Sécurité des endpoints: EDR, durcissement et correctifs
Définition
Un endpoint est un poste de travail, un serveur, une imprimante ou un objet connecté: c'est le point où l'utilisateur touche le réseau, donc le point où la majorité des intrusions commencent. La sécurité des endpoints regroupe les moyens qui protègent ces machines: anti-malware classique, NGAV (next-generation antivirus) basé sur le comportement, EDR qui journalise et détecte en continu, durcissement de l'image, gestion des correctifs, listes blanches d'applications et contrôle d'admission (NAC) côté accès réseau. L'idée directrice: un endpoint n'est jamais digne de confiance par défaut, et le réseau doit vérifier avant d'ouvrir.
Contexte
La v1.0 du blueprint 200-301 portait deux lignes explicites: "Describe endpoint security concepts" (anti-malware, host IPS, whitelisting, device hardening, patch management, NGAV, EDR, NAC) et "Describe network security concepts" (VPN, firewall, segmentation, ACL). La v1.1 a supprimé ces lignes et renvoyé le vocabulaire au thème 5.1 (concepts de sécurité et techniques de mitigation), avec des croisements sur le 5.7 (protections L2), le 5.8 (AAA) et le 1.1.f (rôle des endpoints). Les questions typiques demandent de distinguer antivirus signature, NGAV comportemental, EDR et XDR, ou de reconnaître qu'une imprimante sans supplicant 802.1X a besoin de MAB.
Anti-malware, NGAV, EDR, XDR
| Outil | Mécanisme | Fenêtre de protection | Limites |
|---|---|---|---|
| Antivirus classique | Signatures de fichiers connue | Après infection, si la signature existe | Aveugle aux variantes et aux attaques sans fichier |
| NGAV | Comportement, réputation cloud, heuristique | Tentative d'exécution | Ne raconte pas l'historique de la compromission |
| EDR | Agent qui journalise processus, fichiers, registre, réseau; corrélation côté serveur | Détection post-compromission, investigation | Demande un SOC pour exploiter les alertes |
| XDR | Corrélation EDR + réseau + e-mail + cloud sur une même plateforme | Vision multi-sources | Dépend de la qualité des connecteurs et des licences |
Cisco Secure Endpoint (ex-AMP for Endpoints) relève du NGAV avec réputation des fichiers par SHA-256 et detonation en sandbox; l'ancien Cisco Host IPS (la ligne "host IPS" de la v1.0) a été absorbé par ces agents. La lecture d'examen: signature = passé connu, comportement = tentative présente, EDR = film de ce qui s'est passé.
Durcissement, correctifs, liste blanche
Le durcissement ("hardening") réduit la surface d'attaque de l'image: services désactivés, SMBv1 supprimé, ports fermés, privilèges locaux retirés, chiffrement de disque activé. Les référentiels CIS publient des benchmarks par système; DISA publie les STIG pour le gouvernement américain. La gestion des correctifs suit le rythme Microsoft: le Patch Tuesday tombe le deuxième mardi de chaque mois. Le cas d'école: WannaCry, mai 2017, exploite la faille SMB MS17-010 pour laquelle le correctif était disponible depuis mars 2017; environ 200 000 machines touchées dans 150 pays, l'essentiel par simple absence de patch.
La liste blanche d'applications (allow listing) inverse la logique: rien ne s'exécute sauf ce qui est approuvé par éditeur, chemin ou hash. Windows s'appuie sur AppLocker ou WDAC. Contre ransomware, c'est redoutable car les binaires aléatoires du malware ne sont pas dans la liste. Le coût: la maintenance des règles, car chaque nouveau logiciel métier doit être déclaré.
NAC côté endpoint
Le contrôle d'admission réseau vérifie la machine au moment où elle demande le réseau: identité de l'utilisateur via 802.1X, inventaire et posture (antivirus à jour, chiffrement actif) via l'agent, puis placement en VLAN selon le résultat. Cisco ISE est le cerveau, le switch est le point d'application. Un device sans supplicant (imprimante, caméra, badge) est identifié par MAC Authentication Bypass sur la base des bindings DHCP snooping ou d'un inventaire MAB. En échec d'authentification, le port part en VLAN de quarantine plutôt que sur le LAN de production.
interface GigabitEthernet1/0/12
description POSTE-ATELIER
switchport mode access
authentication host-mode multi-auth
authentication order dot1x mab
authentication priority dot1x mab
authentication event fail action authorize vlan 999
authentication violation replace
mab
stand-alone enable
!
vlan 999
name QUARANTINE
authentication order dot1x mab laisse l'imprimante passer par MAB quand elle ne répond pas au supplicant 802.1X; event fail action authorize vlan 999 place l'inconnu en quarantaine. Sans agent de posture, l'ISE ne voit que l'identité: le poste non patché entre quand même, d'où l'intérêt d'AnyConnect Secure Posture ou d'un agent EDR compatible pxGrid.
Exemple concret
Un parc de 1 200 postes sous Windows 11 avec NGAV déployé: en un trimestre, les alertes signature classiques du socle auraient manqué 9 des 11 détections, car 7 échantillons étaient des variantes sans fichier (powershell encodé) que seul le module comportemental a bloquées. Le parc n'était pas à jour: 340 postes sans le correctif MS17-010, corrigés en masse par WSUS un mardi de patch à 01 h 00, reboot forcé à 06 h 00, 12 exceptions maintenues sur des machines industrielles vieilles de 9 ans, isolées en VLAN 999 sans route vers le core. AppLocker en mode audit sur 80 postes pilotes: 47 exécutables non autorisés détectés, dont 3 ransomware testés par l'équipe rouge; la bascule en enforcement a pris 6 semaines de plus.