Télétravail et services exposés

Oui. Un bureau à distance (RDP) ouvert sur Internet est balayé en permanence et attaqué avec des mots de passe volés ou devinés, et un service d'accès distant exposé est une porte d'entrée courante dans les petites entreprises. Fermez-le, ou placez-le derrière un VPN ou une passerelle de bureau à distance avec authentification multifacteur, et réservez-le à des comptes nominatifs. Vérifiez ce que vous exposez réellement par un balayage externe des ports de vos propres adresses IP publiques, et recommencez après chaque modification du pare-feu ou du routeur, car les redirections de ports survivent souvent au projet pour lequel elles ont été ouvertes. À l'intérieur du réseau, NetSenX signale les sessions RDP inhabituelles entre hôtes comme mouvement latéral, ainsi que les tentatives de connexion répétées contre les hôtes surveillés, sur toutes les offres. Il ne balaie pas vos adresses publiques : la vérification externe reste votre travail.

Regardez d'abord les journaux du VPN lui-même : connexions à des heures inhabituelles ou depuis des pays inattendus, comptes qui n'avaient jamais utilisé le VPN, nombreuses tentatives échouées, nouvelles modifications de configuration ou nouveaux comptes administrateur sur l'équipement. Comparez sa version logicielle avec les avis de sécurité du fabricant, car les passerelles VPN sont une cible fréquente de failles exploitées, et lancez les contrôles de compromission publiés par le fabricant s'il en existe. Derrière le VPN, les étapes suivantes d'un attaquant se voient sur le réseau : balayages depuis le pool d'adresses VPN, nouvelles sessions d'adresses VPN vers des serveurs jamais utilisés, gros transferts vers l'extérieur. NetSenX les signale là où le segment derrière le VPN est surveillé, sur toutes les offres, et sa vue VPN liste les tunnels et sessions de passerelle qu'il voit, avec le pays d'enregistrement de chaque adresse distante. Il ne lit pas les journaux de l'équipement et ne peut pas inspecter l'équipement lui-même.

Oui. Une fois connecté, un portable sur le VPN est à l'intérieur du réseau, souvent avec un large accès. Un logiciel malveillant attrapé à la maison, par le téléchargement d'un proche ou un routeur domestique compromis, peut alors balayer le réseau du bureau et atteindre les partages de fichiers et les serveurs comme n'importe quel hôte interne. Limitez ce que les utilisateurs du VPN peuvent atteindre aux systèmes dont ils ont besoin, exigez l'authentification multifacteur, maintenez la protection des postes et les mises à jour des portables distants, et n'autorisez pas les appareils personnels sur le VPN de l'entreprise. Si le trafic VPN traverse un segment surveillé, NetSenX voit les connexions du portable et y détecte balayage, mouvement latéral et beaconing, sur toutes les offres. Un portable équipé de l'agent est observé à part entière, où qu'il soit. Ce qui se passe à l'intérieur du portable reste l'affaire de la protection des postes.

C'est courant, mais c'est une cible permanente : les serveurs SSH joignables depuis Internet reçoivent sans cesse des tentatives de connexion automatisées. Si vous devez l'exposer, n'autorisez que les connexions par clé, désactivez les connexions par mot de passe et en root, maintenez OpenSSH à jour et restreignez les adresses sources quand c'est possible ; un VPN ou un hôte bastion devant lui est encore mieux. Un autre port réduit le bruit dans les journaux, mais ne protège pas. Tenez la liste de tous les serveurs SSH exposés et relisez-la, car ce sont les serveurs de test oubliés qui restent sans correctifs. NetSenX voit les connexions vers les hôtes surveillés et détecte balayages, tentatives de connexion répétées et sessions inhabituelles les concernant, sur toutes les offres. À partir de l'offre Pro, avec la capture de paquets sur un agent Linux ou un capteur SPAN ou TAP, son inventaire cryptographique liste aussi les versions SSH annoncées par les serveurs.

Le bureau à distance (RDP), le partage de fichiers (SMB), les ports de bases de données, les interfaces d'administration des pare-feu, commutateurs, imprimantes et hyperviseurs, et les protocoles industriels comme Modbus ou S7 ne doivent pas être joignables depuis Internet. Placez ce dont le personnel a besoin à l'extérieur derrière un VPN ou une passerelle avec authentification multifacteur, et gardez le reste en interne. Vérifiez régulièrement par un balayage externe de vos propres plages d'adresses, après chaque modification du pare-feu ou du routeur, et désactivez l'ouverture automatique de ports (UPnP) sur les routeurs. Les serveurs cloud comptent aussi : leurs groupes de sécurité ouvrent des ports aussi facilement qu'un pare-feu de bureau. NetSenX voit les connexions entrantes vers les hôtes surveillés, sur toutes les offres, si bien qu'un service qui répond de façon inattendue à des connexions extérieures, ou un hôte balayé ou visé par des connexions répétées, apparaît dans son trafic. Il ne balaie pas vos adresses publiques.

