fonctions comme le filtrage des sites malveillants et la vérification de la configuration.

Préparer et utiliser les outils de récupération

Localiser d’Apple et Find Hub de Google peuvent localiser un appareil compatible perdu, émettre un son, le sécuriser et demander son effacement. Confirme à l’avance que l’appareil est inscrit au service de localisation. Un effacement à distance exige que l’appareil reçoive la commande : la demande peut donc rester en attente si l’appareil est hors connexion. Le chiffrement protège les données stockées pendant l’attente des actions de récupération.

Sauvegarde les données importantes avec le service approuvé, comme iCloud, la sauvegarde Google ou OneDrive. Après une perte, verrouille l’appareil ou marque-le comme perdu, suis la politique d’effacement à distance, révoque les sessions ou identifiants exposés et consigne l’événement. Restaure les données sur un appareil de remplacement depuis une sauvegarde fiable.

Appliquer le bon périmètre de gestion

La gestion des appareils mobiles (MDM) inscrit les appareils pour permettre des contrôles centralisés. Un profil de configuration peut fournir les paramètres Wi-Fi, VPN et de messagerie ou exiger le chiffrement, une version minimale du système d’exploitation et un code. L’accès aux services professionnels peut être bloqué pour les appareils non conformes.

Un effacement sélectif supprime les données de l’organisation tout en conservant les photos et les applications personnelles du propriétaire dans le cadre du modèle de gestion pris en charge. Explique ce périmètre lors de l’inscription. Pour un employé qui part et utilise un téléphone personnel, vérifie que le profil professionnel est supprimé et que les sessions du compte sont révoquées ; ne sélectionne pas l’effacement complet de l’appareil lorsque seule la suppression des données professionnelles est autorisée.

Un symptôme est un indice à examiner, pas le nom d’un logiciel malveillant. Cherche des ensembles de signes, détermine quand ils ont commencé et vérifie les explications ordinaires en parallèle des causes liées à la sécurité.

Identifier l’ensemble des signes

Les signes d’alerte sur PC comprennent des réseaux inaccessibles, des alertes ou notifications inattendues, des fichiers modifiés, des échecs de mise à jour, un logiciel de sécurité désactivé et une forte utilisation du processeur, du disque ou du réseau pendant l’inactivité. Dans le navigateur, les signes comprennent des fenêtres contextuelles répétées, des redirections, des barres d’outils ou extensions inconnues, des paramètres de recherche modifiés, des avertissements de certificat et de mauvaises performances.

Sur les appareils mobiles, repère une consommation de données anormalement élevée, une surchauffe, une décharge de la batterie, une lenteur de réponse, des applications inconnues, des publicités excessives, de fausses alertes, des fuites de fichiers et une perte de connexion. Les sources d’applications non officielles, l’accès root ou le débridage et les paramètres développeur inutiles augmentent le risque. L’usurpation d’application donne à une fausse application l’apparence d’une application de confiance.

Un téléphone chaud peut simplement effectuer une mise à jour ou exécuter une application exigeante. Une surchauffe associée à une application inconnue et à une utilisation réseau inexpliquée donne davantage de raisons d’examiner cette application.

Écarter les pannes courantes par des vérifications utiles

Demande ce que l’utilisateur a vu, quand le problème a commencé et ce qu’il a installé ou ouvert peu auparavant. Le Gestionnaire des tâches affiche les processus et les éléments de démarrage. Examine les applications installées, les extensions du navigateur et les entrées pertinentes de l’Observateur d’événements. Le fichier hosts situé à C:\Windows\System32\drivers\etc\hosts peut rediriger des noms s’il a été modifié ; compare les entrées inattendues à la configuration approuvée avant de les changer.

Si l’horloge est incorrecte, corrige-la à l’aide des paramètres d’heure approuvés et teste à nouveau le site. Ne passe pas outre un avertissement de certificat pour l’écarter. Si un lecteur est défaillant, une analyse antimalveillante ne réparera pas à elle seule le matériel.

Réagir aux ensembles de signes reconnaissables

Des résultats de recherche modifiés, une nouvelle barre d’outils et des publicités sur des sites sans rapport évoquent un publiciel ou un détourneur de navigateur. Suis la procédure d’élimination et examine les extensions et les applications installées. Des fichiers soudainement chiffrés ou renommés accompagnés de demandes de rançon exigent une isolation immédiate du réseau, car le stockage partagé peut aussi être touché.

Une page de navigateur annonçant « Votre PC est infecté ! Appelez immédiatement l’assistance Microsoft » est un alarmiciel. Les véritables messages d’erreur et d’avertissement de Microsoft ne donnent pas de numéro de téléphone d’assistance. Ferme la page ; utilise le Gestionnaire des tâches pour fermer le navigateur si nécessaire. N’appelle pas et n’installe pas l’outil proposé. Effectue ensuite les vérifications appropriées.

