📘 Fiche de cours⏱️ 3h🎯 Bloc 3 – B3.3 Objectifs : sécuriser un poste de travail, gérer les accès, configurer la protection, sensibiliser les utilisateurs.
📖 Introduction
Le poste de travail est le point d'entrée principal des utilisateurs dans le système d'information. Il est aussi la cible privilégiée des attaquants. La sécurisation des postes de travail passe par une combinaison de mesures techniques (durcissement, antivirus, pare-feu) et organisationnelles (gestion des accès, sensibilisation, charte informatique).
🎯
À l'issue de ce module, vous serez capable de :
Identifier les risques liés aux usages numériques.
Sécuriser l'accès physique et logique au poste de travail.
Mettre en place une authentification forte (MFA).
Configurer un pare-feu et un antivirus.
Gérer les privilèges et les habilitations.
Sensibiliser les utilisateurs aux bonnes pratiques.
⚡ Risques et menaces sur le poste de travail
Menace
Description
Malware
Logiciels malveillants (virus, ransomware, spyware, cheval de Troie).
Phishing
Hameçonnage via emails ou sites frauduleux.
Exploitation de vulnérabilités
Faille non corrigée dans l'OS ou les logiciels.
Ingénierie sociale
Manipulation des utilisateurs pour obtenir des informations confidentielles.
Accès physique non autorisé
Poste laissé déverrouillé ou volé.
🔒 Sécurisation physique du poste
Verrouillage de session : utiliser Ctrl+Alt+Suppr (Windows) ou Ctrl+Alt+L (Linux) lorsqu'on s'éloigne.
Chiffrement du disque : BitLocker (Windows), LUKS (Linux) pour protéger les données en cas de vol.
Protection physique : cadenas Kensington, local sécurisé.
Supports amovibles : contrôler l'utilisation des clés USB, désactiver l'autorun.
🔐 Sécurisation logique
4.1 – Authentification
Mot de passe robuste : longueur ≥ 12 caractères, complexité (majuscules, minuscules, chiffres, symboles).
Gestionnaire de mots de passe : Bitwarden, 1Password, KeePass.
Verrouillage automatique : après un temps d'inactivité (ex : 5 minutes).
4.2 – Protection logicielle
Antivirus / EDR : détection et prévention des malwares (Windows Defender, CrowdStrike, etc.).
Pare-feu : filtrer les connexions entrantes et sortantes (Windows Defender Firewall, iptables/nftables sur Linux).
Mises à jour : activer les mises à jour automatiques pour l'OS et les logiciels.
Restriction des logiciels : n'installer que les applications nécessaires (principe du moindre privilège).
4.3 – Gestion des privilèges
Principe du moindre privilège : l'utilisateur ne dispose que des droits nécessaires à son travail.
Comptes administrateur : réserver aux opérations d'administration, utiliser un compte standard au quotidien.
Contrôle des accès : restreindre l'accès aux fichiers et dossiers sensibles.
💡
Bonnes pratiques : Appliquer le principe du "Zero Trust" : ne jamais faire confiance par défaut, toujours vérifier (authentification, autorisation, validation).
🌐 Sécurisation des usages
Navigation sécurisée : utiliser un navigateur à jour, bloquer les pop-ups, activer les protections anti-phishing.
VPN : chiffrer les communications en cas d'utilisation d'un réseau public (Wi-Fi).
Emails : ne pas ouvrir les pièces jointes suspectes, vérifier l'expéditeur, utiliser SPF/DKIM/DMARC.
BYOD (Bring Your Own Device) : séparer les données professionnelles et personnelles (conteneurisation).
Sensibilisation : former les utilisateurs aux risques (phishing, ingénierie sociale).
🛠️ Mise en pratique
6.1 – Configurer un pare-feu Linux avec iptables
Bloquer tout le trafic entrant, autoriser SSH et HTTP :
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
INPUT DROP : interdire toutes les connexions entrantes par défaut.
ESTABLISHED,RELATED : autoriser les connexions déjà établies.
--dport 22,80,443 : autoriser SSH, HTTP, HTTPS.
-i lo : autoriser le trafic local (loopback).
6.2 – Activer l'authentification multi-facteurs
Exemple avec Google Authenticator (TOTP) :
Installer l'application sur le smartphone.
Configurer la MFA sur le service (ex : compte Google, Microsoft, etc.).
Scanner le QR code avec l'application.
Saisir le code temporaire pour valider.
Principe TOTP : Le serveur et le client partagent une clé secrète. Un code à 6 chiffres est généré toutes les 30 secondes en fonction de l'heure actuelle et de la clé. Le serveur vérifie le code saisi.