Il déplace les appareils et les données de l'entreprise sur des réseaux que vous ne contrôlez pas et multiplie les portes d'entrée. Les portables sont sur le Wi-Fi de la maison à côté des appareils de la famille et d'un vieux routeur, se connectent depuis des hôtels et des trains, et voyagent là où ils peuvent être perdus. Le personnel se connecte de l'extérieur, un mot de passe volé devient donc utilisable de partout, et les services d'accès distant comme les passerelles VPN et le bureau à distance doivent être joignables depuis Internet. Le support devient aussi plus difficile, car les mises à jour dépendent de la connexion du portable. La réponse relève surtout de l'identité et des postes : authentification multifacteur partout, chiffrement complet du disque, protection des postes et mises à jour automatiques sur chaque portable, et un VPN ou une passerelle qui n'atteint que ce dont chacun a besoin. La part réseau, c'est l'endroit où les appareils distants rejoignent l'entreprise : NetSenX voit le trafic VPN sur un segment surveillé derrière la passerelle et y détecte balayage, mouvement latéral et beaconing, sur toutes les offres, et un agent sur un portable Linux ou macOS observe ce portable où qu'il soit.

Commencez par le compte et l'appareil, puis limitez ce que la connexion peut atteindre. Exigez l'authentification multifacteur pour le VPN, la messagerie et chaque application cloud ; fournissez des portables d'entreprise avec chiffrement complet du disque, protection des postes et mises à jour automatiques ; et tenez les appareils personnels à l'écart du VPN. Configurez le VPN ou la passerelle d'accès distant pour que chaque groupe n'atteigne que les systèmes dont il a besoin, pas tout le réseau du bureau, et journalisez chaque session. Donnez au personnel un moyen simple de signaler un portable perdu ou une demande de connexion étrange, et retirez les accès le jour du départ. Surveillez ensuite l'endroit où le télétravail rejoint l'entreprise : avec un capteur sur un port SPAN ou TAP derrière la passerelle VPN, NetSenX voit ce que font les appareils distants dans le réseau et détecte balayage, mouvement latéral, beaconing et volume sortant inhabituel, sur toutes les offres. Il ne gère ni les comptes, ni les appareils, ni le VPN ; votre fournisseur d'identité, votre gestion des appareils et votre passerelle s'en chargent.

Seulement si le personnel doit atteindre des systèmes à l'intérieur du réseau du bureau. Si tout ce que les gens utilisent est en cloud, comme la messagerie, les fichiers et la comptabilité, un VPN apporte peu : protégez plutôt ces services par l'authentification multifacteur et des portables gérés. S'il y a au bureau un serveur de fichiers, une base comptable ou une machine dont les gens ont besoin depuis chez eux, alors oui : utilisez un VPN ou une passerelle d'accès distant plutôt que d'ouvrir ces services sur Internet, et exigez l'authentification multifacteur. Une application VPN grand public qui masque votre navigation est un autre produit et ne protège pas les systèmes de l'entreprise. Quel que soit votre choix, ne donnez à chacun accès qu'à ce dont il a besoin. NetSenX ne fournit pas de VPN. Derrière votre passerelle VPN, un capteur sur un port SPAN ou TAP voit ce que font les appareils distants sur le réseau interne et détecte balayage, mouvement latéral et beaconing, sur toutes les offres.

Non. Un VPN à simple mot de passe laisse entrer dans votre réseau quiconque possède un mot de passe volé, deviné ou réutilisé, et les identifiants VPN sont exactement ce que visent les pages d'hameçonnage et les outils de devinette de mots de passe. Ajoutez l'authentification multifacteur (MFA) au VPN avant toute autre chose, préférez une application d'authentification ou une clé matérielle aux SMS, et désactivez les comptes qui n'ont pas utilisé le VPN depuis des mois. Limitez par groupe qui peut se connecter, et journalisez les connexions pour voir les tentatives depuis des lieux inhabituels. Maintenez à jour l'équipement VPN lui-même, car une faille dans la passerelle peut contourner entièrement le mot de passe. NetSenX ne vérifie pas les connexions au VPN ; c'est le rôle du VPN et de votre fournisseur d'identité. Là où le segment derrière le VPN est surveillé, il signale ce que fait ensuite un intrus, comme un balayage, un mouvement latéral ou du beaconing, sur toutes les offres.

Parce que la passerelle VPN est par conception joignable depuis tout Internet et considérée comme fiable par votre réseau interne, une faille de sécurité peut y laisser entrer un attaquant sans aucun mot de passe. Des failles dans les équipements VPN et d'accès distant de plusieurs grands fabricants ont été largement exploitées ces dernières années, et les agences nationales de cybersécurité publient régulièrement des alertes urgentes à leur sujet. Traitez la passerelle comme votre système le plus exposé : abonnez-vous aux avis de sécurité du fabricant, appliquez les correctifs en quelques jours plutôt qu'à la prochaine fenêtre de maintenance, lancez après une faille critique les contrôles de compromission publiés par le fabricant et réservez l'interface d'administration aux adresses internes. Si vous ne pouvez pas corriger vite, envisagez un service géré. Un capteur réseau ne voit pas l'exploitation d'une faille à l'intérieur de l'équipement, mais il voit la suite : en surveillant le segment derrière la passerelle, NetSenX détecte balayage, mouvement latéral et beaconing depuis les adresses VPN, sur toutes les offres.