Si l’utilisateur a déjà autorisé un inconnu à se connecter à distance, considère l’appareil comme compromis et change les mots de passe exposés depuis un appareil sain. Consigne l’accès à distance et suis la procédure d’escalade de l’organisation. Une page de navigateur qui prétend qu’il y a une infection et une compromission confirmée appellent des conclusions différentes, même si elles ont commencé par le même avertissement.

Une procédure structurée d’élimination maîtrise la propagation, nettoie l’appareil et vérifie qu’il peut être rendu sans danger. Suis les règles d’escalade de sécurité de l’organisation sur les appareils administrés. La procédure standard pour les postes de travail comprend des tâches liées à la Restauration du système sur les PC Windows qui l’utilisent.

Examiner, puis mettre en quarantaine

Consigne les symptômes, leur heure d’apparition et les actions récentes de l’utilisateur. Vérifie les autres causes évidentes, comme une horloge incorrecte ou un disque plein. En présence de signes d’un rançongiciel actif, déconnecte rapidement l’appareil tout en poursuivant l’enquête.

La mise en quarantaine consiste à séparer l’appareil concerné du réseau : débranche Ethernet et désactive le Wi-Fi. Évite de connecter des lecteurs amovibles qui pourraient propager l’infection. Repère les supports utilisés pour les transferts afin de les analyser ou de les assainir ensuite. L’isolation limite la propagation et les transferts de données supplémentaires ; elle ne supprime pas les logiciels malveillants déjà présents.

Supprimer les points de restauration contaminés

Avant le nettoyage, désactive la Restauration du système sur tout PC Windows qui l’utilise, conformément à la politique. Les points de restauration existants sont supprimés, car ils peuvent contenir des logiciels malveillants. La Restauration du système enregistre certains éléments de l’état du système ; elle ne remplace pas le service distinct de sauvegarde des données de l’utilisateur. Consigne cette action afin de pouvoir rétablir la protection au bon moment.

Traiter le système avec des outils à jour

1. Mets à jour le moteur antimalveillant et ses définitions. Pour un PC isolé, utilise un paquet de mise à jour fiable obtenu sur un appareil sain et un support de transfert approuvé.
2. Analyse et supprime les menaces dans un environnement adapté. Le mode sans échec démarre un ensemble limité de composants Windows. Un environnement de préinstallation, un support de démarrage fiable ou Microsoft Defender hors ligne fonctionne en dehors de la session infectée normale.
3. Examine les entrées de démarrage, les tâches planifiées et les extensions du navigateur pour détecter la persistance, c’est-à-dire les paramètres qui relancent le code indésirable.
4. Lance une nouvelle analyse et vérifie les symptômes initiaux. Si l’infection revient, examine-la au lieu de considérer chaque nouvelle alerte comme indépendante.

Un rootkit peut se cacher des outils exécutés dans Windows normal. Une analyse rapide qui ne détecte rien ne suffit pas à expliquer des signes persistants.

Reconstruire lorsque le système ne peut plus être considéré comme fiable

Si un rootkit, un rançongiciel ou une infection récurrente ne peut pas être éliminé avec certitude, efface le lecteur et réinstalle le système depuis une source saine ou une image approuvée de l’organisation. Restaure les données de l’utilisateur depuis une sauvegarde vérifiée pour détecter toute infection. Une compromission du micrologiciel peut aussi nécessiter sa restauration selon une méthode approuvée par le fabricant ; réinstaller Windows ne remplace pas le micrologiciel.

La réinstallation à partir d’une image est une méthode de récupération, mais un effacement sécurisé reste nécessaire lorsque les anciennes données doivent être assainies. Garde les sauvegardes saines séparées du système infecté afin que la copie de récupération ne soit pas chiffrée ou modifiée en même temps que les fichiers en cours d’utilisation.

Rétablir la protection et terminer la remise de l’appareil

Planifie des analyses régulières et installe les mises à jour du système d’exploitation, des applications et des définitions. Réactive la Restauration du système et crée un nouveau point de restauration sain après le nettoyage. Le créer trop tôt peut conserver à nouveau l’infection.

Si un logiciel espion, un enregistreur de frappes ou un vol d’identifiants est en cause, change les mots de passe concernés depuis un appareil sain et traite les accès aux comptes. Explique à l’utilisateur la mesure de prévention adaptée, par exemple obtenir les mises à jour depuis la véritable page du fournisseur plutôt que depuis une fenêtre contextuelle. Documente les constatations, l’isolation, les outils, les résultats, la source de récupération et les vérifications finales dans le ticket avant de rendre l’appareil.

