Tous les postes de travail sont protégés, et le serveur fonctionne sans accroc depuis des années

La vue d’ensemble des licences semble claire et bien organisée. Vingt-cinq postes de travail, tous dotés du même pack de protection, tous affichés en vert dans la console. Puis quelqu’un pose la question du serveur de fichiers. Il tourne dans un coin, inchangé depuis le déménagement vers la nouvelle salle des serveurs, et personne ne sait d’emblée si quoi que ce soit y est même installé. Si c’est le cas, il s’agit probablement de la même licence que sur les postes de travail — installée à un moment donné parce que cela semblait pratique à l’époque.

C’est le point aveugle le plus courant dans les environnements de petite et moyenne taille. Il a deux causes distinctes — l’une liée aux licences et l’autre technique — et toutes deux mènent au même résultat : le périphérique sur lequel les données sont réellement stockées est moins bien protégé que les ordinateurs portables utilisés pour y accéder. Cet article explique pourquoi il en est ainsi, présente les produits disponibles pour les serveurs de fichiers, Exchange, les systèmes NAS et les machines virtuelles, et met en évidence ce que les utilisateurs négligent souvent lors de leurs décisions d’achat.

Pourquoi une licence pour poste de travail ne suffit-elle pas pour le serveur ?

Pour deux raisons sans rapport l’une avec l’autre. La première concerne les licences : la plupart des éditeurs proposent des licences serveur sous forme de produits distincts. Sophos et ThreatDown commercialisent des produits distincts pour les postes de travail et les serveurs ; ESET dispose de sa propre gamme, ESET Server Security, parallèlement à ses produits pour terminaux ; et Bitdefender propose Security for Servers en tant que produit autonome, aux côtés de Security for Workstations. Utiliser une licence pour poste de travail sur un serveur est donc non seulement déconseillé, mais tout simplement non couvert par la licence.

La deuxième raison est de nature technique et revêt une importance plus grande dans les opérations quotidiennes : un produit pour poste de travail est conçu pour un appareil utilisé par un utilisateur humain. Il affiche des notifications, demande l’intervention de l’utilisateur lors de la prise de décisions, programme les mises à jour après les heures de travail et prévoit que le système soit redémarré de temps à autre. Rien de tout cela ne s’applique à un serveur qui fonctionne sans utilisateur connecté et dont le redémarrage est un événement planifié et annoncé à l’avance. Un produit pour serveur, en revanche, offre ce qui importe dans ce contexte : des exclusions préconfigurées pour les rôles de serveur, un comportement d’analyse tenant compte des fichiers et bases de données ouverts, la prise en charge des installations sans interface utilisateur graphique, ainsi que des politiques conçues pour les systèmes fonctionnant en continu.

Au final, cela signifie que toute personne qui installe une licence pour poste de travail sur un serveur réalise une économie sur un poste du devis, mais se retrouve avec un appareil qui, dans le pire des cas, est soit mal configuré, soit ne devrait pas fonctionner du tout.

En quoi la protection des serveurs est-elle techniquement différente ?

La différence la plus visible réside dans les exclusions. Un scanner en temps réel qui détecte un fichier de base de données ouvert peut le verrouiller ou le placer en quarantaine — ce qui entraîne l’arrêt du service. Les produits pour serveurs sont donc fournis avec des paramètres prédéfinis pour les rôles courants ou les détectent automatiquement. Sophos décrit cela comme des exclusions d’analyse automatiques ; d’autres éditeurs gèrent cela via des modèles de rôles dans la politique.

De plus, il existe des fonctionnalités qui n’existent tout simplement pas sur les postes de travail. Sophos Intercept X Advanced for Server inclut « Server Lockdown », un verrouillage d’application qui, après une phase initiale de capture, verrouille le serveur dans son état actuel : après cela, rien ne démarre qui n’était pas déjà présent. Sur un poste de travail, cela serait peu pratique car de nouveaux logiciels sont constamment ajoutés. Sur un serveur qui exécute les quatre mêmes services depuis trois ans, en revanche, c’est l’une des mesures les plus efficaces qui soient. Cette édition inclut également la surveillance de l’intégrité des fichiers, qui vous alerte si quelqu’un modifie des fichiers critiques.