Le split tunneling signifie que seul le trafic vers les systèmes de l'entreprise passe par le VPN, tandis que tout le reste, comme la navigation et les visioconférences, part directement vers Internet depuis l'endroit où se trouve le portable. Cela économise de la bande passante et fluidifie les appels, d'où sa popularité. Le risque est moindre qu'il n'y paraît si le portable lui-même est protégé : l'appareil devient la frontière et a donc besoin d'une protection des postes, de mises à jour et du filtrage web si vous en utilisez un. La contrepartie est la visibilité : le trafic Internet qui n'entre jamais dans le VPN ne traverse jamais le réseau du bureau, et les pare-feu et capteurs réseau du bureau ne le voient pas. Décidez en connaissance de cause : tunnel complet si vous devez inspecter tout le trafic de façon centralisée, split tunneling avec une forte protection des postes sinon. NetSenX voit la part qui traverse un segment surveillé ; pour le reste, un agent sur un portable Linux ou macOS observe les connexions propres de ce portable, où qu'il soit.

Derrière la passerelle VPN, côté interne, là où le tunnel se termine et où le trafic des utilisateurs distants redevient du trafic interne ordinaire. Un capteur placé devant la passerelle, côté Internet, ne voit que des tunnels chiffrés et n'en apprend pas grand-chose. En pratique, recopiez vers un port SPAN ou TAP le port de commutateur qui relie la passerelle VPN ou le pare-feu au réseau interne, ou la liaison entre celle-ci et le segment des serveurs. Attribuez aux utilisateurs du VPN des adresses d'un pool dédié, pour que leur trafic soit facile à reconnaître. Avec NetSenX, un agent sur ce port SPAN ou TAP compte pour un seul appareil et observe chaque session VPN qui y passe : balayage, mouvement latéral, beaconing et volume sortant inhabituel sont détectés sur toutes les offres, et la vue VPN liste les tunnels et sessions de passerelle qu'il voit. Le trafic qu'un portable en split tunneling envoie directement vers Internet n'atteint jamais ce capteur.

Avec les journaux de connexion de votre passerelle VPN ou de votre fournisseur d'identité, car eux seuls savent à quel compte appartient chaque session. Cherchez un même utilisateur qui se connecte depuis deux lieux trop éloignés pour le temps écoulé entre les deux, une session depuis un pays où vous n'avez personne, ou une connexion depuis une adresse appartenant à un hébergeur ou à un service d'anonymisation. Beaucoup de fournisseurs d'identité et de passerelles VPN savent le signaler automatiquement, souvent sous le nom de déplacement impossible ou de connexion à risque ; activez-le, et exigez l'authentification multifacteur pour qu'un mot de passe volé ne suffise pas. Le réseau apporte la seconde moitié du tableau. La vue VPN de NetSenX liste les tunnels et sessions de passerelle qu'il voit sur les segments surveillés, avec le pays d'enregistrement de l'adresse distante, et signale les adresses figurant sur des listes de services VPN commerciaux et de nœuds de sortie Tor. Elle ne relie pas les sessions aux comptes : ce type d'alerte reste du ressort des journaux d'identité.

Un déplacement impossible est un schéma de connexion où un même compte se connecte depuis deux lieux entre lesquels personne n'aurait pu voyager dans le temps écoulé, par exemple Madrid à 9 h 10 et un autre continent à 9 h 40. Il signifie généralement qu'un mot de passe ou un jeton de session volé est utilisé, même si un service VPN, un réseau mobile ou un proxy cloud peuvent produire de fausses correspondances. Il est détecté par les systèmes qui voient les connexions avec le nom du compte : votre fournisseur d'identité, la suite bureautique en cloud ou la passerelle VPN. La plupart le proposent comme signal de risque intégré ; vérifiez qu'il est activé et que quelqu'un reçoit l'alerte. La localisation vient des données d'enregistrement de l'adresse : traitez-la comme un indice, pas comme une preuve. Un capteur réseau comme NetSenX ne voit pas les connexions aux comptes et n'émet pas d'alertes de déplacement impossible. Il aide ensuite, en montrant ce que la session a fait dans le réseau : balayage, mouvement latéral ou gros transferts vers l'extérieur.

En partie. Un capteur qui voit le trafic de la passerelle VPN connaît l'adresse publique d'où vient chaque tunnel, et cette adresse peut être rapprochée du pays dans lequel son réseau est enregistré. C'est utile mais imprécis : les données d'enregistrement indiquent où est enregistré le propriétaire du réseau, pas où se trouve la personne, et les voyages, les réseaux mobiles, le Wi-Fi des hôtels et les services VPN commerciaux brouillent l'image. Le capteur ne sait pas non plus à quel compte appartient un tunnel ; les journaux de la passerelle VPN, eux, le savent. La vue VPN de NetSenX liste les tunnels VPN et sessions de passerelle qu'il voit sur les segments surveillés, avec le pays tiré des données d'enregistrement du réseau, et signale les adresses figurant sur des listes de services VPN commerciaux et de nœuds de sortie Tor. Utilisez-la à côté des journaux de connexion de la passerelle : les journaux disent qui, la vue réseau dit depuis quel réseau et ce qui s'est passé ensuite.