La prévention combine des outils qui détectent différentes étapes d’une attaque. L’antivirus vérifie les logiciels, le filtrage des courriels contrôle leur réception, le pare-feu personnel limite les connexions et les utilisateurs peuvent reconnaître les demandes suspectes. Maintiens chaque protection à jour afin qu’une menace manquée rencontre un autre contrôle.

Reconnaître le rôle des outils

La détection par signatures recherche des motifs de menaces connus et nécessite des mises à jour des définitions. La détection heuristique ou comportementale recherche des actions suspectes, comme le chiffrement rapide de nombreux documents, y compris pour des menaces sans signature de fichier connue.

La détection et réponse sur les terminaux (EDR) enregistre l’activité des appareils, détecte les comportements suspects et permet des actions comme l’isolation à distance. La détection et réponse managées (MDR) fournit une équipe externe chargée de la détection et de la réponse. La détection et réponse étendues (XDR) relie les informations provenant des terminaux, de la messagerie, des réseaux et des identités cloud. Ce sont des fonctionnalités et des services liés, et non trois noms interchangeables pour un antivirus.

Une passerelle de sécurité de messagerie vérifie les courriers indésirables, l’hameçonnage, les pièces jointes et les liens avant leur distribution, parfois en testant les fichiers dans un bac à sable. Le filtrage peut manquer des demandes convaincantes, notamment les fraudes au paiement sans lien. La formation des utilisateurs et un signalement rapide restent utiles.

Faire confiance à la source de téléchargement et vérifier le fichier

Obtiens les logiciels auprès de leur fournisseur ou d’une boutique d’applications officielle. Une fenêtre contextuelle annonçant une mise à jour du navigateur n’est pas un canal de distribution fiable. Si un fournisseur publie une empreinte de hachage SHA-256, calcule celle du fichier téléchargé dans PowerShell :

Get-FileHash .\setup.exe -Algorithm SHA256

Tu peux aussi utiliser certutil -hashfile setup.exe SHA256. Compare les 64 caractères hexadécimaux à la valeur obtenue par le canal fiable du fournisseur. Une différence signifie que le fichier est différent ou endommagé : ne l’exécute pas. Une empreinte correspondante provenant d’une page contrôlée par un attaquant ne confirmerait que la concordance avec cette page ; l’origine de la valeur de référence compte donc.

Entretenir le navigateur

Laisse les mises à jour automatiques activées et redémarre le navigateur lorsque c’est nécessaire pour les terminer. N’installe que les extensions nécessaires depuis les boutiques officielles et auprès d’éditeurs de confiance. Examine les autorisations demandées : « Lire et modifier toutes vos données sur tous les sites web » accorde un accès étendu. Supprime les extensions inconnues ou inutilisées. Les organisations peuvent contrôler de manière centralisée les paramètres des extensions et des fonctionnalités.

Garde le blocage des fenêtres contextuelles activé. Un bloqueur de publicités approuvé peut aussi réduire l’exposition aux publicités malveillantes. Effacer le cache et les données de navigation peut résoudre des problèmes d’affichage et supprimer les données stockées localement sur les ordinateurs partagés. Vérifie les paramètres du serveur mandataire lorsque des redirections inexpliquées suggèrent que le trafic est détourné.

Le DNS sécurisé, généralement le DNS sur HTTPS, chiffre les requêtes de noms. Un fournisseur DNS filtrant peut aussi bloquer les domaines nuisibles connus. Le chiffrement de la requête et le filtrage de sa réponse sont deux fonctions distinctes.

Interpréter les indicateurs de confidentialité et de connexion

HTTPS avec un certificat valide sécurise une connexion avec le domaine indiqué ; son propriétaire peut néanmoins exploiter un site frauduleux. Un avertissement de certificat peut indiquer un nom incorrect, un certificat expiré, un émetteur non fiable ou une interception. Examine-le, surtout avant une connexion ou un paiement.

La navigation privée limite l’historique, les cookies et les données de formulaire conservés localement après la fermeture de la session privée. Les sites web, les employeurs, les opérateurs réseau et les fournisseurs d’accès à Internet peuvent toujours observer l’activité ; les téléchargements peuvent rester sur le disque. Elle ne protège pas contre les logiciels malveillants.

La synchronisation du navigateur peut copier les mots de passe, les favoris et l’historique sur d’autres appareils connectés. Protège le compte de synchronisation par une authentification multifacteur et évite la synchronisation personnelle sur les ordinateurs partagés ou publics.