Enfin, la question de la plate-forme : les produits pour serveurs prennent généralement en charge les installations sans interface utilisateur graphique ainsi que les distributions Linux. AVG File Server Business Edition, par exemple, ne mentionne explicitement que les serveurs Windows 64 bits parmi les systèmes pris en charge et exclut les installations Server Core. Toute personne utilisant Server Core doit en tenir compte avant de passer commande.

Pourquoi le serveur de fichiers est-il la cible réelle d’une attaque par chiffrement ?

Parce que c’est là que sont stockées les données pour lesquelles quelqu’un serait prêt à payer une rançon. La réinstallation d’un ordinateur portable chiffré prend une demi-journée. Un serveur de fichiers chiffré paralyse complètement les opérations.

Un détail crucial souvent négligé est le suivant : le chiffrement n’a même pas besoin d’avoir lieu sur le serveur lui-même. Il commence sur un poste de travail infecté et se propage dans les dossiers partagés via le lecteur réseau connecté. Du point de vue du serveur, un utilisateur connecté normalement accède à ses fichiers et les modifie — techniquement, cela semble tout à fait normal. C’est précisément pour cette raison que les produits de sécurité pour serveurs intègrent des mécanismes de protection contre le chiffrement exécuté à distance. Sophos appelle ce composant « CryptoGuard » et décrit explicitement le scénario dans lequel le rançongiciel s’exécute sur un terminal connecté plutôt que sur le serveur lui-même.

Un produit de sécurité pour terminaux fonctionnant sur le serveur n’a pas cette perspective. Il surveille les processus exécutés localement, et non les schémas d’accès via les dossiers partagés.

Mon pack Business existant couvre-t-il automatiquement les serveurs ?

En partie, et les conditions varient. Bitdefender inclut un composant serveur dans ses offres GravityZone : le champ d’application de la couverture spécifie les ordinateurs de bureau et les ordinateurs portables, ainsi que jusqu’à trente pour cent des serveurs de fichiers. Autre point important à retenir de cette même source : les systèmes Linux sont toujours considérés comme des serveurs, même s’il s’agit de postes de travail. Quiconque exploite de nombreux appareils Linux modifiera donc ce ratio sans s’en rendre compte.

Sophos et ThreatDown n’utilisent pas ce mécanisme. Chez eux, les serveurs sont systématiquement traités comme des gammes de produits distinctes, du niveau d’entrée de gamme à l’option de service géré. Si vous faites passer vos postes de travail à un certain niveau, vous devez faire passer vos serveurs au même niveau — sinon, la chaîne se rompt exactement là où le préjudice survient.

Implication pratique pour l’évaluation des solutions : ne comptez pas vos appareils en fonction du nombre d’utilisateurs, mais plutôt en trois groupes : les postes de travail, les serveurs et tout ce sur quoi un agent ne peut pas être installé. Ce troisième groupe est presque toujours négligé.

En quoi les produits pour serveurs diffèrent-ils précisément ?

Les produits assurant la sécurité d’un serveur de fichiers Windows sont comparables. Le tableau n’inclut pas les produits autonomes de messagerie et de stockage, car ils répondent à des besoins différents et sont traités dans des sections distinctes ci-dessous ; il n’inclut pas non plus les services gérés, qui constituent une offre de services plutôt qu’un produit serveur.