Oui, si l'agent NetSenX tourne sur le portable ; sinon seulement quand son trafic repasse par un segment surveillé. L'agent fonctionne sous Linux et macOS et observe les connexions propres de ce portable où qu'il soit, à la maison, à l'hôtel ou dans le train, et les alertes comme le beaconing, le balayage ou un volume sortant inhabituel arrivent dans votre tableau de bord, sur toutes les offres. Chaque portable équipé de l'agent compte pour un appareil. Sous macOS, l'agent fonctionne en mode de base sans capture de paquets, si bien que les fonctions qui en ont besoin, comme l'empreinte TLS, n'y sont pas disponibles. Un portable sans agent n'est vu que lorsqu'il se connecte par le réseau du bureau ou par un VPN dont le trafic traverse un segment surveillé. Ce que l'agent ne voit jamais, c'est le contenu du trafic chiffré ou ce qui se passe à l'intérieur du portable ; la protection des postes couvre cette partie.

Pas forcément. Si le personnel distant n'atteint les systèmes de l'entreprise que par un VPN, un capteur sur un port SPAN ou TAP derrière la passerelle VPN voit déjà ce que font leurs portables sur le réseau interne, là où se produisent la plupart des dégâts, et ce capteur compte pour un appareil. Installez l'agent sur un portable quand vous voulez observer ses connexions même hors VPN : par exemple le portable d'un dirigeant ou d'un administrateur, la machine d'un développeur ayant accès à la production, ou un portable en split tunneling. Chaque portable équipé de l'agent compte pour un appareil : décidez selon le risque plutôt que selon l'effectif. L'agent fonctionne sous Linux et macOS ; sous macOS, en mode de base sans capture de paquets. Sur chaque portable, avec ou sans agent, maintenez la protection des postes, les mises à jour et le chiffrement du disque, car aucun capteur réseau ne voit ce qui se passe dans l'appareil.

En général oui, car ils contiennent la boîte de messagerie et les fichiers les plus précieux et voyagent le plus. Les premières mesures portent sur l'appareil et le compte : authentification multifacteur résistante à l'hameçonnage, chiffrement complet du disque, protection des postes avec quelqu'un qui lit ses alertes, mises à jour automatiques et une règle claire en cas de perte. Les dirigeants sont aussi la cible habituelle des e-mails de fraude au paiement, qu'aucun outil réseau n'arrête ; une règle de rappel en cas de changement de coordonnées bancaires, si. La surveillance réseau ajoute une vue sur ce que fait le portable : avec l'agent NetSenX installé, sous Linux ou macOS, les connexions propres du portable sont observées où qu'il soit, et un beaconing, un balayage ou un volume sortant inhabituel déclenche une alerte, sur toutes les offres. C'est l'appareil qui est observé, pas la personne, et le contenu du trafic chiffré n'est jamais lu. Convenez d'abord du périmètre avec les dirigeants, pour que la surveillance soit une protection qu'ils ont demandée.

Tout ce que fait le portable dès qu'il est sur un segment surveillé, et c'est précisément le moment où une compromission attrapée en route devient visible. Un logiciel malveillant installé à l'hôtel ou par une fausse mise à jour contacte généralement son serveur à intervalles réguliers, cherche d'autres hôtes ou s'en prend aux partages de fichiers et aux services d'administration. Un capteur sur un port SPAN ou TAP voit ces connexions dès la première minute, et NetSenX détecte beaconing, balayage, mouvement latéral et volume sortant inhabituel, sur toutes les offres. Ce qu'il ne voit pas, c'est ce qui s'est passé pendant le voyage : le trafic sur le réseau de l'hôtel n'a jamais traversé le vôtre, sauf si le portable fait tourner l'agent NetSenX, qui observe ses connexions où qu'il soit. Une routine raisonnable après un voyage dans un pays à risque : analyse complète par la protection des postes, mises à jour en attente, et changement des mots de passe si l'appareil est resté hors de votre vue, par exemple à un contrôle aux frontières.

Il peut l'être, surtout indirectement. Les routeurs domestiques ont souvent plusieurs années, n'ont jamais été mis à jour et gardent le mot de passe administrateur par défaut, et certains modèles ont des failles connues que les attaquants exploitent à grande échelle pour bâtir des réseaux de routeurs détournés. Un routeur compromis peut rediriger le trafic, observer les connexions non chiffrées et attaquer les autres appareils du réseau domestique, y compris un portable professionnel. L'entreprise ne peut pas gérer le routeur : protégez donc le portable, avec protection des postes, mises à jour, pare-feu du portable, VPN ou connexions chiffrées pour tout le trafic professionnel, et aucun appareil personnel sur le VPN. Donnez au personnel une courte liste pour la maison : mettre à jour le routeur, changer son mot de passe administrateur, désactiver l'administration à distance et l'ouverture automatique de ports (UPnP), et placer les objets connectés de la maison sur un Wi-Fi séparé si le routeur le permet. NetSenX ne voit pas les réseaux domestiques ; il voit ce que fait le portable quand il rejoint un segment surveillé de l'entreprise, ou partout s'il fait tourner l'agent.

