Outils RMM : la checklist de sécurité
Les outils RMM permettent la maintenance à distance et la gestion des terminaux. Si des attaquants obtiennent des identifiants ou exploitent une faille dans le serveur de gestion, plusieurs environnements connectés peuvent être menacés. Les incidents liés à ConnectWise ScreenConnect et SimpleHelp montrent l’étendue potentielle de ces accès. Une checklist aide à contrôler les autorisations, les mises à jour et les activités.
L’essentiel en bref
- Les accès de maintenance à distance sont une cible. Les attaquants exploitent des identifiants, des failles ou des logiciels d’accès à distance installés ultérieurement.
- Un incident peut toucher les clients. Un accès compromis chez un prestataire peut ouvrir aux attaquants la voie vers les environnements connectés.
- Les accès nécessitent plusieurs niveaux de protection. L’authentification multifacteur, la limitation des droits, les mises à jour rapides et la surveillance des journaux contribuent à leur sécurisation.
Pourquoi les accès RMM attirent les attaquants
La supervision et la gestion à distance, ou Remote Monitoring and Management (RMM), aident les équipes informatiques et les prestataires à surveiller et à administrer des systèmes distants. Selon le produit et sa configuration, ces outils permettent de déployer des mises à jour, d’exécuter des commandes ou de lancer des sessions d’assistance.
Les attaquants peuvent prendre le contrôle d’accès existants ou introduire leurs propres programmes de maintenance à distance. L’alerte conjointe de la CISA, de la NSA et du MS-ISAC décrit aussi des programmes RMM portables qui permettent un accès dans le contexte d’un utilisateur local, sans installation complète ni droits d’administrateur.
Le seul nom d’un programme légitime ne prouve donc pas que son utilisation est autorisée. L’évaluation tient notamment compte du compte utilisateur, du système cible, du moment et des actions exécutées.
Les enseignements de ScreenConnect et SimpleHelp
ConnectWise ScreenConnect : publiée en 2024, la vulnérabilité CVE-2024-1709 permettait de contourner l’authentification sur les serveurs vulnérables. ConnectWise lui a attribué un score CVSS de 10,0 et a fourni un correctif dans la version 23.9.8. L’éditeur a également publié des versions corrigées pour les installations plus anciennes. Pour l’exploitation, les avis de sécurité actuels de l’éditeur font référence.
SimpleHelp : en 2025, la CISA a fait état d’un incident par rançongiciel chez un fournisseur de logiciels de facturation destinés aux entreprises de services publics. Les attaquants ont exploité des instances SimpleHelp non corrigées. Selon l’agence, ils ont probablement utilisé la vulnérabilité de traversée de répertoire CVE-2024-57727 pour accéder aux clients en aval. Ce cas montre pourquoi les prestataires doivent aussi recenser l’étendue de leurs accès de maintenance à distance.
Checklist de sécurité pour les outils RMM
Les mesures suivantes s’appuient sur le guide de la CISA sur la sécurisation des logiciels d’accès à distance et doivent être adaptées au produit et au modèle d’exploitation.
- 1. Dresser un inventaire. Documenter les produits RMM autorisés, les serveurs, les agents, les comptes et les systèmes clients connectés. Supprimer les installations inutiles et examiner les programmes d’accès à distance inconnus.
- 2. Sécuriser les comptes. Activer l’authentification multifacteur pour les comptes de maintenance à distance et d’administration. Utiliser des méthodes résistantes à l’hameçonnage lorsque le produit les prend en charge. Éviter les comptes partagés et limiter les droits aux tâches et systèmes nécessaires.
- 3. Restreindre les accès. Rendre les interfaces de gestion accessibles uniquement aux personnes autorisées et depuis les réseaux nécessaires. La segmentation du réseau et les contrôles d’accès limitent les systèmes accessibles par un même accès.
- 4. Prioriser les mises à jour. Suivre les avis des éditeurs et appliquer rapidement les mises à jour de sécurité aux serveurs et aux agents. En présence de failles critiques, vérifier également si l’installation a déjà subi une attaque.
- 5. Surveiller les activités. Consigner les connexions, les sessions, les modifications de comptes et les actions administratives. Examiner les adresses sources et les horaires inhabituels ainsi que les programmes non autorisés.
- 6. Associer les prestataires. Définir les responsabilités concernant les mises à jour, les journaux et les signalements d’incidents. Vérifier régulièrement les environnements clients auxquels un compte de prestataire est autorisé à accéder.
Agir en cas de suspicion d’utilisation abusive
L’équipe de réponse aux incidents doit restreindre l’accès concerné conformément à son plan d’urgence et préserver les journaux pertinents. Elle doit ensuite déterminer quels comptes, sessions et systèmes connectés pourraient être touchés.
Une mise à jour corrige une faille, mais ne supprime pas automatiquement les accès non autorisés déjà établis. Avant la remise en service, il faut donc examiner également les comptes, la configuration et les systèmes concernés.
Questions fréquentes
Chaque question est fermée. Appuyez pour afficher la réponse.
Quels programmes de maintenance à distance ont été détournés lors d’attaques ?
La CISA décrit notamment l’utilisation abusive de ScreenConnect et d’AnyDesk. Pour SimpleHelp, l’agence a documenté un incident impliquant des instances non corrigées.
Comment détecter une utilisation abusive des outils RMM ?
Un inventaire à jour aide à repérer les programmes inconnus. Les journaux de connexion et de session révèlent par exemple des accès à des horaires inhabituels ou depuis des adresses sources inattendues. Les anomalies doivent être évaluées dans le contexte de l’exploitation concernée.
Un correctif suffit-il après une attaque ?
Non. Un correctif résout la faille concernée. Des comptes déjà créés, des paramètres modifiés ou d’autres accès peuvent subsister et doivent être examinés.
Sélection de la rédaction
À lireÉcart de sécurité des identités : ce que Zero Trust ne protège pas et comment le comblerÀ lireCloud : 10 failles de configuration AWS et AzureÀ lireSécurité de l’IA agente : quand les agents d’IA deviennent eux-mêmes une cible d’attaque
Plus du réseau MBF Media
MyBusinessFutureBoom cybersécurité : NIS2 fait sécurité allemande moteur…Digital ChiefsServices de sécurité managés : le RSSI n’est pas seul responsablecloudmagazinSécurité logistique des conteneurs : sécuriser les chaînes IT
À découvrir dans le réseau MBF Media
- Essor de la cybersécurité : NIS2 comme moteur de croissance
- Services de sécurité managés : le RSSI n’est pas seul responsable
- Sécurité de la chaîne d’approvisionnement des conteneurs : sécuriser les chaînes informatiques
Source de l’image : générée par IA (novembre 2026)
Source de l’image : générée par IA (November 2026)
Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.