Concernant les champs vides : la prise en charge d’une installation sans interface utilisateur graphique dépend de la version du produit utilisée pour les trois principaux fournisseurs et doit donc être vérifiée avant la commande — seul AVG exclut explicitement Server Core. Le blocage des applications et la surveillance de l’intégrité des fichiers sont inclus dans l’offre « Advanced » de Sophos pour les serveurs ; chez Bitdefender, la surveillance de l’intégrité est un module complémentaire qui doit être acheté séparément ; et pour ESET, il n’existe aucune spécification claire du fabricant au niveau du produit concernant ces deux fonctionnalités. Sophos propose deux options de déploiement pour Linux avec des ensembles de fonctionnalités différents qui s’excluent mutuellement : l’option la plus légère comprend essentiellement la protection contre les logiciels malveillants et la détection du trafic malveillant.

Quel produit serveur est le mieux adapté à quel environnement ?

Pour les environnements mixtes comprenant des serveurs Windows et Linux et une console pouvant également fonctionner sur site, ESET Server Security ⧉ s’impose comme le choix évident. Ce produit était auparavant connu sous le nom d’ESET File Security for Microsoft Windows Server ; toute personne effectuant encore une recherche sous l’ancien nom sera redirigée vers cette page. Il est géré via la même plateforme que les postes de travail, ce qui simplifie considérablement les opérations.

Si vous utilisez déjà GravityZone et souhaitez acquérir des licences pour les serveurs séparément, optez pour Bitdefender GravityZone Security for Servers ⧉ : vous conserverez ainsi les licences serveur incluses dans vos packs pour postes de travail, au cas où vous ajouteriez ultérieurement des appareils Linux.

Pour les serveurs de fichiers Windows dans un petit environnement sans Linux et ne nécessitant pas de blocage d’applications, AVG File Server Business Edition ⧉ est suffisant. Les limitations sont clairement indiquées : serveurs Windows 64 bits uniquement, pas d’installations Server Core, pas de Linux. Si vous utilisez des serveurs Linux, vous aurez besoin d’un produit distinct de la même gamme.

De quelle gamme Sophos ai-je besoin pour les serveurs ?

Sophos propose ses produits pour serveurs selon les mêmes niveaux que pour ses produits destinés aux terminaux, et les différences sont particulièrement marquées pour les serveurs.

SOPHOS Central Intercept X Essentials for Server ⧉ offre une protection contre les logiciels malveillants et les attaques par chiffrement. Ce qui manque, c’est précisément ce qui distingue les serveurs des postes de travail : pas de verrouillage des applications, pas de surveillance de l’intégrité des fichiers et pas de politiques multiples configurables.

SOPHOS Central Intercept X Advanced for Server ⧉ ajoute le verrouillage des serveurs et la surveillance de l’intégrité des fichiers, ainsi que le contrôle des périphériques, du Web et des applications. Pour un serveur exécutant une version stable du logiciel, c’est le niveau qui offre le plus grand avantage pratique en matière de sécurité.

SOPHOS Central Intercept X Advanced for Server avec XDR ⧉ est une option envisageable si les postes de travail fonctionnent déjà au niveau XDR. Laisser les serveurs à un niveau inférieur signifie que la reconstitution d’une attaque s’arrête exactement là où les choses deviennent intéressantes.

Pourquoi Exchange a-t-il besoin de son propre produit de protection ?

Parce qu’un analyseur de fichiers et un analyseur de messagerie opèrent à des niveaux différents du système. La protection des fichiers sur le serveur vérifie ce qui est écrit sur le disque dur. Elle ne peut donc pas voir ce qui se trouve dans la file d’attente de messagerie, ce qui transite actuellement par le service de transport, ni ce qui est stocké dans une boîte aux lettres sans jamais exister sous la forme d’un fichier unique. Un produit dédié aux e-mails s’intègre au flux de messagerie et y effectue le filtrage — y compris la détection du spam et du phishing, ce qu’un scanner de fichiers ne peut naturellement pas assurer.