C'est acceptable avec un portable protégé et des connexions chiffrées, et risqué sans. La plupart des sites et des services d'entreprise sont déjà chiffrés, un inconnu sur le même réseau de café ou d'hôtel ne peut donc pas lire le contenu, mais il voit quels appareils sont présents, peut tenter d'attaquer les services ouverts de votre portable ou monter un faux réseau du même nom. Utilisez le VPN de l'entreprise ou le partage de connexion de votre téléphone pour tout ce qui est sensible, gardez le pare-feu du portable activé et le partage de fichiers désactivé, considérez un avertissement de certificat comme une raison de vous déconnecter, et oubliez le réseau ensuite pour que le portable ne s'y reconnecte pas automatiquement. Les mises à jour et la protection des postes comptent plus en déplacement qu'au bureau. NetSenX ne voit pas le réseau du café. Un portable qui fait tourner l'agent, sous Linux ou macOS, voit ses propres connexions observées où qu'il soit, et un beaconing ou un volume sortant inhabituel déclenche une alerte sur toutes les offres.

Mieux vaut éviter, et une courte règle écrite aide davantage qu'une interdiction que personne n'applique. L'usage personnel apporte des risques sur l'appareil qui détient les données de l'entreprise : jeux et extensions de navigateur de sources inconnues, logiciels piratés, enfants devant le portable et comptes personnels aux mots de passe réutilisés. Si vous autorisez un usage personnel limité, fixez des limites claires : aucun logiciel installé sans l'informatique, pas de membres de la famille, un profil de navigateur séparé pour les comptes personnels et aucun fichier de l'entreprise dans un stockage cloud personnel. Veillez à ce que le personnel ne soit pas administrateur local, pour que la plupart des logiciels indésirables ne puissent pas s'installer seuls. C'est une question de politique et de protection des postes, et un capteur réseau ne peut pas la faire respecter. NetSenX observe des appareils, pas des personnes : il signalerait les conséquences, comme le beaconing d'un logiciel malveillant ou des envois inhabituels, quand le trafic du portable traverse un segment surveillé ou que l'agent y tourne, mais il ne rend pas compte des habitudes de navigation de qui que ce soit.

Pour des tâches limitées et peu risquées, si vous fixez des règles ; mais les appareils personnels ne doivent ni rejoindre le VPN de l'entreprise ni stocker de fichiers de l'entreprise en dehors d'applications gérées. L'entreprise ne voit pas si un téléphone ou un portable personnel est à jour, chiffré ou infecté, et ne peut pas l'effacer au départ de la personne. Un compromis courant : messagerie et chat sur les téléphones personnels via des applications gérées avec code PIN et effacement à distance des seules données de l'entreprise, accès à la suite bureautique en cloud depuis un navigateur avec authentification multifacteur, et tout ce qui exige un accès aux systèmes internes uniquement sur des appareils de l'entreprise. Mettez les règles par écrit, y compris ce que deviennent les données de l'entreprise au départ de quelqu'un, et validez-les avec les représentants du personnel s'il y en a. Sur le réseau, un appareil personnel qui se connecte à un segment surveillé apparaît sur la carte réseau de NetSenX, et le balayage, le beaconing ou un volume sortant inhabituel de sa part sont détectés sur toutes les offres.

Agissez d'abord sur les comptes, puis sur l'appareil. Le jour même : fermez les sessions actives de l'utilisateur et changez son mot de passe, vérifiez que l'authentification multifacteur est toujours liée à son propre téléphone, révoquez le certificat ou l'accès VPN du portable et, si vous utilisez une gestion des appareils, verrouillez-le ou effacez-le à distance. Si le disque était chiffré et le portable verrouillé, les données sont très probablement en sécurité ; sinon, partez du principe qu'elles sont lisibles et vérifiez si des données personnelles sont concernées, car une violation de données personnelles peut devoir être notifiée au titre du RGPD : impliquez votre délégué à la protection des données le jour même. Déclarez un vol à la police et gardez la référence pour votre assureur. Vérifiez ensuite si l'appareil s'est reconnecté depuis : la carte réseau de NetSenX indique quand un appareil a été vu pour la dernière fois sur un segment surveillé, et pour un portable équipé de l'agent, le tableau de bord montre quand il s'est manifesté pour la dernière fois. Un outil réseau ne peut ni localiser ni effacer le portable.

En partie, et cela dépend davantage des outils de l'entreprise que du VPN. Le trafic qui passe par le VPN traverse le réseau de l'entreprise, dont le pare-feu et la surveillance voient donc à quels serveurs votre portable se connecte et quelle quantité de données circule. L'essentiel de ce trafic est chiffré : le contenu des pages web, des messages et des fichiers n'est pas visible pour un capteur réseau, sauf si l'entreprise utilise un système qui le déchiffre, ce que votre politique interne devrait indiquer. Un logiciel installé sur un portable de l'entreprise voit bien davantage, c'est pourquoi la politique applicable au portable compte plus que le VPN. Là où NetSenX est utilisé, il observe des appareils et des connexions, pas des personnes : il enregistre des métadonnées de connexion comme les destinations, les horaires et les volumes pour détecter des attaques, ne déchiffre jamais le trafic et ne lit jamais ce que vous tapez. Demandez à votre employeur sa politique de surveillance ; dans l'UE, le droit de la protection des données attend des employeurs qu'ils informent leur personnel de la manière dont il est surveillé.

