Défense en profondeur pour un ordinateur

La défense des réseaux est généralement enseignée aux organisations : un centre d’opérations de sécurité surveillant le trafic de l’ensemble d’une entreprise. Les idées sous-jacentes s'appliquent tout aussi bien à un seul Mac, réduit à une seule personne qui regarde. Cette leçon présente les concepts sur lesquels le reste du cours s'appuie.

Défense en profondeur : aucune couche n'est fiable à elle seule

La défense en profondeur consiste à disposer plusieurs protections indépendantes afin qu'une seule défaillante ne laisse pas la machine ouverte. Sur un Mac, les couches ressemblent à ceci : le système d'exploitation lui-même (mis à jour, avec les services inutiles désactivés, abordés dans le cours de renforcement macOS de ce site), un pare-feu contrôlant les connexions autorisées en entrée et en sortie, les comptes et privilèges dont un logiciel aurait besoin pour causer de réels dégâts, et enfin votre propre attention sur ce qui semble inhabituel. Aucun de ces éléments n’est suffisant à lui seul. Un Mac obsolète mais bien protégé par un pare-feu peut toujours être compromis via une application vulnérable ; un Mac entièrement mis à jour sans aucun pare-feu peut toujours divulguer des données à tout ce qu'une application décide d'envoyer.

La matrice D3FEND de MITRE, construite conjointement avec la direction de la cybersécurité de la NSA, organise exactement ce type de réflexion en plusieurs catégories nommées de techniques défensives : renforcer un système, détecter les activités suspectes, isoler ce qui est compromis, puis éventuellement expulser un attaquant et restaurer un fonctionnement normal. Il est écrit pour les grandes organisations comparant les outils et les techniques, mais les catégories correspondent clairement à un seul Mac : le cours de renforcement macOS sur ce site couvre le renforcement, ce cours couvre la détection et l'isolement, et rien de tout cela ne dépend de la possession d'une grande équipe de sécurité pour être utile à une plus petite échelle.

Minimiser l’exposition : la surface d’attaque, du côté du réseau

L’idée complémentaire de la défense en profondeur est de minimiser l’exposition : en premier lieu, réduire ce qui est accessible et ce qui peut l’être. Le cours de renforcement macOS couvre cela depuis l'intérieur de la machine, en fermant les services et les ports ; la défense du réseau couvre la même idée à partir du trafic lui-même, en décidant quelles connexions doivent exister. Un service qui n'est jamais activé ne peut pas être attaqué sur le réseau ; une connexion qui n'est jamais autorisée ne peut pas exfiltrer de données, fournir une charge utile ou recevoir des instructions d'un attaquant.

Moindre privilège, appliqué au trafic réseau

Le moindre privilège est généralement décrit en termes de comptes : donnez à un utilisateur ou à un processus uniquement l'accès dont il a besoin, rien de plus. La même logique s'applique aux connexions réseau. Une application météo n’a aucune raison légitime de communiquer avec un domaine dans un pays dans lequel ses serveurs ne se trouvent pas ; un éditeur de texte n'a aucune raison légitime d'établir des connexions réseau. Le trafic qui ne correspond pas à ce qu’une application devrait faire mérite d’être remis en question, de la même manière que le serait un compte essayant de faire quelque chose en dehors de son rôle.

Le refus par défaut et ce que cela coûte

Une approche de refus par défaut bloque tout sauf ce qui a été explicitement autorisé ; default-allow bloque uniquement ce qui a été explicitement identifié comme mauvais. Le refus par défaut est en principe la posture la plus forte, car elle ne dépend pas de la connaissance préalable d'une menace, mais elle a un coût réel et inévitable : quelque chose dont vous avez réellement besoin sera parfois également bloqué, et vous devrez le remarquer et le réparer vous-même. Un client de messagerie qui ne peut soudainement pas vérifier les nouveaux messages, ou un pilote d'imprimante qui ne peut pas trouver l'imprimante, refuse généralement par défaut de faire exactement ce pour quoi il a été configuré, à un moment qui est plutôt ennuyeux qu'utile.

Ce compromis explique pourquoi les pare-feu à refus par défaut ont tendance à demander, plutôt qu'à décider silencieusement, la première fois qu'une application tente de se connecter : la personne qui utilise la machine est souvent la seule à pouvoir dire si une connexion donnée est attendue. La leçon suivante couvre les outils spécifiques sur macOS qui vous permettent d'appliquer le refus par défaut à différents niveaux, d'une seule application à l'ensemble de la pile réseau.