C’est pourquoi chaque éditeur propose un produit distinct à cette fin. Pour Bitdefender, il s’agit de GravityZone Security for Exchange Servers ⧉. Pour ESET, c’est ESET PROTECT Mail Plus ⧉. Kaspersky propose Kaspersky Security for Mail Server ⧉. G DATA résout ce problème grâce à des offres groupées, telles que G DATA Client Security Business avec Exchange Mail Security ⧉, où la protection des e-mails fait partie intégrante du package dès le départ — ce qui constitue souvent l’option d’achat la plus simple pour les entreprises qui ne souhaitent pas gérer deux produits distincts en parallèle.

Avec AVG, la protection d’Exchange n’est pas incluse dans l’édition File Server Business, mais dans une édition distincte dédiée aux serveurs de messagerie. Il s’agit là d’un scénario classique : une entreprise achète une licence pour le serveur de fichiers et part du principe qu’Exchange est ainsi couvert.

De quelles exclusions antivirus un serveur Exchange a-t-il besoin, et pourquoi des listes obsolètes sont-elles dangereuses ?

Microsoft publie une liste de dossiers, de processus et d’extensions de fichiers pour Exchange qui doivent être exclus de l’analyse des fichiers : fichiers de base de données et de journaux de transactions, files d’attente, conversion de contenu, etc. La raison est claire : si l’analyseur bloque une base de données ou un fichier journal ouvert, cela peut entraîner des déconnexions inattendues de la base de données et, dans le pire des cas, la corruption des données. Pour mettre cela en œuvre, Microsoft fournit un script PowerShell qui détermine les chemins d’accès réels utilisés par l’installation, plutôt que de vous obliger à les saisir manuellement.

Le danger réside dans l’inverse. En 2023, Microsoft a explicitement révoqué quatre exclusions précédemment recommandées : les dossiers contenant les fichiers temporaires ASP.NET et Inetsrv, ainsi que les processus PowerShell.exe et w3wp.exe. La raison invoquée était que ces exclusions mêmes empêchaient la détection des webshells IIS et des modules de porte dérobée — qui constituaient à l’époque la forme d’attaque la plus courante contre Exchange. Quiconque a adopté une liste d’exclusions issue d’un ancien manuel continue d’exploiter son serveur Exchange avec une vulnérabilité dans sa zone la plus sensible.

Concrètement, cela signifie qu’il ne faut pas copier la liste d’exclusions, mais plutôt la vérifier par rapport à la documentation actuelle du fabricant pour la version spécifique d’Exchange que vous utilisez.

Que signifie la fin du support d’Exchange 2016 et 2019 pour la sécurité des serveurs ?

Le support d’Exchange Server 2016 et 2019 a pris fin le 14 octobre 2025. Depuis lors, Microsoft a cessé de fournir des mises à jour de sécurité, des correctifs et une assistance technique pour ces versions. La seule version sur site encore prise en charge est l’édition « Subscription » d’Exchange Server, disponible au grand public depuis le 1er juillet 2025. Le programme à durée limitée proposant des mises à jour de sécurité prolongées pour les versions 2016 et 2019 s’est achevé le 14 avril 2026 et a donc également pris fin.

Cela a deux implications en matière de sécurité. Premièrement, un produit de sécurité des e-mails ne peut pas pallier l’absence de mises à jour de sécurité pour le serveur. Les incidents graves liés à Exchange survenus ces dernières années ont exploité des vulnérabilités du serveur lui-même, et non celles des pièces jointes aux e-mails. Deuxièmement : avant tout achat, vérifiez si le produit de sécurité de messagerie prend encore en charge votre version. Les spécifications des éditeurs concernant les versions d’Exchange prises en charge sont parfois en retard par rapport à l’édition par abonnement, et un produit officiellement certifié uniquement jusqu’à Exchange 2019 ne vous aidera pas lors d’une migration.

Pour ceux qui prévoient de toute façon une migration : le moment où vous changez de version d’Exchange est également le moment idéal pour réévaluer votre protection des e-mails, plutôt que de conserver une licence existante.

Nous utilisons Microsoft 365 : avons-nous encore besoin d’une protection de la messagerie ?

