CIS Control 4 : Configuration sécurisée des actifs d'entreprise et des logiciels

CIS Control 4 établit des configurations sécurisées pour les actifs et logiciels d'entreprise afin de réduire les vulnérabilités dues aux mauvaises configurations. Ses 12 mesures de sauvegarde couvrent les bases de référence, les pare-feu, la gestion des comptes et les contrôles des appareils mobiles, assurant une sécurité cohérente à travers les environnements. L'application de ces mesures renforce les défenses, prévient la dérive et soutient la conformité avec les cadres de sécurité.

Maintenir des configurations sécurisées à travers les actifs informatiques est essentiel pour la cybersécurité, la conformité et la continuité des affaires. Une seule mauvaise configuration peut créer des vulnérabilités qui entraînent des violations coûteuses ou des perturbations.

Le Contrôle 4 de la CIS Critical Security Controls v8 détaille les meilleures pratiques pour établir et maintenir des configurations sécurisées pour le matériel et les logiciels d'entreprise. (Dans la version 7, ce sujet était traité par le Contrôle 5 et le Contrôle 11.) Cet article explique les 12 mesures de protection incluses dans ce contrôle et comment les mettre en œuvre efficacement.

Quels sont les contrôles CIS ?

Les CIS Critical Security Controls constituent un ensemble de meilleures pratiques maintenues par le Center for Internet Security (CIS). Ils fournissent une feuille de route priorisée pour les organisations afin d'atténuer les cyberattaques, prévenir les fuites de data leaks et renforcer la posture de sécurité globale. La version 8 définit 18 contrôles, chacun couvrant un aspect critique de la cybersécurité.

Qu'est-ce que le CIS Control 4 ?

Le contrôle CIS 4 se concentre sur la sécurisation des actifs d'entreprise, y compris les points de terminaison, les appareils réseaus, les dispositifs IoT, les serveurs, les systèmes d'exploitation et les applications logicielles. Il met l'accent sur le remplacement des paramètres par défaut faibles par des configurations renforcées et assure la cohérence à travers les environnements.

Avec l'essor du BYOD, de l'adoption du cloud et du travail hybride, il est crucial de garantir une configuration cohérente et sécurisée. Les configurations faibles offrent aux attaquants un accès facile aux systèmes.

4.1. Établir et maintenir un processus de configuration sécurisé

Définissez et appliquez des configurations sécurisées initiales pour tous les actifs de l'entreprise, y compris les ordinateurs portables, les serveurs, l'IoT et les appareils réseau. Basez-les sur les référentiels CIS et les normes de l'industrie. Révisez et mettez à jour annuellement ou lorsque des changements significatifs se produisent.

Clés du succès : – Adoptez un cadre de sécurité comme feuille de route. – Établissez une base de référence pour les applications et suivez toutes les modifications. – Analysez en continu les vulnérabilités et les mauvaises configurations. – Utilisez des outils qui distinguent les changements approuvés des changements risqués. – Documentez et auditez régulièrement.

4.2. Établir et maintenir des configurations d'infrastructure réseau sécurisées

Les appareils réseau contrôlent la connectivité et sont des cibles privilégiées pour les adversaires. Renforcez les configurations, segmentez les réseaux et surveillez les écarts.

Clés du succès : – Mettre à jour les processus après des changements majeurs. – Appliquer un contrôle humain pour les approbations. – Examiner régulièrement les paramètres matériels. – Conserver l'historique des configurations pour les audits.

4.3. Configurez le verrouillage automatique des sessions sur les actifs de l'entreprise

Atténuez les risques liés aux appareils sans surveillance en verrouillant automatiquement les sessions. Les postes de travail doivent se verrouiller après 15 minutes ; les appareils mobiles en 2 minutes.

Clés du succès : – Appliquez des mots de passe complexes. – Ajustez les verrouillages en fonction de la sensibilité de l'appareil. – Utilisez des écrans ou économiseurs d'écran qui masquent les motifs.

