B3-06 Sécurité du poste et des usages

1. Le poste, première cible

Le poste de travail est l'endroit où se rencontrent l'utilisateur, ses courriels, Internet et les données de l'entreprise : c'est par lui que commencent la plupart des attaques. Aucune mesure n'est parfaite à elle seule. On empile donc plusieurs protections indépendantes, pour que l'échec de l'une soit rattrapé par la suivante : c'est la défense en profondeur.

2. Sensibiliser : reconnaître l'hameçonnage

La meilleure protection contre l'hameçonnage reste un utilisateur qui prend dix secondes pour vérifier avant de cliquer. Le rôle du technicien est de lui apprendre où regarder, et de lui offrir un moyen simple de signaler un message douteux sans avoir peur d'être ridicule.

3. Mots de passe et double authentification

Un mot de passe prouve ton identité. Il est cassé quand il est trop court, trop simple, réutilisé sur un autre site qui s'est fait voler sa base, ou tout simplement écrit sous le clavier. Les attaquants testent automatiquement des milliards de combinaisons et des listes de mots de passe déjà volés.

3.1 La double authentification (MFA)

L'authentification multifacteur exige au moins deux preuves de natures différentes. Un mot de passe volé ne suffit plus à l'attaquant.

• Ce que je saisMot de passe, phrase de passe, code PIN. C'est le facteur le plus facile à voler.
• Ce que je possèdeTéléphone avec une application d'authentification, clé de sécurité physique (FIDO2), carte à puce. Les codes par SMS sont moins sûrs, mais valent mieux que rien.
• Ce que je suisEmpreinte digitale, reconnaissance du visage (Windows Hello). La donnée biométrique reste sur l'appareil.

4. Comptes standard et comptes administrateur

Un programme lancé par l'utilisateur hérite de ses droits. Si l'utilisateur est administrateur, un logiciel malveillant ouvert par erreur peut tout faire : s'installer dans le système, désactiver l'antivirus, chiffrer tout le disque. Avec un compte standard, il reste enfermé dans le profil de l'utilisateur. C'est le principe du moindre privilège.

4.1 LAPS : un mot de passe d'administrateur local différent sur chaque poste

Chaque poste Windows possède un compte administrateur local. Dans beaucoup d'entreprises, il a le même mot de passe sur tous les postes, fixé une fois pour toutes lors de la préparation du master. Un attaquant qui le récupère sur un seul poste peut se connecter à tous les autres : c'est un mouvement latéral.

Windows LAPS est intégré à Windows 11 et Windows Server depuis 2023 : il suffit de l'activer par stratégie de groupe ou par Intune. Le technicien lit le mot de passe d'un poste avec Get-LapsADPassword -Identity PC-ACCUEIL -AsPlainText (module LAPS de PowerShell), ou dans la console Utilisateurs et ordinateurs Active Directory. Tu le mettras en place avec l'AD (fiches B2-17 et B2-18).

5. Les mises à jour

Chaque mois, des failles sont découvertes dans Windows, les navigateurs, Office, les lecteurs PDF. Elles reçoivent un identifiant CVE et l'éditeur publie un correctif. Dès sa publication, les attaquants étudient le correctif pour fabriquer une attaque : un poste non mis à jour devient vite une cible facile.

• Patch TuesdayMicrosoft publie ses correctifs de sécurité le deuxième mardi de chaque mois ; des correctifs urgents peuvent sortir entre deux.
• Faille « zero-day »Faille exploitée avant que le correctif n'existe. Ce sont alors les autres couches (antivirus, droits, pare-feu) qui protègent.
• Gestion centraliséeEn entreprise, on ne laisse pas chaque poste décider : WSUS, Windows Update for Business ou Intune déploient les mises à jour, avec un petit groupe de postes pilotes testés d'abord.
• Tout le logicielWindows ne suffit pas : navigateurs, Office, lecteurs PDF, pilotes, micrologiciels (BIOS, routeurs) et applications métier se mettent aussi à jour. Un logiciel qui n'est plus maintenu (fin de support) doit être remplacé.

6. Antivirus, EDR et pare-feu

Microsoft Defender Antivirus est intégré à Windows 11 et suffit pour le poste d'une PME s'il est actif, à jour et bien réglé. Un EDR va plus loin : il analyse les comportements suspects sur tout le parc et permet d'isoler un poste à distance.

PS> Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled,
    AntivirusSignatureLastUpdated, IsTamperProtected

AMServiceEnabled              : True
RealTimeProtectionEnabled     : True
AntivirusSignatureLastUpdated : 18/10/2026 07:12:44
IsTamperProtected             : True

• RealTimeProtectionEnabledLa protection en temps réel analyse chaque fichier ouvert ou téléchargé. Elle doit être à True.
• AntivirusSignatureLastUpdatedDate des dernières signatures : plus de 24 à 48 heures de retard doit alerter.
• IsTamperProtectedLa protection contre les falsifications empêche un programme malveillant, même administrateur, de désactiver Defender.
• Accès contrôlé aux dossiersOption anti-rançongiciel : seuls les programmes approuvés peuvent modifier Documents, Images, Bureau. À tester avec les logiciels métier avant de l'activer partout.