Oui, mais pas le même produit. Les produits Exchange mentionnés ici s’appuient sur un serveur Exchange hébergé localement. Si votre trafic de messagerie transite par Exchange Online, il n’y a pas de serveur sur lequel un agent pourrait être installé : la protection doit commencer là où se trouvent les boîtes aux lettres, c’est-à-dire via une connexion au service cloud.

Les éditeurs proposent des produits distincts à cet effet. Chez Bitdefender, Security for Email est un module complémentaire autonome ; chez ESET, PROTECT Mail Plus couvre à la fois Exchange sur site et Microsoft 365. Il est important de bien distinguer ces options lors de l’achat : un produit dont le nom comporte le mot « Exchange » fait généralement référence au serveur sur site. Si vous travaillez dans un environnement hybride comprenant à la fois un serveur Exchange sur site et des boîtes aux lettres dans le cloud, vous aurez peut-être besoin des deux.

Comment protéger les fichiers sur un NAS sur lequel aucun agent ne peut être installé ?

Utilisez un produit qui analyse le stockage depuis l’extérieur. Un système NAS ou une baie de stockage fonctionne sous un système d’exploitation fermé sur lequel aucun agent de protection ne peut être installé. L’analyse doit donc s’effectuer via une interface fournie par le système de stockage lui-même : celui-ci notifie la demande d’accès à un service d’analyse, qui analyse alors le fichier et l’autorise ou le bloque.

Il existe des produits spécialement conçus à cet effet : Bitdefender GravityZone Security for Storage ⧉ en tant que module complémentaire, et Kaspersky Security for Storage ⧉ en tant que produit autonome. Il s’agit du troisième groupe d’appareils de la section ci-dessus qui est presque toujours absent des offres de produits : l’entreprise utilise un NAS pour stocker des données de conception ; tout le monde y accède, et rien n’y est analysé.

La question de savoir si ces modules complémentaires nécessitent une licence de base spécifique et en quoi les versions Base, Base Plus et Add-On diffèrent est une question distincte qui doit être clarifiée avant de passer commande.

Base, Base Plus, Add-On ou Renouvellement : que signifient
ces termes ? Explique comment interpréter les noms des offres disponibles sur le marché et lesquelles d’entre elles nécessitent une licence existante.

Comment les serveurs virtuels et l’hyperviseur sont-ils couverts par la licence ?

En règle générale, chaque machine virtuelle est considérée comme un serveur distinct, car chacune exécute un système d’exploitation qui doit être protégé. Pour les environnements à forte densité, il existe d’autres modèles : Bitdefender GravityZone Security for Virtual Environments ⧉ est concédé sous licence par processeur plutôt que par machine, ce qui s’avère rentable dès lors que de nombreux systèmes virtuels s’exécutent sur un petit nombre d’hôtes.

D’un point de vue technique, il existe un deuxième aspect à prendre en compte. Si vingt machines virtuelles sur un même hôte lancent simultanément une analyse planifiée, les performances de l’hôte dans son ensemble chutent considérablement. Les éditeurs résolvent ce problème grâce à l’analyse déchargée : un agent léger au sein de la machine virtuelle transfère l’analyse vers une instance de sécurité centrale. Sophos propose une version dédiée aux serveurs Windows sur VMware ESXi et Microsoft Hyper-V, conçue comme une alternative à l’agent serveur complet.

Lors de l’évaluation des solutions, cela implique de vérifier si la licence s’applique par machine ou par processeur, et si l’instance centrale d’analyse nécessite sa propre licence.

Qu’en est-il du contrôleur de domaine ?

Le contrôleur de domaine est le serveur dont la compromission rend tout le reste inutile : celui qui le contrôle maîtrise tous les comptes et tous les partages. Il nécessite la même protection que n’importe quel serveur de fichiers, avec les mêmes exclusions spécifiques à son rôle pour la base de données d’annuaire et les fichiers journaux associés.