En général non, et la plupart des politiques d'entreprise l'interdisent. Une application VPN personnelle fait passer tout le trafic du portable par les serveurs d'un tiers, ce qui peut casser le VPN de l'entreprise, contourner son filtrage web et sa surveillance, et confier les métadonnées du trafic de l'entreprise à un fournisseur que personne n'a vérifié. Les applications VPN gratuites, en particulier, gagnent leur argent d'une manière ou d'une autre, souvent avec des données. Votre trafic semble aussi venir d'un autre pays, ce qui peut déclencher des blocages de compte et des alertes de connexion à risque. Si vous avez besoin de confidentialité sur un Wi-Fi public, utilisez le VPN de l'entreprise ou le partage de connexion de votre téléphone. Si vous êtes administrateur, bloquez l'installation de logiciels non approuvés et repérez les portables dont tout le trafic part soudain vers une seule adresse extérieure. Sur un segment surveillé, la vue VPN de NetSenX signale les adresses figurant sur des listes de services VPN commerciaux : un portable qui fait tout transiter par l'un d'eux se remarque.

Oui. Les applications de bureau à distance qui passent par le cloud de leur éditeur n'ont besoin d'aucun port ouvert : elles passent à côté du pare-feu et créent une porte permanente vers le réseau du bureau, protégée uniquement par le compte de cette application. Les escrocs au faux support technique utilisent les mêmes applications, et un attaquant qui vole le compte, ou qui est déjà à l'intérieur, peut revenir à tout moment par l'outil installé, sans aucun logiciel malveillant. La personne qui l'a installée pensait souvent bien faire : proposez donc une alternative approuvée, comme le VPN de l'entreprise, une passerelle de bureau à distance ou un seul outil d'assistance à distance approuvé avec authentification multifacteur, géré par l'informatique. Bloquez ensuite l'installation de logiciels non approuvés et supprimez les autres. Sur le réseau, ces applications gardent une connexion régulière avec leurs serveurs relais, que NetSenX signale comme beaconing sur toutes les offres ; quand l'agent tourne sur cet ordinateur, l'alerte nomme le programme local. NetSenX ne désinstalle pas l'application et ne la bloque pas.

Avec trois sources : l'inventaire logiciel, le trafic réseau et le DNS. Votre console de gestion des postes ou d'antivirus peut généralement lister les programmes installés ; cherchez-y les outils de bureau à distance et d'assistance à distance. Sur le réseau, ces applications gardent une connexion permanente avec les serveurs relais de leur éditeur même quand personne ne s'en sert : un PC qui contacte le même service extérieur toutes les quelques minutes, jour et nuit, mérite d'être vérifié. Vos journaux DNS ou de pare-feu montrent les domaines de l'éditeur qu'elles résolvent. Une fois l'outil trouvé, décidez au cas par cas : le supprimer, ou le remplacer par l'outil approuvé. Évitez les récidives en retirant les droits d'administrateur local et en autorisant les logiciels par liste blanche. NetSenX signale ces connexions régulières comme beaconing, sur toutes les offres, depuis un capteur SPAN ou TAP ou depuis l'agent sur cet hôte, et quand l'agent tourne sur l'ordinateur, l'alerte nomme le programme. Il ne tient pas d'inventaire logiciel ; vos outils de gestion des postes le font.

C'est un serveur unique et durci par lequel les administrateurs et les prestataires doivent passer pour atteindre les systèmes internes, au lieu de se connecter directement à chaque serveur. Les sessions distantes aboutissent sur le bastion, qui impose l'authentification multifacteur, n'admet que des comptes nominatifs, journalise ou enregistre chaque session, et est le seul hôte dont les serveurs acceptent des connexions d'administration. Une passerelle de bureau à distance fait de même pour le bureau à distance, en l'enveloppant dans une connexion chiffrée et authentifiée. Vous en avez besoin dès que plus de deux ou trois personnes, ou un prestataire quel qu'il soit, administrent vos serveurs à distance, ou lorsque SSH ou le bureau à distance seraient sinon exposés sur Internet. Gardez le bastion à jour et minimal, sans autre logiciel. La surveillance dispose alors d'une règle simple à vérifier : les sessions d'administration ne doivent venir que du bastion. NetSenX signale les sessions inhabituelles entre hôtes comme mouvement latéral, sur toutes les offres, si bien qu'un trafic d'administration qui contourne le bastion se remarque.

Fail2ban aide, mais il ne rend pas sûr un serveur SSH exposé. Il bloque les adresses après un certain nombre d'échecs de connexion, ce qui réduit la devinette de mots de passe et le bruit dans les journaux, mais les attaquants répartissent leurs tentatives sur de nombreuses adresses, et il ne peut rien contre une faille du serveur SSH lui-même ou une clé privée volée. La vraie protection est dans la configuration : connexions par clé uniquement, connexions par mot de passe et en root désactivées, OpenSSH à jour, et accès limité à des adresses sources connues ou placé derrière un VPN ou un bastion. Avec cela en place, Fail2ban est une couche supplémentaire raisonnable. Vérifiez régulièrement quels serveurs exposent SSH ; ce sont les oubliés qui posent problème. NetSenX voit les connexions vers les serveurs SSH surveillés et détecte tentatives de connexion répétées, balayages et sessions inhabituelles, sur toutes les offres. Il ne bloque pas lui-même les adresses ; Fail2ban ou le pare-feu s'en chargent.

