Sécurité des intranets d’entreprise : bonnes pratiques et vecteurs d’attaque négligés

Les intranets et plateformes collaboratives sont perçus comme des environnements « internes » et donc naturellement protégés. C’est précisément ce sentiment de sécurité qui en fait des cibles privilégiées.

Bonnes pratiques de sécurité : 3 vecteurs souvent sous-estimés

Les comptes orphelins

Un collaborateur quitte l’entreprise, son compte reste actif. Un prestataire termine sa mission, ses accès ne sont pas révoqués. Ces comptes orphelins sont une porte d’entrée silencieuse : ils ne déclenchent aucune alerte, leurs connexions semblent légitimes. Selon plusieurs études sectorielles, une part significative des incidents de sécurité internes implique des comptes non désactivés à temps. La revue régulière des accès n’est pas une option, mais doit devenir une mesure de base. 

Les droits mal configurés

Sur les plateformes collaboratives, la gestion des droits s’accumule dans le temps : espaces créés, rôles attribués au fil des projets, permissions jamais révisées. Un utilisateur standard peut ainsi se retrouver avec des droits d’administration sur des espaces sensibles, sans que personne ne l’ait décidé explicitement. Un audit de droits annuel, couplé à une politique de principe du moindre privilège, réduit significativement cette surface d’attaque. Il ne faut pas se laisser dépasser, et ne pas avoir peur de remettre de l’ordre dans les groupes. Une bonne projection et une création attentive des groupes et leur droit, vous facilitera ensuite grandement la distribution des droits utilisateurs.

Les APIs exposées sans contrôle suffisant

Les intranets modernes exposent de plus en plus de web services pour s’intégrer aux outils métier. Et ces APIs sont rarement auditées avec le même niveau d’exigence que les interfaces utilisateur.

Retrouvez, plus d’information technique sur ce point dans cet article de F5 qui a produit une liste de contrôle pour la sécurité des API [Meilleures pratiques, tests et NIST] :  https://www.f5.com/fr_fr/company/blog/api-security-checklist

Concrètement, voici quelques bonnes pratiques à mettre en place avec votre plateforme Silverpeas

Définir une politique de mots de passe

Nombreux de nos clients, ne sont pas concernés par ce choix au cœur de Silverpeas car ils utilisent une connexion SSO . Mais si ce n’est pas le cas, vous êtes-vous penché sur la politique des mots de passe de votre plateforme.

La politique que nous préconisons, c’est déjà que ce soit l’utilisateur lui même qui le définisse lors de sa première connexion. Et que le mot de passe valide les règles suivantes :

• Une taille minimale : 8 caractères
• En mixant au moins une lettre, un chiffre et un symbole
• Une fréquence de changement est imposée, toutes les 100 connexions
  Avec impossibilité de réutilisation le dernier mot de passe
• Et verrouillage du compte après 3 tentatives avec le même login

Mais il ne tient qu’à vous de définir des règles plus ou moins complexe. Avec par exemple 12 caractères et un verrouillage au bout de 4 tentatives…Prenez le temps de personnaliser cela via le fichier de configuration password.properties pour les règles de validités du mot de passe et le fichier authenticationSettings.properties pour les autres aspects.

Sensibiliser les utilisateurs aux bonnes pratiques de sécurité

Utilisez votre plateforme pour informer, former, sensibiliser vos utilisateurs. Le facteur humain reste l’une des principales failles de sécurité. C’est un sujet est important, et il est pertinent que le service informatique et l’équipe de communication travaillent main dans la main pour sensibiliser ces utilisateurs. Afin de pousser régulièrement des petites piqures de rappel. Surtout que nous avons tous besoin d’être formé sur ces nouveaux sujets, que ce soit pour le pro comme pour le perso.

Identifier nommément chaque personne et distinguer les rôles

Oubliez les comptes génériques aux accès partagés. Et encore plus pour les accès administrateurs et gestionnaires. On s’imagine simplifier les choses, mais pour des raisons de traçabilités, chaque utilisateur doit avoir son propre compte. De plus nous vous rappelons que la gestion des droits sur Silverpeas est très fine. Elle vous permet de répondre à la complexité de votre organisation.

Anticiper et planifer la maintenance des logiciels et systèmes

Silverpeas étant en perpétuelle évolution. La grande partie de nos versions correctives comme majeures contiennent des correctifs dédiés à la sécurité de la plateforme. La notoriété de notre plateforme Open Source, avec son image Docker officielle, nous propulse en tête des cibles scrutées par la communauté sécurité. Nous bénéficions ainsi d’un flux régulier de retours de chercheurs et de white hats qui nous signalent les vulnérabilités découvertes — une forme d’audit continu, gratuit et bienveillant, que seuls les projets open source d’envergure attirent.