Dans la pratique, cependant, il passe souvent entre les mailles du filet car il ne stocke aucune donnée utilisateur et n’est donc pas considéré comme méritant d’être protégé. C’est une erreur : lors d’une attaque par chiffrement, le contrôleur de domaine n’est pas la cible, mais plutôt l’outil — le logiciel malveillant est ensuite distribué à tous les autres systèmes via celui-ci. Un produit serveur doté d’une fonctionnalité de blocage des applications s’avère particulièrement efficace dans ce cas, car la version logicielle d’un contrôleur de domaine ne change pratiquement jamais.

Les serveurs ont-ils également besoin d’un EDR, ou une protection antivirus suffit-elle à elle seule ?

Si les postes de travail disposent de capacités de journalisation et d’investigation, les serveurs en ont certainement aussi. La raison est la même que pour le niveau de licence : une attaque qui commence sur un ordinateur portable finit par affecter le serveur. Si la journalisation s’arrête à la périphérie du serveur, il est impossible de reconstituer a posteriori ce qu’il est advenu des données — et c’est précisément la question qui sera posée en cas d’incident.

Tous les principaux fournisseurs proposent des versions serveur à cet effet, comme ThreatDown Advanced Server ⧉, qui est l’équivalent serveur du pack pour postes de travail du même nom. Lorsque vous comparez deux offres, assurez-vous que les licences serveur sont du même niveau que les licences pour postes de travail. Un devis paraîtra plus abordable si les serveurs ont été discrètement calculés au niveau d’entrée de gamme.

Le niveau le plus adapté à votre entreprise et les différences entre les acronymes sont déterminés indépendamment de la question des serveurs et ne sont délibérément pas abordés ici.

EDR, XDR et MDR : signification des acronymes et quand choisir chacun d’entre eux.
Cet article explique les différences entre la journalisation, les sources de données étendues et les services gérés, et indique quel niveau convient à quel scénario.

En quoi la protection des serveurs facilite-t-elle le respect des obligations de déclaration en Suisse ?

Depuis le 1er avril 2025, la Suisse impose une obligation de déclaration des cyberattaques visant les infrastructures critiques, en vertu de la loi révisée sur la sécurité de l’information et de l’ordonnance sur la cybersécurité. Cette obligation s’applique aux agences gouvernementales et aux organisations telles que définies à l’article 74b de la loi sur la sécurité de l’information (LSI), notamment les services publics d’énergie et d’eau potable, les entreprises de transport, les hôpitaux répertoriés, les fournisseurs de services cloud et les centres de données, ainsi que les administrations cantonales et communales. Le rapport initial doit être transmis à l’Office fédéral de la cybersécurité dans les 24 heures suivant la découverte de l’incident ; les informations manquantes peuvent être fournies dans un délai de 14 jours. L’ordonnance prévoit des exceptions pour les petites organisations et les incidents ayant des répercussions mineures.

Un élément est primordial pour le rapport : vous devez être en mesure de préciser quels systèmes ont été affectés et si des données ont été compromises. Cela se détermine au niveau du serveur, et non au niveau du poste de travail. Un produit serveur doté d’une surveillance de l’intégrité des fichiers et d’un enregistrement des comportements d’accès fournit des informations vérifiables à cette fin. Un serveur non protégé ou équipé uniquement d’une licence de poste de travail ne fournit pas ces informations — et dans ce cas, le rapport ne contiendra qu’une supposition.

Ce que la protection des serveurs ne fait pas : elle ne détermine pas si votre organisation est soumise à des obligations de déclaration ; elle ne remplace pas une personne désignée comme responsable ni une chaîne de reporting bien établie ; et elle ne fournit aucune information sur les données qui étaient effectivement stockées sur le serveur affecté. Cette détermination relève de la responsabilité de l’organisation.

Quelles sont les exigences de la directive NIS 2 concernant les serveurs ?