4.4. Implémentez et gérez les pare-feu sur les serveurs

Les pare-feu protègent les données contre l'accès non autorisé, bloquent le trafic malveillant et n'autorisent que les applications de confiance.

Clés du succès : – Révisez régulièrement les règles du pare-feu. – Segmentez les réseaux pour réduire les mouvements latéraux. – Auditez la performance du pare-feu et testez avec des exercices de pénétration.

4.5. Implémentez et gérez les pare-feu sur les appareils des utilisateurs finaux

Déployez des pare-feu basés sur l'hôte avec des règles de refus par défaut sur tous les appareils. Testez et mettez à jour les configurations régulièrement.

Clés du succès : – Alignez les politiques de pare-feu avec les exigences de conformité. – Enregistrez et classez le trafic réseau de manière centralisée pour obtenir des informations.

4.6. Gérez de manière sécurisée les actifs et logiciels d'entreprise

Utilisez des protocoles sécurisés et évitez des méthodes obsolètes comme Telnet ou HTTP. Protégez les interfaces et les outils de gestion contre l'exploitation.

Clés du succès : – Utilisez l'infrastructure en tant que code pour des changements contrôlés et révisables. – Appliquez des protocoles sécurisés (SSH, HTTPS). – Éliminez progressivement les protocoles non sécurisés.

4.7. Gérez les comptes par défaut

Désactivez ou renommez les comptes administrateurs par défaut et appliquez des identifiants forts et uniques.

Clés du succès : – Sécurisez les comptes d'administrateur de domaine avec des mots de passe longs et sécurisés. – Appliquez le principe du moindre privilège pour tous les rôles. – Mettez en place des politiques de password policies.

4.8. Désinstallez ou désactivez les services inutiles

Supprimez les services inutilisés ou redondants pour minimiser la surface d'attaque.

Clés du succès : – Analysez régulièrement de nouveaux services. – Consignez l'activité des services pour une visibilité. – Évaluez la compatibilité avant de désactiver.

4.9. Configurez les serveurs DNS de confiance

Utilisez des serveurs DNS contrôlés par l'entreprise ou de bonne réputation pour protéger les communications et appliquez les mises à jour rapidement.

Clés du succès : – Déployez plusieurs serveurs DNS internes pour la redondance. – Enregistrez les requêtes pour les audits et la détection d'anomalies. – Restreignez l'accès aux administrateurs uniquement.

4.10. Appliquez le verrouillage des appareils sur les endpoints portables

Bloquez les attaques par force brute en appliquant des verrouillages après des échecs de connexion (20 pour les ordinateurs portables, 10 ou moins pour les mobiles).

Clés du succès : – Appliquez des verrouillages sur tous les appareils. – Sensibilisez les employés aux politiques. – Utilisez l'authentification multifacteur pour les déverrouillages.

4.11. Appliquez l'effacement à distance sur les appareils portables

Activez l'effacement à distance pour les appareils perdus ou volés afin de prévenir la perte de données et les violations de conformité.

Clés du succès : – Définissez des déclencheurs d'effacement clairs. – Testez régulièrement la fonctionnalité.

4.12. Séparez les espaces de travail d'entreprise sur les appareils mobiles

Séparez les données d'entreprise des applications personnelles sur les appareils mobiles.

Clés du succès : – Fournir des portails d'auto-service pour la gestion des appareils. – Assurer le patching et les mises à jour à distance.

Comment Netwrix vous aide à respecter les mesures de protection du CIS Control 4

La mise en œuvre du Contrôle CIS 4 signifie mettre en place des configurations sécurisées et les maintenir cohérentes dans le temps. Les solutions Netwrix se conforment directement à ces mesures de protection.

Établir et maintenir des bases de sécurité : Netwrix Change Tracker surveille en continu les configurations à travers les serveurs, bases de données et points de terminaison. Il détecte les changements non autorisés ou risqués en temps réel, met en évidence les écarts par rapport aux bases approuvées et génère des rapports certifiés CIS pour simplifier les audits. Cela vous assure de pouvoir prouver la conformité tout en réduisant les opportunités pour les attaquants d'exploiter des mauvaises configurations.

