Ce qui compte comme support amovible
Le support amovible se définit par sa capacité à être détaché, et non par sa technologie. Tout stockage qui peut être retiré d'un ordinateur et branché sur un autre, sans outil ni privilège particulier, entre dans cette catégorie. Le terme s'inscrit dans la famille plus large des dispositifs de transfert de données, mais il est plus restreint : il exclut les interfaces qui transfèrent des données sans élément de stockage portable.
Les téléphones et les appareils photo entrent aussi dans cette catégorie lorsque le système les monte comme stockage. Les types les plus courants figurent dans le tableau ci-dessous.
| Type d'appareil | D'où vient le risque | Usage courant |
|---|---|---|
| Clé USB | Tient dans une poche, coûte peu et se cache facilement | Copies rapides d'un poste à l'autre |
| Disque dur externe ou SSD | Stocke de grosses archives et des jeux de données entiers | Sauvegardes et transferts en volume |
| Disque optique | Inscriptible et invisible pour les contrôles réseau | Archivage, usage en recul |
| Carte mémoire | Facile à oublier dans les appareils photo et les portables | Photos, fichiers et stockage des appareils |
| Téléphone ou appareil photo | Monté comme stockage via MTP ou PTP | Synchronisation et transfert de fichiers |
Fuites, logiciels malveillants et pertes
En sortie, le support amovible est un canal d'exfiltration délibéré. Une clé écrite sur un poste d'entreprise ne génère aucun trafic réseau qu'un proxy ou une passerelle de messagerie puisse inspecter, et elle copie à pleine vitesse d'interface. C'est pourquoi elle constitue l'étape finale classique lorsqu'un salarié quitte l'entreprise.
En entrée, le même port importe des risques. Les supports venus de l'extérieur, comme des disques personnels, des disques de partenaires ou des appareils d'origine inconnue, peuvent introduire un logiciel malveillant sur un poste. Des périphériques conçus pour cela peuvent même se faire passer pour un clavier ou une carte réseau. Le port qui exporte les données importe aussi ce qui se trouve sur le support.
La perte ne suppose aucun acte malveillant. Un petit appareil transporté chaque jour s'oublie facilement dans un train ou une salle de réunion. S'il contient des données sensibles non chiffrées, sa perte constitue un événement de divulgation, et de nombreux cadres réglementaires la considèrent comme devant être notifiée. Supprimer des fichiers ou formater ne les efface pas de manière fiable : la mise au rebut exige donc une sanitisation des supports ou une destruction physique.
Comment progresse une fuite par support
L'acteur habituel est une menace interne plutôt qu'un attaquant extérieur, et l'enchaînement est court :
- 1
Connexion
Un support non approuvé est branché sur un poste de travail.
- 2
Copie
Les fichiers sont écrits sur le support en masse, souvent en quelques minutes.
- 3
Sortie
Le support quitte le bâtiment, hors de portée de tout filtre réseau.
- 4
Utilisation
Le contenu parvient à un concurrent, à un acheteur ou au public.
Comparaison des approches de contrôle
Aucune mesure isolée ne couvre tous les cas. Le blocage des ports, le contrôle des périphériques avec audit et le contrôle d'écriture selon le contenu répondent à des questions différentes, et fonctionnent donc mieux ensemble :
| Approche | Bloque les appareils non approuvés | Inspecte le contenu des fichiers | Journalise chaque écriture |
|---|---|---|---|
| Blocage des ports seul | |||
| Liste blanche d'appareils avec audit | |||
| Contrôle d'écriture selon le contenu |
À quoi cela ressemble dans Anexet
Dans le contrôle des clés USB et des disques externes, l'administrateur définit des règles d'appareils par profil d'agent. L'onglet Devices and drives active l'audit d'usage, l'audit des opérations sur fichiers des supports de stockage et le contrôle d'écriture selon le contenu, afin de régler chaque canal séparément.
1 / 2
Erreurs fréquentes
La plupart des programmes qui échouent échouent de la même poignée de façons.
Un blocage total dès le premier jour est le moyen le plus rapide de désactiver le contrôle des appareils.
- Bloquer tous les ports dès le premier jour, ce qui arrête le travail courant et pousse le personnel à chercher des contournements
- Supposer qu'un support est inoffensif parce qu'il ne touche jamais le réseau
- Traiter un support perdu comme un problème matériel plutôt que comme une fuite de données pouvant devoir être signalée
Par où commencer
On commence par les données dont la fuite serait la plus dommageable, puis par les canaux réellement utilisés pour les sortir. Les politiques écrites pour tous les fichiers à la fois finissent par bloquer le travail et sont désactivées.
Le contrôle des supports amovibles est une couche du DLP des postes de travail. Les données sortent aussi par la messagerie, le téléversement web, le cloud et la messagerie instantanée, donc une même règle de classification des données doit s'appliquer à tous les canaux.
Pour aller plus loin : Systèmes DLP — qu'est-ce que c'est et comment ça fonctionne; Comment prévenir l'accès non autorisé à votre ordinateur.
La plupart des fuites par support ressemblent à une journée de travail ordinaire, une copie après l'autre.
Anexet TeamComment Anexet traite ce sujet
Dans Anexet, les supports amovibles sont régis par le contrôle des périphériques dans l'agent du poste de travail, combiné à l'inspection du contenu afin que l'application soit précise plutôt que globale :
Le produit étant déployé on-premise, les copies capturées des fichiers transférés et les journaux des opérations sur les appareils restent au sein de la propre infrastructure de l'organisation.
Ce qui est traité comme amovible
clés USB, disques durs externes, lecteurs optiques et de disquettes, ainsi que tout appareil que le système d'exploitation identifie comme stockage amovible, y compris les téléphones et appareils photo connectés comme périphériques multimédias.
Blocage et listes blanches
les appareils connectés aux ports USB, COM et LPT sont régis par des règles de liste blanche ou noire fondées sur les paramètres de l'appareil (type, attribut, valeur), avec des politiques distinctes pour l'accès et pour l'écriture.
Interception des opérations sur fichiers
chaque écriture vers un stockage externe est auditée avec le nom du fichier, sa taille et le processus qui l'a déclenchée, et des copies fantômes des fichiers transférés sont capturées pour examen dans la console.
Contrôle sensible au contenu
les écritures vers des lecteurs externes peuvent être évaluées selon le contenu : thésaurus de sécurité, bases de hachage, bibliothèques d'empreintes numériques et étiquettes de sensibilité. Les transferts légitimes se poursuivent, les transferts sensibles sont bloqués.
Anexet DLP
En savoir plus