Pour les organisations disposant de sites ou de clients dans l’Union européenne, la directive NIS 2 fait autorité. Elle impose des catégories de mesures, et non des logiciels spécifiques : analyse des risques et politiques de sécurité, réponse aux incidents, continuité des activités et gestion des sauvegardes, sécurité de la chaîne d’approvisionnement, gestion des vulnérabilités, politiques d’évaluation de l’efficacité, formation, ainsi que contrôle d’accès et authentification multifactorielle. Aucun produit ne garantit à lui seul la conformité.

Du côté des serveurs, les éléments suivants sont pris en charge : la réponse aux incidents, la gestion des vulnérabilités (dans la mesure où l’évaluation des vulnérabilités et la gestion des correctifs s’étendent aux serveurs) et le contrôle d’accès au niveau du système. Les exigences de déclaration à plusieurs niveaux de la directive — alerte précoce dans les 24 heures, notification dans les 72 heures et rapport final dans un délai d’un mois — s’appuient sur les mêmes registres que les exigences de déclaration suisses.

Ne sont pas couverts : la sauvegarde et la restauration, la gestion des fournisseurs, la formation des employés et la responsabilité au niveau de la direction. Ceux qui doivent se conformer en parallèle aux deux séries de réglementations — parce que leur entreprise est basée en Suisse et fournit l’UE — peuvent trouver une comparaison détaillée ailleurs.

Comparaison des obligations en matière de cybersécurité en Suisse et dans l’UE
Cette section compare les exigences suisses en matière de déclaration avec celles de la directive NIS 2 et met en évidence leurs différences.

Que ne couvre pas la protection des serveurs ?

La plupart des éléments qui permettent réellement d’empêcher ou de minimiser les temps d’indisponibilité des serveurs. Un produit de sécurité ne remplace pas une sauvegarde des données accompagnée de procédures de restauration testées ; en cas d’attaque par chiffrement réussie, c’est la restauration — et non la détection — qui détermine la durée de l’indisponibilité. Elle ne remplace pas non plus une gestion adéquate des droits d’accès : si chaque utilisateur dispose d’un accès en écriture à tous les dossiers partagés, un rançongiciel chiffrera tout ce à quoi cet utilisateur a accès.

Deux autres facteurs entrent en jeu. Premièrement, l’accès au bureau à distance accessible depuis Internet sans authentification à deux facteurs — un point d’entrée courant qu’un scanner de fichiers ne peut empêcher, car l’attaquant se connecte normalement. Deuxièmement, l’état de mise à jour du serveur lui-même. Les incidents graves de ces dernières années ont exploité des vulnérabilités connues et non corrigées dans les services côté serveur.

La manière non seulement de mettre en œuvre la gestion des correctifs sur les serveurs, mais aussi de la démontrer à des tiers, constitue un sujet à part entière qui ne sera pas abordé ici.

Gestion et vérification des correctifs pour les tiers :
explique comment documenter l’état de mise à jour du serveur afin qu’il résiste aux audits et aux demandes des clients.

Comment s’y prendre concrètement ?

Commencez par dresser un inventaire en distinguant quatre groupes, sans vous attarder à la rédaction d’une proposition. Premièrement, les postes de travail. Deuxièmement, les serveurs, en les classant en deux catégories : Windows et Linux, et en notant ceux qui fonctionnent sans interface utilisateur graphique. Troisièmement, les rôles nécessitant leur propre produit : Exchange, bases de données, Services Terminal Server. Quatrièmement, tout ce sur quoi un agent ne peut pas être installé : systèmes NAS, baies de stockage, appareils dotés de systèmes d’exploitation fermés.

Ce n’est qu’ensuite qu’il vaut la peine d’examiner les produits. Une règle simple s’applique alors : les serveurs bénéficient du même niveau de protection que les postes de travail, et non d’un niveau inférieur. Toute autre approche inverse les priorités : l’accès serait alors protégé, mais pas ce à quoi on accède.