Appareil Non Autorisé (Rogue Device)

Un appareil non autorisé se définit par une incohérence, et non par son type. Un clavier, une clé USB ou un commutateur réseau sont du matériel courant. Il devient non autorisé lorsqu'il est connecté à un ordinateur ou au réseau sans figurer dans la configuration approuvée enregistrée pour cette machine.

L'écart se repère plus facilement par rapport au registre de gestion des actifs matériels. La plupart des appareils non autorisés ne sont pas placés par un attaquant. Ils résultent d'activités quotidiennes ordinaires que personne n'a consignées, et le problème apparaît donc généralement dans la gestion des actifs informatiques, plutôt que dans une seule alerte de sécurité.

Les appareils non autorisés entrent en général dans l'environnement par l'une de cinq voies, et aucune ne suppose une intention malveillante :

Un appareil non autorisé crée un écart entre ce que la DSI croit en fonctionnement et ce qui est réellement connecté. Cet écart a des conséquences qui vont au-delà d'un registre d'actifs désordonné :

• Angle mort de sécurité. Un appareil hors configuration échappe aussi aux contrôles appliqués au matériel géré, comme les correctifs, la politique de chiffrement et la supervision. Il devient un point d'entrée facile ou une voie de sortie non surveillée pour les données.
• Risque d'exfiltration de données. Un périphérique de stockage ou un adaptateur réseau non journalisé peut faire sortir des données sans laisser de trace dans aucun journal d'audit fondé sur l'inventaire approuvé.
• Exposition réglementaire. Les réglementations et les politiques internes qui exigent un inventaire matériel complet et exact perdent leur portée à cause de chaque appareil que l'inventaire ignore.
• Coût d'exploitation. Le matériel non suivi fausse la planification des capacités, complique les décisions de garantie et de cycle de vie, et fait perdre du temps quand une panne doit être remontée à un équipement que personne n'a enregistré.

La détection compare ce qui est connecté à ce qui devrait l'être. Quatre étapes rendent ce contrôle continu, et la découverte est l'étape qui fait remonter ce que personne n'avait enregistré :

1. 1

   Comparer la configuration

   Ce qui est physiquement connecté à un ordinateur est comparé à sa configuration approuvée. Tout écart, dans un sens comme dans l'autre, est signalé.

2. 2

   Découvrir le nouveau matériel

   Les agents installés sur les postes gérés remontent ce qu'ils voient connecté. Des analyses périodiques font apparaître le nouveau matériel avant même qu'un ticket ne soit ouvert.

3. 3

   Contrôler en continu

   Les équipements sont remplacés entre deux audits. Les inventaires ponctuels manquent les appareils qui apparaissent et disparaissent dans l'intervalle, la surveillance doit donc être permanente.

4. 4

   Alerter les bonnes personnes

   Un appareil signalé n'est utile que s'il atteint l'équipe informatique ou sécurité responsable de l'ordinateur ou du site concerné.

Un appareil non autorisé n'est pas la même chose qu'un appareil non géré en général. Non géré signifie simplement que personne ne l'administre, qu'il soit connecté ou non. Un appareil non autorisé est précisément un appareil connecté aujourd'hui, en contradiction avec le registre.

Il recoupe le Shadow IT, mais son périmètre est plus étroit, car le Shadow IT désigne plus souvent des logiciels, des services cloud ou des comptes non approuvés que du matériel physique. Il se distingue aussi d'un appareil malveillant ou usurpé placé par un attaquant. La plupart des appareils non autorisés sont des équipements ordinaires qui n'ont tout simplement jamais été enregistrés.

Dans Anexet Inventory, la fiche de chaque ordinateur comporte un onglet Périphériques qui liste le matériel trouvé par la détection. Chaque appareil est rapproché de sa configuration grâce à son identifiant d'appareil : un composant connecté mais absent de la configuration reçoit donc une icône d'avertissement. La capture montre la fiche d'un serveur où des appareils connectés non répertoriés sont signalés de cette manière.

Commencez par une liste claire de ce qui constitue le matériel configuré de chaque ordinateur, puis laissez la détection signaler chaque écart. Les alertes de détection doivent déclencher une mise à jour de l'inventaire, et pas seulement le retrait de l'appareil. Quiconque remplace un écran ou ajoute une imprimante doit disposer d'un moyen simple de consigner le changement, et non d'une incitation à l'omettre.

Les outils de détection réduisent l'écart. Tenir le registre à jour est ce qui le maintient réduit.

Pour aller plus loin : Comment prévenir l'accès non autorisé à votre ordinateur.