Un peu contre le bruit, et pas du tout contre un attaquant ciblé. Les scanners automatiques qui n'essaient que le port 22 le manqueront, les journaux deviendront plus calmes et moins de tentatives arriveront. Mais un balayage complet des ports trouve un serveur SSH sur n'importe quel port, car SSH s'annonce dans son tout premier message, et quelqu'un qui cherche précisément votre serveur lancera ce balayage. Considérez donc un changement de port comme du ménage, pas comme une protection, et gardez les mesures qui comptent : connexions par clé uniquement, ni mot de passe ni root, un OpenSSH à jour, et un accès limité par adresse source ou passant par un VPN ou un bastion. Documentez le port pour que vos collègues et votre propre surveillance ne le prennent pas pour quelque chose d'inconnu. NetSenX voit les connexions vers les hôtes surveillés sur n'importe quel port et détecte balayages, tentatives de connexion répétées et sessions inhabituelles, sur toutes les offres.

Regardez le journal d'authentification du serveur : de nombreux échecs de connexion pour root, admin ou des noms d'utilisateur aléatoires, depuis une ou plusieurs adresses, en sont le signe classique, et des outils comme Fail2ban les comptent pour vous. Sur un serveur exposé à Internet, une partie de ce bruit est permanente ; l'important est de savoir si une tentative a réussi : cherchez des connexions réussies depuis des adresses inconnues, à des heures inhabituelles ou sur des comptes rarement utilisés, et vérifiez que les connexions par mot de passe sont désactivées. Les tentatives venant de votre propre réseau sont plus graves, car elles signifient qu'un hôte compromis fait les essais. NetSenX signale les tentatives de connexion répétées contre les hôtes surveillés comme attaque par force brute, sur toutes les offres, avec les balayages et les sessions inhabituelles, de sorte que les tentatives venant d'un hôte interne se remarquent. Depuis le réseau, il ne peut pas savoir si un mot de passe a été accepté ; le journal du serveur, si.

Seulement si un serveur fait tourner une version d'OpenSSH vulnérable dans une configuration vulnérable : commencez donc par retrouver tous vos serveurs SSH. regreSSHion (CVE-2024-6387), publiée en juillet 2024, touche le serveur OpenSSH sous Linux basé sur glibc de la version 8.5p1 jusqu'à la 9.8p1 exclue, ainsi que de très anciennes versions antérieures à 4.4p1 ; d'autres failles ont d'autres plages, lisez donc chaque avis. Listez vos serveurs à partir de votre inventaire et du réseau, y compris les équipements, les conteneurs et les machines de test oubliées. Vérifiez le paquet installé dans le suivi de sécurité de votre distribution, car les distributions rétroportent souvent les correctifs sans changer le numéro de version, puis appliquez le correctif ou restreignez l'accès en attendant. À partir de l'offre Pro, l'inventaire cryptographique NQCI, en préversion, liste chaque serveur SSH dont il a vu la bannière de version, avec la version annoncée ; il a besoin de la capture de paquets, activée pour un agent Linux ou un capteur SPAN/TAP. Une bannière est un indice, pas un verdict : confirmez sur le serveur.

Pas de lui-même : une session SSH ordinaire transporte vos frappes au clavier et l'affichage du serveur, et un serveur compromis ne peut pas pousser un programme sur votre ordinateur par ce biais. Les risques viennent des fonctions que vous ajoutez. Le transfert d'agent permet au serveur d'utiliser vos clés SSH pendant que vous êtes connecté : un serveur compromis peut donc atteindre d'autres serveurs en votre nom ; ne l'utilisez que vers des hôtes de confiance, ou préférez un réglage d'hôte de rebond. La redirection de ports et le transfert X11 ouvrent des canaux de retour vers votre machine. Les fichiers copiés depuis le serveur peuvent contenir un logiciel malveillant comme n'importe quel téléchargement. Et un client SSH vulnérable peut en théorie être attaqué par un serveur malveillant : gardez donc le client à jour. Sur le réseau, une session d'un portable d'administrateur vers un serveur est normale ; NetSenX signale les sessions inhabituelles entre hôtes comme mouvement latéral, sur toutes les offres, si bien qu'une session SSH qui se met à rebondir d'un serveur à l'autre se remarque.

SSH peut transporter d'autres flux dans sa connexion chiffrée : quiconque a le droit d'ouvrir une connexion SSH sortante peut y faire passer presque n'importe quoi. Une redirection de port rend un service interne joignable de l'extérieur, ou un service externe joignable de l'intérieur, sans qu'aucune règle de pare-feu ne change ; une redirection dynamique transforme la connexion SSH en proxy pour tout le trafic d'un utilisateur. Les attaquants s'en servent pour conserver un accès distant et sortir des données discrètement. Réduisez le risque : n'autorisez le SSH sortant que depuis les hôtes qui en ont besoin et seulement vers des destinations connues, désactivez les redirections sur vos serveurs SSH quand elles sont inutiles, et considérez comme suspecte une longue session SSH d'un poste de travail vers une adresse Internet inconnue. Un capteur réseau ne voit pas l'intérieur du tunnel, mais il voit le tunnel : NetSenX signale les connexions longues ou régulières vers des hôtes extérieurs comme beaconing et les gros transferts comme volume sortant inhabituel, sur toutes les offres.