6.1 Le pare-feu Windows

Le pare-feu filtre les connexions qui entrent sur le poste (et, si on le configure, celles qui sortent). Windows applique un profil selon le réseau auquel le poste est connecté :

7. Chiffrer le disque et maîtriser les supports amovibles

Le mot de passe de session ne protège que l'accès à Windows : un voleur démarre sur une clé USB, ou branche le disque sur un autre ordinateur, et lit tout. BitLocker chiffre le disque entier : sans la clé, les données sont illisibles. Sur un portable, c'est indispensable ; c'est aussi ce qui évite qu'un vol devienne une violation de données à notifier (fiche B3-02).

• TPMPuce de sécurité de la carte mère (TPM 2.0, exigée par Windows 11). Elle garde la clé et ne la libère que si le démarrage n'a pas été modifié.
• PIN de démarrageOption qui demande un code avant le démarrage de Windows : protection renforcée pour les portables qui contiennent des données sensibles.
• Clé de récupération48 chiffres demandés si le TPM détecte un changement (mise à jour du BIOS, disque déplacé). Elle doit être sauvegardée avant d'en avoir besoin : dans l'Active Directory, dans Entra ID, ou imprimée et rangée en lieu sûr.
• BitLocker To GoChiffrement des clés USB et disques externes, déverrouillés par mot de passe.

7.1 Les supports amovibles

Une clé USB peut apporter un logiciel malveillant, ou emporter des données. Une clé trouvée sur un parking est un piège classique : l'attaquant compte sur la curiosité. Mesures possibles, de la plus souple à la plus stricte : analyse automatique par Defender, désactivation de l'exécution automatique, chiffrement obligatoire des supports (BitLocker To Go), lecture seule, blocage total par stratégie de groupe (Configuration ordinateur → Modèles d'administration → Système → Accès au stockage amovible). Pour échanger des fichiers, on privilégie un partage ou un service de transfert de l'entreprise.

8. Sauvegarder le poste

Les documents de travail ne devraient pas vivre seulement sur le disque du poste : on les range sur le serveur de fichiers ou dans un espace en ligne de l'entreprise, eux-mêmes sauvegardés. Pour le reste, la règle 3-2-1 s'applique : 3 copies des données, sur 2 supports différents, dont 1 hors du site (et si possible une copie hors ligne, inaccessible à un rançongiciel).

9. Dépanner et accompagner les utilisateurs

9.1 Situations fréquentes

9.2 Entraîne-toi : les tickets du support

Six demandes arrivent au support de Brocéliande Logistique. Lis-les, observe l'extrait, puis choisis la bonne réponse : celle qui règle le problème sans affaiblir la sécurité.

Voulez-vous autoriser cette application à apporter des
modifications à votre appareil ?
Éditeur : inconnu – lecteurpdf_setup.exe
Entrez un nom d'utilisateur et un mot de passe d'administrateur.

Récupération BitLocker
Entrez la clé de récupération pour ce lecteur
ID de la clé de récupération : 3F2A9C1E-…

AMServiceEnabled              : True
RealTimeProtectionEnabled     : False
AntivirusSignatureLastUpdated : 13/10/2026 06:58:02
IsTamperProtected             : False

Clé USB 64 Go, étiquette manuscrite :
"Salaires 2026 – confidentiel"

Modifications non autorisées bloquées
L'accès contrôlé aux dossiers a empêché
compta.exe d'apporter des modifications à Documents.

Longueur minimale : 8
Complexité : activée
Expiration : 30 jours
Historique : 3

10. À l'examen et en entreprise

11. L'essentiel

1. Défense en profondeur : utilisateur sensibilisé, mises à jour, compte standard, antivirus, pare-feu, chiffrement, sauvegarde.
2. Hameçonnage : vérifier l'expéditeur réel, l'urgence, la demande, le lien survolé, la pièce jointe ; signaler.
3. Mot de passe (CNIL) : 12 caractères variés, ou 14, ou une phrase de 7 mots ; un par service, dans un gestionnaire.
4. MFA : deux facteurs de natures différentes (je sais, je possède, je suis).
5. Travail quotidien en compte standard ; compte d'administration distinct, utilisé seulement pour administrer.
6. LAPS : un mot de passe d'administrateur local unique et changé automatiquement sur chaque poste, contre le mouvement latéral.
7. Mises à jour rapides et centralisées (Patch Tuesday, 2e mardi) pour tous les logiciels.
8. Defender : temps réel, signatures à jour, protection contre les falsifications ; pare-feu actif sur les trois profils.
9. BitLocker sur tous les portables, clé de récupération sauvegardée dans l'AD ou Entra ID ; clés USB chiffrées ou bloquées.
10. Sauvegarde 3-2-1 avec une copie hors ligne ; synchroniser n'est pas sauvegarder ; tester la restauration.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

12. Quiz noté

13. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

14. Au labo : durcir le poste Windows 11