Identifiant d'Appareil

Aucun attribut unique ne convient à tous les usages. Chaque type identifie une chose différente : une interface, un module radio, une unité entière ou un modèle.

Le numéro de série est attribué par le fabricant, il est généralement imprimé sur l'étiquette et souvent lisible par le système d'exploitation. L'adresse MAC est un identifiant de 48 bits d'une interface réseau, et un ordinateur portable en possède généralement plusieurs. L'IMEI permet aux opérateurs de reconnaître un téléphone sur le réseau. L'UUID système, stocké dans le firmware, survit aux réinstallations du système d'exploitation. La paire VID:PID est attribuée par marque et modèle.

Les identifiants relient le matériel observé aux fiches d'inventaire. Lorsqu'un agent signale ce qui est connecté, le numéro de série et les données du modèle indiquent si un appareil est déjà connu, nouveau ou absent. Les règles de contrôle des appareils font directement référence aux identifiants : un disque chiffré de l'entreprise peut être autorisé par son numéro de série, tandis qu'une gamme entière de modèles peut être bloquée ou passée en lecture seule par identifiant fabricant et produit.

Les mêmes identifiants figurent dans les journaux d'événements. Lorsqu'un fichier est copié sur un support amovible ou qu'un appareil se connecte à une heure inhabituelle, l'enregistrement porte l'identité de l'appareil, et l'enquêteur peut attribuer l'action à un matériel précis. De l'achat à la mise au rebut, l'identifiant relie aussi les factures d'achat, les affectations, les réparations et la sortie d'inventaire.

La distinction la plus pratique porte sur ce que désigne un identifiant. Le numéro de série agit au niveau de l'instance : il sépare deux disques identiques achetés le même jour. La paire VID:PID agit au niveau du modèle : chaque unité de ce produit communique les mêmes valeurs.

Aucun des deux n'est meilleur. Les politiques matures combinent les deux : une règle de classe définit ce qu'une catégorie d'appareils peut faire, et une exception d'instance autorise une unité précise. Mal interpréter la portée est une erreur fréquente : bloquer une paire VID:PID sujette à la contrefaçon peut désactiver des centaines de disques légitimes.

Les identifiants n'offrent pas tous le même niveau de confiance. Les adresses MAC se réécrivent facilement, et les systèmes de bureau et mobiles actuels les randomisent par défaut. Les numéros de série des supports amovibles bon marché se répètent souvent au sein d'un même lot. Les UUID du firmware changent lorsque la carte mère est remplacée. Il faut considérer chaque attribut isolé comme un indice et non comme une preuve, et confirmer l'identité à l'aide de plusieurs attributs observés ensemble, comme le fabricant, le modèle et le numéro de série.

Dans la console Anexet, l'onglet Appareils d'un poste liste le matériel détecté avec son type et son fabricant. Le filtre du contrôle des appareils affiche les identifiants d'un appareil choisi : identifiant fournisseur, identifiant produit et numéro de série.

1 / 2

• 
• 

Les identifiants d'appareils touchent aux données personnelles. L'IMEI ou l'adresse MAC d'un téléphone personnel utilisé au travail peut être rattaché à une personne, ce qui place son traitement sous des règles de protection des données, comme le RGPD dans le contexte de l'emploi. Les organisations qui collectent des identifiants à grande échelle, comme le font les systèmes d'inventaire, doivent définir la finalité, limiter l'accès aux données et ne pas les conserver au-delà de ce qu'exige cette finalité. Dans un contexte BYOD, identifier l'appareil personnel d'un salarié revient à traiter des données sur cette personne.

Partez des identifiants dont vos règles ont réellement besoin. Un numéro de série convient à une courte liste de supports de l'entreprise à suivre un par un, alors qu'un couple modèle convient à toute une catégorie de matériel.

Une règle au mauvais périmètre laisse passer l'appareil qu'elle devait arrêter ou bloque un matériel dont l'activité dépend. Testez chaque règle sur des appareils connus avant de l'appliquer, et associez-la à la prévention des pertes de données (DLP) pour les canaux les plus sensibles.