Steven LafortuneLa période des fêtes est peut-être derrière nous, mais le mois de février offre aux organisations deux occasions précieuses grâce à deux événements mondiaux : la Journée Changez votre mot de passe le 1er février et la Journée de la 2FA le 2 février. Ces deux journées représentent une occasion idéale pour les organisations et les individus d’obtenir des gains de sécurité à fort impact avec peu d’efforts.
Une note rapide sur le changement de mots de passe
Avant d’examiner quelques conseils, il est important de préciser qu’une bonne hygiène des mots de passe aujourd’hui ne consiste pas à forcer tout le monde à réinitialiser ses mots de passe tous les 60 ou 90 jours. Les recommandations du NIST préconisent d’éviter les changements de mots de passe systématiques et planifiés, sauf en cas de preuve de compromission. L’accent devrait plutôt être mis sur la création de mots de passe forts et uniques (c’est-à-dire si les passkeys ne sont pas une option) et sur l’ajout d’un second facteur là où cela compte le plus.
Recommandations
Voici quelques actions ciblées et améliorations qui peuvent prévenir une compromission complexe et coûteuse. Les organisations qui ont déjà appliqué une, plusieurs ou — mieux encore — toutes ces mesures peuvent se féliciter de leur proactivité. Sinon, utilisez la liste suivante comme liste de vérification pour réduire les risques dès maintenant, et non plus tard lorsqu’il pourrait être trop tard.
1. Identifier les comptes à fort impact
Commencez par les comptes qui agissent comme des clés maîtresses. Cela peut inclure :
- Les administrateurs Microsoft 365 ou Google Workspace
- Les administrateurs de coffres de mots de passe
- Les accès bancaires, de paie et aux processeurs de paiement
- Les registraires de domaines et l’hébergement DNS
- Les consoles d’accès à distance et de gestion TI
Si l’un de ces comptes est compromis, les attaquants peuvent souvent réinitialiser d’autres mots de passe, créer des règles de redirection, se faire passer pour des employés et bloquer l’accès aux utilisateurs.
2. Changer les mots de passe faibles, réutilisés ou partagés
Si un mot de passe est utilisé à plus d’un endroit, remplacez-le par un mot de passe fort et unique. Il doit s’agir d’un tout nouveau mot de passe généré par un gestionnaire de mots de passe et respectant les exigences de complexité et de longueur, plutôt qu’une version légèrement modifiée d’un ancien mot de passe.
3. Activer la 2FA/MFA
La 2FA/MFA rend les mots de passe volés beaucoup moins utiles. Si votre environnement le permet, privilégiez des méthodes plus robustes comme les applications d’authentification, les clés de sécurité ou les passkeys plutôt que les SMS.
4. Réduire la prolifération des identifiants partagés
Les identifiants partagés sont courants parce qu’ils sont pratiques, mais ils sont difficiles à auditer et faciles à mal gérer. Si votre équipe a toujours besoin d’un accès partagé, envisagez les règles et pratiques suivantes :
- Stocker l’identifiant dans un coffre sécurisé, et non dans une feuille de calcul, un document ou une conversation
- Limiter l’accès uniquement aux personnes qui en ont réellement besoin
- Réviser les accès chaque trimestre (ou lors de changements de rôle)
5. Rendre les approbations 2FA/MFA plus difficiles à valider par erreur
Les approbations par notification push sont conviviales — jusqu’au moment où quelqu’un appuie sur « approuver » par automatisme. Des fonctionnalités comme la correspondance de numéros réduisent les approbations accidentelles et rendent les attaques de fatigue par hameçonnage plus difficiles à mener.
6. Vérifier les options de récupération avant d’en avoir besoin
Rien ne gâche une journée (et ne risque de déclencher une nuit longue et stressante) comme un compte administrateur verrouillé. Assurez-vous de disposer de :
- Codes de récupération stockés de manière sécurisée
- Méthodes de secours pour les connexions administrateur
- Un plan documenté précisant « qui fait quoi » si un administrateur est bloqué
Comment Devolutions aide
Voici quelques exemples de la manière dont certaines solutions et produits Devolutions rendent une bonne hygiène des mots de passe possible, sans ajouter de complexité ni de coûts élevés :
- Appliquer la MFA et renforcer les demandes dans Devolutions Hub Business : Devolutions Hub Business comprend des paramètres de sécurité permettant d’imposer la MFA. Il peut également être configuré pour activer les notifications push avec correspondance de numéros via les applications Devolutions Workspace.
- Configurer la MFA dans Devolutions Server : Devolutions Server prend en charge plusieurs options de MFA et peut être configuré globalement ou utilisateur par utilisateur, aidant les organisations à appliquer des contrôles renforcés là où les risques sont les plus élevés.
- Protéger le compte Devolutions : La sécurité du compte Devolutions inclut la configuration de la MFA et des codes de récupération afin de renforcer les accès.
- Mettre en œuvre la 2FA avec Devolutions Workspace : La documentation Devolutions fournit les étapes pour configurer la MFA dans Devolutions Workspace, ajoutant une couche de sécurité supplémentaire lors du lancement de Remote Desktop Manager.
Le mot de la fin
Des améliorations de sécurité significatives n’ont pas besoin d’être complexes ni chronophages. Concentrez-vous sur les comptes à fort impact, stockez et partagez les identifiants dans un coffre sécurisé plutôt que dans des documents ou des conversations, et faites de la 2FA/MFA la norme. De plus, avec Devolutions Hub Business, Devolutions Server et Devolutions Workspace, les équipes peuvent standardiser les contrôles sans ajouter de friction et établir une protection et une résilience durables et fiables.
Coralie Lemasson
Laurence Cadieux