Fiche 1 - Durcissement et sécurisation du poste de travail

Sécuriser physiquement et logiquement un poste de travail : démarrage, chiffrement, comptes, durcissement système et limitation des privilèges.

Intermédiaire — SISR 1ère et 2ème année ⏱️ 25 min 📁 Cybersécurité avancée

🎯 Objectifs de la fiche

Sécurité physique du poste — Démarrage, BIOS/UEFI, supports amovibles
Chiffrement du disque — BitLocker (Windows), LUKS (Linux)
Sécurité de l'accès logique — Authentification, verrouillage, durcissement
Restriction des privilèges — Comptes standards vs administrateurs
Vérifier la sécurité d'un poste — Checklist d'audit simple

Prérequis

Connaître les bases de l'administration Windows et Linux (comptes, permissions). Cette fiche est au programme du Bloc 3 (B3.3 — Sécuriser les équipements et les usages des utilisateurs).

1. Sécurité physique de l'accès au poste

Mesure	Objectif
Mot de passe BIOS/UEFI	Empêcher la modification de la séquence de démarrage sans autorisation
Désactivation du boot USB/CD	Empêcher le démarrage sur un support externe pour contourner l'authentification
Verrouillage physique (Kensington)	Dissuader le vol du matériel
Contrôle des supports amovibles	Limiter ou bloquer l'usage de clés USB non autorisées (vecteur de malware et de fuite de données)

⛔ Sans protection du BIOS/UEFI et désactivation du démarrage externe, un attaquant ayant un accès physique au poste peut démarrer sur une clé USB live et contourner totalement l'authentification du système installé, accédant directement aux fichiers du disque non chiffré.

2. Chiffrement du disque — la protection ultime contre l'accès physique

Le chiffrement de disque protège les données même si le support physique est volé ou démonté et connecté à un autre système. C'est la mesure la plus efficace contre la perte ou le vol d'un équipement nomade.

Solution	Système	Particularité
BitLocker	Windows	Intégré nativement, utilise idéalement une puce TPM
LUKS	Linux	Standard de chiffrement de disque sur Linux, intégré à la plupart des distributions
FileVault	macOS	Équivalent BitLocker pour macOS
VeraCrypt	Multiplateforme	Solution tierce open source, chiffrement de conteneurs ou disques entiers

# Exemple — chiffrer une partition avec LUKS sur Linux

# Créer le chiffrement sur la partition (ex: /dev/sdb1)
sudo cryptsetup luksFormat /dev/sdb1

# Ouvrir la partition chiffrée
sudo cryptsetup luksOpen /dev/sdb1 disque_chiffre

# Vérifier le statut du chiffrement
sudo cryptsetup status disque_chiffre

ℹ️ Une puce TPM (Trusted Platform Module) stocke les clés de chiffrement de façon matérielle et sécurisée, liée à la carte mère. Elle permet un déverrouillage automatique et transparent au démarrage tout en restant protégée contre l'extraction du disque.

3. Sécurité de l'accès logique

Mesure	Bonne pratique
Mot de passe de session	Complexité minimale, renouvellement périodique, jamais partagé
Authentification forte (MFA)	Ajouter un second facteur (code, application, clé physique) en complément du mot de passe
Verrouillage automatique	Verrouillage de session après quelques minutes d'inactivité
Limitation des tentatives	Blocage temporaire du compte après plusieurs échecs de connexion

4. Durcissement système — réduire la surface d'attaque

Durcir un système (hardening) consiste à réduire au strict nécessaire les services, logiciels et utilisateurs configurés, limitant ainsi les points d'entrée potentiels pour un attaquant.

Action de durcissement	Pourquoi
Désinstaller les logiciels inutiles	Chaque logiciel installé est une surface d'attaque potentielle
Désactiver les services non utilisés	Un service inactif ne peut pas être exploité
Limiter les comptes utilisateurs configurés	Moins de comptes = moins de cibles potentielles pour une attaque
Activer les mises à jour automatiques	Corriger rapidement les vulnérabilités connues
Installer un antivirus/antimalware	Détecter les menaces connues avant exécution
Configurer un pare-feu local	Filtrer les connexions entrantes et sortantes au niveau du poste

5. Restriction des privilèges — le principe du moindre privilège appliqué au poste

Un utilisateur ne devrait travailler au quotidien qu'avec un compte standard, sans droits d'administration, conformément au principe du moindre privilège (voir fiche Habilitations et droits d'accès).

Scénario	Risque si compte admin par défaut
Ouverture d'un email malveillant	Le malware s'exécute avec tous les droits administrateur
Visite d'un site web compromis	Une faille du navigateur peut installer un logiciel malveillant avec des droits complets
Erreur de manipulation	Une suppression ou modification accidentelle a un impact bien plus large

💡 La bonne pratique consiste à utiliser un compte standard pour le travail quotidien et à n'utiliser un compte administrateur (ou l'élévation de privilèges ponctuelle via sudo / UAC) que pour les tâches qui le nécessitent réellement.

6. Checklist d'audit simple d'un poste de travail

☐ BIOS/UEFI protégé par mot de passe, démarrage USB/CD désactivé
☐ Disque chiffré (BitLocker, LUKS ou équivalent)
☐ Mot de passe de session conforme à la politique (longueur, complexité)
☐ Authentification forte activée si possible
☐ Verrouillage automatique de session configuré
☐ Logiciels installés limités au strict nécessaire
☐ Mises à jour automatiques activées
☐ Antivirus/antimalware installé et à jour
☐ Pare-feu local actif
☐ L'utilisateur travaille au quotidien avec un compte standard, pas administrateur

🎯 Passer l'évaluation de cette fiche