L'application du principe du moindre privilège et la conformité des stratégies de groupe : Netwrix Endpoint Policy Manager supprime les droits d'administrateur local sans perturber la productivité. Il valide que les Group Policy settings sont correctement appliqués sur les points de terminaison Windows, consolide la prolifération des GPO et bloque les modifications non autorisées. Ces capacités soutiennent directement les mesures de protection pour une gestion sécurisée des comptes, les règles de pare-feu et les verrouillages d'appareils.

Prévenir la perte de données à l'extrémité : Netwrix Endpoint Protector empêche les données sensibles de sortir via des clés USB, des imprimantes ou d'autres points de sortie. Avec une protection consciente du contenu et un chiffrement imposé, vous pouvez vous aligner sur les recommandations du CIS pour contrôler les supports amovibles et réduire les risques d'exfiltration.

Ces outils, utilisés ensemble, aident les organisations à aborder les aspects les plus difficiles du CIS Control 4, de la sécurisation des configurations initiales à leur maintien en sécurité dans des environnements hybrides et à distance.

FAQ sur le CIS Control 4

Quels sont les contrôles CIS ?
Un cadre de sécurité priorisé développé par le Center for Internet Security qui aide les organisations à prévenir les cyberattaques. Il comprend 18 contrôles couvrant tous les domaines de la sécurité d'entreprise.

Qu'est-ce que le CIS Control 4 ?
Le CIS Control 4 est une meilleure pratique de cybersécurité issue des CIS Critical Security Controls qui se concentre sur la configuration sécurisée des actifs et logiciels d'entreprise. Il garantit que les systèmes sont renforcés contre les attaques en remplaçant les paramètres par défaut par des bases de sécurité et en maintenant régulièrement ces configurations.

Comment les entreprises peuvent-elles mettre en œuvre des processus de configuration sécurisée ?
Les entreprises peuvent mettre en œuvre une configuration sécurisée en créant d'abord un inventaire complet des actifs, puis en établissant des bases de référence renforcées avec les CIS Benchmarks. Les politiques de sécurité doivent être appliquées sur tous les systèmes et une surveillance continue avec des outils comme Netwrix Change Tracker aide à détecter les dérives de configuration et à rationaliser la préparation des audits.

Les CIS Controls sont-ils une norme ?

Les contrôles de sécurité critiques CIS (CIS Controls) ne constituent pas une norme formelle mais sont devenus un cadre de cybersécurité mondial de facto largement accepté. Développés par le centre à but non lucratif Center for Internet Security (CIS), les contrôles fournissent un ensemble de meilleures pratiques priorisées et pilotées par la communauté pour la sécurité opérationnelle.
Ils offrent une feuille de route pratique pour se défendre contre les menaces cybernétiques modernes et sont renforcés par une adoption large et des mises à jour régulières.

Pourquoi utiliser les CIS Controls ?

Les organisations adoptent les CIS Controls parce qu'ils fournissent :

• Des orientations priorisées à fort impact. Elles se concentrent sur les actions les plus efficaces pour réduire les surfaces d'attaque et arrêter les techniques d'attaque courantes.
• Mise en œuvre pratique et évolutive. Les Groupes d'Implémentation (IGs) permettent aux organisations de toutes tailles de commencer avec les protections de base et de se développer au fil du temps.
• Alignement de la conformité. Les contrôles correspondent directement à des cadres largement utilisés tels que NIST CSF, ISO 27001, PCI DSS et HIPAA, constituant ainsi un solide point de départ pour l'alignement réglementaire.
• Des étapes simplifiées et actionnables. Les CIS Controls offrent des mesures de protection pratiques que les équipes informatiques peuvent mettre en œuvre rapidement, contrairement à des cadres plus abstraits.
• Efficacité prouvée. La version 8 des CIS Controls atténue environ 86 % des techniques MITRE ATT&CK (ou 74 % au niveau de base IG1).