Non, parce que l'antivirus classique reconnaît ce qu'il connaît déjà, et qu'une part croissante des attaques n'installe aucun fichier à reconnaître. Elles détournent des outils légitimes déjà présents sur le poste, ce qui ne déclenche aucune signature.
Cela ne veut pas dire qu'il faut le retirer. Cela veut dire qu'il ne constitue plus une protection suffisante à lui seul, et que la question à se poser porte désormais sur la détection du comportement plutôt que sur la reconnaissance du fichier.
Ce que l'antivirus voit et ne voit pas
Le principe historique consiste à comparer les fichiers à une base de menaces connues. C'est efficace contre les codes malveillants diffusés en masse, et cela le restera.
La limite apparaît sur trois situations devenues courantes. Le code jamais vu, dont la signature n'existe pas encore. Le code modifié automatiquement à chaque diffusion pour ne jamais présenter la même empreinte. Et surtout l'attaque qui n'utilise aucun fichier, en se servant des outils d'administration déjà installés sur la machine.
Ce dernier cas est le plus gênant, car les outils employés sont légitimes et présents partout. Aucun antivirus ne peut les bloquer sans paralyser le travail des administrateurs.
Ce que la détection comportementale change
Plutôt que de se demander si un fichier est connu comme malveillant, la détection comportementale observe ce qui se passe sur le poste. Un processus qui commence à chiffrer massivement des fichiers, un outil d'administration lancé par un document bureautique, un compte qui tente soudain d'atteindre des dizaines de machines, autant de comportements anormaux quelle que soit l'origine.
L'intérêt second est la capacité de reconstituer le déroulement d'un incident. Après une compromission, savoir par où l'attaquant est entré, ce qu'il a touché et à quel moment détermine l'ampleur de la remise en état. Sans cette information, la seule option prudente consiste à tout reconstruire.
Cette capacité d'analyse a aussi une valeur réglementaire. Une notification à la CNIL demande de décrire les données concernées, ce qui suppose de savoir ce qui a été atteint.
Le point décisif n'est pas l'outil
Une console de détection qui remonte des alertes que personne ne consulte ne protège de rien. C'est la question la plus importante à trancher, et elle est organisationnelle.
Trois configurations existent en PME. La surveillance est confiée à un prestataire qui s'engage à réagir, y compris la nuit et le week-end. Elle est traitée en interne par une personne nommée qui consulte les alertes selon une règle connue. Ou personne ne s'en occupe, et l'investissement est perdu.
Le choix dépend de ce que coûte une heure d'arrêt chez vous. Une entreprise dont la production tourne en trois équipes n'a pas les mêmes besoins qu'un bureau d'études aux horaires ouvrables.
La messagerie, par où presque tout arrive
L'essentiel des compromissions commence par un message. Le filtrage en amont de la messagerie retire une grande partie du volume avant qu'il n'atteigne les boîtes, et il est le plus souvent déjà inclus dans les abonnements que vous payez.
Deux réglages simples ajoutent beaucoup. Le blocage des pièces jointes exécutables, qui n'ont aucune raison légitime de circuler par messagerie dans une PME. Et une bannière visible signalant les messages provenant de l'extérieur, qui aide à repérer les usurpations d'identité de dirigeant.
Le maillon humain, sans le culpabiliser
La formation des équipes est utile, à condition de renoncer à l'idée qu'un salarié doit détecter toutes les tentatives. Les messages frauduleux sont désormais bien écrits, contextualisés et crédibles.
L'objectif réaliste est différent. Il s'agit que la personne qui a un doute, ou qui vient de cliquer, le dise immédiatement sans craindre d'être blâmée. Le temps de réaction est le facteur qui limite le plus les dégâts, et la peur de la réprimande est ce qui le dégrade le plus.
Une consigne unique et connue de tous suffit, savoir qui appeler et à quel numéro, y compris hors des heures de bureau.
Le cas des postes industriels
Les postes de supervision et les machines exécutent souvent des systèmes anciens sur lesquels l'éditeur de l'application métier interdit d'installer un agent de sécurité. Vouloir y déployer la même protection que sur un poste bureautique conduit à l'échec ou au blocage de la production.
La réponse est ailleurs. Ces postes doivent être isolés dans une zone de production séparée, leurs supports amovibles contrôlés en amont, et leur usage limité à l'application dont ils ont besoin. La protection vient du cloisonnement plutôt que de l'agent installé.
Ce qui suffit dans une petite structure
Une vérification annuelle convient, à condition qu'elle soit réellement faite. Elle consiste à s'assurer que la protection est active et à jour sur l'ensemble du parc, qu'aucun poste n'a été oublié, et surtout que les alertes des douze derniers mois ont bien été vues par quelqu'un.
Ce dernier point est celui qui révèle le plus souvent un problème. Une console dont personne n'a ouvert la page depuis un an indique que la protection est en réalité inexistante, quel que soit le montant de l'abonnement.
Questions fréquentes
Faut-il remplacer l'antivirus ou le compléter ?
Les solutions actuelles de détection comportementale intègrent la protection classique par signatures, il ne s'agit donc pas d'empiler deux produits. Faire cohabiter deux agents de sécurité sur un même poste provoque d'ailleurs souvent des conflits et des ralentissements. Le passage se fait par remplacement, pas par addition.
Ces solutions sont-elles accessibles à une PME ?
Oui, les tarifs par poste sont désormais proches de ceux d'un antivirus professionnel. Le coût réel n'est pas la licence mais le traitement des alertes. Si personne ne peut s'en charger en interne, il faut prévoir une prestation de surveillance, et c'est cette ligne qu'il faut budgéter honnêtement dès le départ.
Comment protéger un poste de supervision qui ne peut pas être mis à jour ?
Par le cloisonnement plutôt que par l'agent installé. Isolez ces postes dans une zone de production séparée, contrôlez les supports amovibles avant qu'ils n'y soient branchés, et limitez leurs échanges réseau au strict nécessaire. Chercher à y installer une protection que l'éditeur interdit conduit soit à l'échec, soit à l'arrêt de la production.
La formation des équipes est-elle vraiment utile ?
Oui, à condition d'en attendre la bonne chose. Personne ne détecte toutes les tentatives, elles sont devenues trop crédibles. L'objectif réaliste est qu'un collaborateur qui a un doute, ou qui vient de cliquer, le signale dans la minute sans craindre d'être blâmé. C'est le temps de réaction qui limite les dégâts, bien plus que le taux de détection.