Quand nous reprenons un parc informatique dans le Bassin Genevois, nous héritons rarement d'une situation homogène. Sur vingt postes, nous trouvons souvent trois logiciels de protection différents : la licence achetée il y a quatre ans par le comptable, la version gratuite installée sur le portable du commercial, et l'outil intégré à Windows resté seul sur les machines les plus récentes. Personne ne dispose d'une vue d'ensemble, aucune console n'est ouverte régulièrement, et les alertes finissent dans une boîte mail générique que plus personne ne relève.
Notre réponse tient en une décision simple : un seul outil de détection et de réponse sur les postes, désigné par le sigle EDR pour Endpoint Detection and Response, exploité par la même équipe que le reste du parc. Cet outil est Bitdefender, dont nous sommes partenaires et que nous déployons dans le cadre du contrat d'infogérance. Cet article décrit ce que nous en faisons réellement, semaine après semaine. Le principe général de la détection comportementale est traité dans votre antivirus ne voit plus tout, et le choix face à l'outil de Microsoft dans Bitdefender ou Windows Defender.
Pourquoi un seul agent et une seule console sur tout le parc
Le premier critère qui a guidé notre choix n'est pas un score de détection, c'est la couverture des systèmes que nous administrons vraiment. Les PME que nous suivons mélangent des postes fixes Windows, des portables Windows en déplacement, des Mac dans les services créatifs ou à la direction, et parfois un ou deux serveurs. Pouvoir traiter cet ensemble depuis une console unique change la nature du travail : une alerte se lit dans le même format quel que soit le système, et nous n'avons pas à raisonner différemment selon la machine concernée.
Le second critère est la distribution des réglages. Les politiques de sécurité se définissent une fois par groupe de machines, puis se poussent sur les postes concernés. Nous n'installons pas un logiciel machine par machine en cochant des cases de mémoire, ce qui produit toujours des écarts invisibles : un poste sans protection en temps réel, un autre sans analyse du courrier, un troisième où quelqu'un a désactivé un module pour faire tourner un logiciel métier récalcitrant. Un groupe, une politique, un état vérifiable : c'est cette traçabilité que nous cherchons, autant que la détection elle-même.
Le troisième critère est l'intégration à notre exploitation. Les alertes remontent dans notre supervision, au même endroit que les tickets de parc. Cela paraît prosaïque, mais c'est ce qui permet à la personne qui reçoit une alerte de savoir qu'un pic d'écriture sur un poste correspond peut-être à l'export annuel de la comptabilité, et non à un chiffrement en cours.
Ce que la console nous permet de faire un mardi matin
En pratique, trois usages reviennent constamment. Ils décrivent mieux notre travail que n'importe quelle liste de fonctionnalités.
- Nous vérifions l'état du parc plutôt que de le supposer. La console indique quels postes n'ont pas communiqué depuis plusieurs jours, quels agents sont en retard de version, et quelles machines s'écartent de la politique de leur groupe. Un portable resté deux mois dans un tiroir revient toujours en retard, et il vaut mieux le savoir avant qu'il ne se reconnecte au réseau de l'entreprise.
- Nous lisons une chronologie plutôt qu'un message d'alerte isolé. Quand un incident se déclare, l'intérêt n'est pas la notification mais l'enchaînement des évènements : quel programme a lancé quel autre, quels fichiers ont été touchés, quelles connexions réseau ont été ouvertes. C'est ce récit qui nous permet de dire si l'affaire est restée sur un poste ou si le serveur de fichiers doit être examiné.
- Nous isolons une machine sans nous déplacer. L'agent peut couper le poste du réseau tout en nous laissant un accès d'administration. Le collaborateur perd sa connexion, nous conservons la possibilité d'analyser. La procédure complète est décrite dans poste infecté, isoler puis appeler.
L'isolement automatique mérite une précision. Il se déclenche sur des critères que nous réglons, et nous les réglons prudemment. Couper le poste de la direction sur une alerte moyennement fiable coûte plus cher en confiance que le risque évité, alors que sur un poste de production partagé, la coupure immédiate est le bon réflexe.
Les exceptions métier, où se joue le vrai travail de réglage
La partie la plus longue d'un déploiement n'est pas l'installation, elle prend une soirée. C'est le réglage des exceptions. Toute PME utilise au moins un logiciel qui se comporte de façon inhabituelle : un progiciel de caisse ancien qui écrit dans des répertoires non standard, un outil de dessin technique qui charge ses propres composants, une application de gestion qui pilote un port série pour une balance ou une étiqueteuse. Une protection comportementale voit ces logiciels exactement comme elle voit un comportement anormal, parce qu'ils le sont.
Nous procédons donc en deux temps. Nous démarrons sur une politique volontairement mesurée, nous collectons pendant deux à trois semaines ce que le parc déclenche réellement, puis nous durcissons en écartant nommément les cas légitimes. L'exception porte sur un chemin et un exécutable précis, elle est documentée dans le dossier du client, et elle est relue lors des mises à jour du logiciel métier. Une exception large posée dans l'urgence et jamais revue est une protection retirée sans que personne s'en souvienne.
Ce que Bitdefender ne remplace pas dans votre organisation
Nous préférons annoncer les limites avant la signature. Un EDR bien exploité réduit le temps entre le début d'un incident et sa détection. Il ne réduit ni la surface d'exposition ni les conséquences d'une perte de données.
Il ne ferme pas un accès distant publié sur Internet, qui reste à traiter au niveau du pare-feu et du réseau privé virtuel. Il ne filtre pas un message frauduleux avant qu'il n'arrive dans la boîte, rôle que nous décrivons dans filtrer le spam et le hameçonnage avant la boîte. Il ne dispense pas d'appliquer les correctifs de Windows et de macOS, car un système en retard offre une surface qu'aucune détection ne compense. Il ne remplace pas non plus une sauvegarde hors ligne et testée, qui reste la seule réponse à un chiffrement déjà abouti, ni le chiffrement du disque d'un portable susceptible d'être volé.
Nous ne citons volontairement aucun résultat de test comparatif chiffré ni aucun tarif de licence dans cet article. Les licences de protection sont incluses dans le contrat, et le contrat d'infogérance démarre à 120 HT / mois, le même chiffre en euros et en francs. Ce que nous facturons n'est pas un logiciel, c'est son exploitation.
Notre séquence de déploiement sur un parc de dix à quarante postes
Nous commençons par l'inventaire : systèmes, versions, comptes disposant de droits d'administration, logiciels métier sensibles, et surtout ce qui est déjà installé comme protection. Nous retirons ensuite les agents existants, car deux logiciels de protection en temps réel sur la même machine se gênent mutuellement et produisent des ralentissements que l'utilisateur attribuera au poste.
La pose se fait par lots, en dehors des heures d'ouverture, avec les portables nomades en premier. Nous branchons les alertes sur notre exploitation, nous laissons tourner, puis nous tenons une revue : faux positifs à écarter, postes non couverts à rattraper, Mac sans chiffrement de disque à corriger. Le tout s'inscrit dans notre gestion de parc informatique, avec déplacement possible dans le Bassin Genevois quand une machine ne répond plus à distance.
Si vous ne savez pas dire aujourd'hui combien de vos postes sont réellement protégés, ni qui lirait une alerte un soir de semaine, parlez-nous de votre parc. Nous vous dirons si un EDR exploité change quelque chose dans votre situation, ou s'il faut d'abord fermer des portes réseau.