Le vendredi à 19 heures, les journaux de sécurité d’un serveur enregistrent des connexions inhabituelles. L’équipe informatique est partie. D’ici lundi, une intrusion peut progresser jusqu’aux sauvegardes ou aux applications métier. Pour les PME, dont les moyens de surveillance sont souvent limités, la protection du système d’information dépend aussi de ce qui se passe en dehors des horaires ouvrés.
Les cybercriminels ne respectent pas les horaires de bureau
Les attaques informatiques ne commencent pas nécessairement pendant le week-end. Un accès compromis peut rester discret plusieurs jours avant qu’un attaquant ne décide d’exfiltrer des données, de désactiver les protections ou de déployer un rançongiciel. Les périodes où les équipes sont moins disponibles lui laissent davantage de temps pour agir sans rencontrer de réaction immédiate.
Dans une alerte publiée le 31 août 2021, le FBI et la CISA (Cybersecurity and Infrastructure Security Agency) signalaient plusieurs attaques par rançongiciel particulièrement dommageables survenues pendant des week-ends et des jours fériés aux États-Unis. Les deux organismes recommandaient notamment une surveillance active et la désignation de personnels joignables pendant ces périodes. Ces observations ne signifient pas que toutes les attaques visent les heures creuses, mais montrent le risque d’une détection tardive.
La difficulté est concrète pour une PME : son administrateur système peut gérer les postes, les comptes utilisateurs, les sauvegardes et le support, sans disposer d’une équipe de sécurité fonctionnant en continu. Une anomalie apparue le samedi peut donc attendre le retour du lundi, alors même que certains services restent accessibles à distance.
Deux besoins se distinguent : repérer les anomalies techniques, puis qualifier une éventuelle attaque. Le premier relève notamment de la supervision informatique.
La supervision RMM : garder un œil sur le SI même en dehors des heures ouvrées
Une plateforme de Remote Monitoring and Management (RMM) surveille à distance l’état des équipements : disponibilité des serveurs, occupation des disques, performances, services Windows ou équipements réseau. Des seuils définis à l’avance déclenchent des alertes lorsqu’un paramètre sort du fonctionnement attendu.
À titre d’exemple, un serveur de fichiers qui devient inaccessible dans la nuit, une sauvegarde qui échoue ou un service critique qui s’arrête peuvent faire l’objet d’une notification sans qu’un technicien soit connecté à sa console. L’objectif est d’être alerté rapidement lorsqu’un problème survient.
C’est notamment ce que propose RG System Suite by Septeo IT Solutions, une suite logicielle dont le socle RMM centralise la supervision des postes, serveurs et équipements réseau, l’inventaire du parc, les alertes et certaines opérations IT automatisées. Les MSP (Managed Service Providers, ou fournisseurs de services managés) peuvent ainsi suivre plusieurs environnements clients depuis une console commune et organiser leurs interventions selon la criticité des événements.
La supervision RMM ne constitue toutefois pas, à elle seule, un dispositif de détection d’intrusion. Une hausse de consommation processeur peut être normale ou suspecte. Le RMM aide à voir qu’un équipement se comporte anormalement ; des outils de sécurité et une analyse complémentaire restent nécessaires pour en comprendre la cause. Les nombreux comparatifs et décryptages du site Cloudlist peuvent alors être d’une grande utilité.
Les PME face aux limites d’une cybersécurité traditionnelle
Antivirus, pare-feu, sauvegardes et correctifs demeurent indispensables. Ils réduisent l’exposition aux menaces et facilitent la reprise après un incident. Mais leur simple présence ne garantit ni la détection immédiate d’un comportement suspect, ni une intervention rapide pendant la nuit.
Un compte légitime détourné peut, par exemple, permettre à un attaquant de se connecter à un service distant sans déclencher l’alerte attendue d’un antivirus. De même, une sauvegarde configurée peut échouer plusieurs nuits de suite si personne n’en contrôle le résultat. La sécurité suppose de vérifier que les protections fonctionnent réellement.
Pour identifier des actions malveillantes, les entreprises peuvent s’appuyer sur un EDR, qui analyse l’activité des terminaux, ou sur des mécanismes de collecte et de corrélation des journaux, parfois regroupés dans un SIEM. Ils recherchent des indicateurs de compromission, quand le RMM suit principalement la santé du parc.