Oui, SSH est conçu pour les réseaux non fiables : la connexion est chiffrée et le serveur prouve son identité par sa clé d'hôte. Le point faible, c'est d'accepter une mauvaise clé d'hôte. À la première connexion, et chaque fois que SSH avertit qu'une clé d'hôte a changé, comparez l'empreinte avec celle obtenue par un autre canal avant de continuer ; sur le réseau d'un café, une clé modifiée est une raison d'arrêter. Utilisez des connexions par clé plutôt que par mot de passe, protégez votre clé privée par une phrase secrète et gardez le client SSH à jour. Mieux encore, connectez-vous par le VPN de l'entreprise ou le partage de connexion de votre téléphone, pour que le réseau du café ne voie qu'un tunnel chiffré. NetSenX ne voit pas les Wi-Fi publics. Il voit la session SSH lorsqu'elle atteint un serveur surveillé, et détecte les tentatives de connexion répétées et les sessions inhabituelles concernant ce serveur, sur toutes les offres.

Elle place ce serveur directement sur Internet, où les balayages automatiques le trouvent vite et où les attaques ne cessent jamais : elle est aussi dangereuse que le service et sa maintenance sont faibles. Un port redirigé vers un serveur web corrigé chaque semaine est un risque maîtrisable ; un port redirigé vers un NAS, un enregistreur de caméras, un bureau à distance ou une vieille machine de test est une porte d'entrée courante dans les petits bureaux. Préférez les alternatives : un VPN pour le personnel, un service hébergé en cloud ou un proxy inverse dans un segment réseau séparé. Si vous devez rediriger, redirigez un port vers un hôte durci, maintenu à jour, avec une authentification forte, des accès journalisés, et isolé du reste du réseau pour qu'une compromission y reste confinée. Vérifiez dans le routeur les redirections oubliées et l'ouverture automatique de ports (UPnP), et désactivez-les. NetSenX voit les connexions entrantes vers les hôtes surveillés et détecte balayages, tentatives de connexion répétées et mouvement latéral depuis l'hôte exposé, sur toutes les offres.

Regardez-vous de l'extérieur, régulièrement. Listez vos adresses IP publiques et vos noms de domaine, y compris les serveurs cloud et la connexion Internet du bureau, puis balayez-les depuis l'extérieur de votre réseau avec un scanner de ports de confiance, et demandez à votre CERT national s'il propose un service de notification des systèmes exposés. Comparez les ports ouverts avec ce que vous aviez prévu : tout ce que vous ne savez pas expliquer, comme un bureau à distance, une base de données, un NAS ou la page d'administration d'un routeur, doit être fermé ou placé derrière un VPN. Recommencez après chaque modification du pare-feu, du routeur ou du cloud, et consultez les journaux publics de certificats pour repérer des sous-domaines oubliés. Ne balayez que des adresses qui vous appartiennent ou que vous êtes autorisé à tester. NetSenX ne balaie pas vos adresses publiques. À l'intérieur du réseau, il voit les connexions entrantes vers les hôtes surveillés, sur toutes les offres, si bien qu'un service qui répond de façon inattendue à des connexions extérieures, ou un hôte balayé ou visé par des connexions répétées, apparaît dans son trafic.

Oui, et sur un réseau de bureau, un risque généralement inutile. Universal Plug and Play (UPnP) permet à n'importe quel appareil du réseau de demander au routeur d'ouvrir un port vers Internet, sans mot de passe et sans prévenir personne. Les consoles de jeu et les applications vidéo l'apprécient ; les appareils compromis et les logiciels malveillants aussi, qui s'en servent pour se rendre joignables de l'extérieur. Caméras et enregistreurs ouvrent souvent des ports ainsi dès leur installation. Désactivez UPnP sur le routeur du bureau, et sur les routeurs domestiques où travaille le personnel, puis vérifiez quels ports sont déjà redirigés et supprimez ceux que vous ne savez pas expliquer. Certains routeurs exposent même UPnP côté Internet par erreur, ce qui est pire ; un balayage externe le révèle. Un capteur réseau ne voit pas la configuration du routeur, mais il en voit l'effet : NetSenX voit les connexions entrantes depuis Internet vers les hôtes surveillés, si bien qu'un appareil qui reçoit soudain des connexions de l'extérieur se remarque.

Souvent personne avant lundi, et c'est pourquoi les attaquants aiment les week-ends et les jours fériés. La solution tient moins à plus de personnel qu'à décider à l'avance ce qui justifie de réveiller quelqu'un. La plupart des petites entreprises ne peuvent pas assurer de nuit : choisissez quelques événements qui justifient un appel, comme une connexion administrateur réussie depuis un lieu inhabituel, une session distante vers un serveur en pleine nuit ou un gros transfert vers l'extérieur, et n'envoyez que ceux-là vers un téléphone. Le reste peut attendre la revue du matin. Assurez-vous que votre VPN et votre fournisseur d'identité envoient leurs alertes de connexion à un endroit qui est lu, et convenez de qui est d'astreinte pendant les congés. NetSenX détecte jour et nuit, les personnes non : il signale mouvement latéral, beaconing, balayage et volume sortant inhabituel sur toutes les offres et, à partir de l'offre Pro, peut envoyer les alertes vers Slack ou un webhook pour qu'elles atteignent un téléphone. Il ne fournit pas de centre opérationnel de sécurité avec du personnel.