La priorité n’est donc pas d’empiler des logiciels. Elle consiste à connaître les équipements critiques, à choisir les signaux utiles et à déterminer qui examinera les alertes. Un message automatique envoyé à une boîte mail que personne ne consulte le samedi ne protège pas davantage qu’un écran de supervision laissé éteint.
Associer supervision et cybersécurité pour accélérer la réaction aux incidents
Lorsqu’une anomalie apparaît, le contexte fait souvent la différence. Un serveur indisponible pendant une maintenance planifiée ne présente pas le même niveau d’urgence qu’un équipement de production qui cesse de répondre après plusieurs alertes de sécurité. Rapprocher l’état du parc, l’historique des interventions et les événements remontés par les protections permet d’éviter de traiter chaque signal isolément.
Cette complémentarité se retrouve dans RG System Suite, qui propose, en complément de la supervision RMM, un volet cybersécurité reposant notamment sur Bitdefender GravityZone, avec des options EDR et un service MDR pour renforcer la détection et la prise en charge des menaces, selon les prestations souscrites.
Une PME peut ainsi définir des seuils distincts pour ses applications critiques et ses postes utilisateurs. Une alerte sur le serveur de facturation un dimanche déclenchera un circuit d’escalade différent d’un avertissement concernant l’espace disque d’un poste secondaire. Cette hiérarchisation compte davantage que le nombre de notifications.
La supervision contribue également à la prévention : l’identification des terminaux non protégés et la gestion des correctifs, notamment grâce à un module de patch management optionnel, permettent de réduire l’exposition aux vulnérabilités. Le choix d’une plateforme doit considérer la supervision, le patch management, l’accès distant, la journalisation et les intégrations de sécurité. Pour examiner ces critères avant équipement, ce comparatif des logiciels RMM publié par Cloudlist présente les principales fonctions à confronter aux besoins des DSI et des prestataires informatiques.
Il faut également sécuriser les outils d’administration eux-mêmes. Une console RMM disposant de droits étendus peut devenir un point d’entrée sensible si ses comptes sont compromis. Authentification multifacteur, permissions limitées et traçabilité des interventions sont donc essentielles pour que la supervision renforce la sécurité sans créer un risque supplémentaire.
De l’alerte à l’intervention : organiser une véritable continuité de protection
Une notification reçue à 3 heures du matin ne sert à rien si aucun responsable n’est chargé d’y répondre. Pour une PME, organiser une protection hors horaires ouvrés commence par une procédure réaliste : quels incidents justifient un appel immédiat, qui prend la décision, comment accéder aux équipements et à quel moment solliciter un spécialiste ?
Il n’est pas toujours nécessaire de mobiliser une équipe interne 24 heures sur 24. Une astreinte limitée aux services essentiels, un contrat avec un prestataire de services managés (MSP) ou un service de détection et réponse managées peuvent assurer différents niveaux de couverture. Le contrat doit préciser les horaires de surveillance, l’escalade, les délais de prise en charge et les interventions garanties : superviser 24 h/24 ne signifie pas intervenir à toute heure.
Certaines premières actions peuvent être automatisées, à condition d’en maîtriser les conséquences : relancer un service connu, ouvrir un ticket enrichi du contexte ou isoler un terminal lorsque le dispositif de sécurité le permet et que les règles ont été validées. Une opération susceptible d’interrompre la production réclame des garde-fous et, selon sa criticité, une décision humaine.
Laurent Casse, directeur commercial de Septeo IT Solutions, évoque ainsi “la supervision de demain : plus proactive, plus automatisée et toujours au service de la performance des systèmes d’information.”
Enfin, les procédures doivent être éprouvées. Un exercice simulant un serveur indisponible ou un rançongiciel révèle les problèmes de contact, d’accès ou de restauration. Après l’incident, l’analyse des délais de détection et de traitement permet de corriger les points faibles.
La continuité de protection ne se décrète pas par l’achat d’un outil. Elle tient à une chaîne complète, depuis la remontée d’un signal jusqu’à la mobilisation d’une personne capable d’agir. C’est cette organisation qui évite qu’une nuit sans surveillance devienne plusieurs jours d’interruption d’activité.
- Partager l'article :
