Compliance endpoints : règles CIS Level 1 pour macOS, Windows et Linux

Un parc non durci reste vulnérable même derrière un VPN

La majorité des incidents analysés par le NCSC impliquent des endpoints configurés avec les paramètres d'usine : SMBv1 activé, contrôle de compte utilisateur réduit, Bluetooth actif sans restriction, journaux d'audit trop courts. Un attaquant qui passe le périmètre réseau trouve un terrain plat. Les CIS Benchmarks Level 1 définissent des contrôles consensuels, non intrusifs, applicables par une équipe IT de deux personnes sans perturber les flux métier.

Comprendre les niveaux CIS : L1 vs L2

Le Center for Internet Security publie deux profils pour chaque système d'exploitation :

• Level 1 (L1) — contrôles à faible impact opérationnel, recommandés pour tout environnement. Aucune fonctionnalité métier critique ne devrait être bloquée.
• Level 2 (L2) — durcissement renforcé pour environnements sensibles (défense, finance, santé). Peut casser des workflows si appliqué sans test.

Pour une PME romande de 20 à 150 employés, L1 est le plancher réaliste. L2 s'applique au cas par cas : postes d'administration, accès aux données bancaires, systèmes de paie. En contexte nLPD (nouvelle loi fédérale sur la protection des données, en vigueur depuis le 01.09.2023), le durcissement L1 est un argument documentable lors d'une notification au PFPDT : il démontre la mise en œuvre de mesures techniques appropriées au sens de l'art. 8 LPD.

Règles CIS L1 par système d'exploitation

macOS 14 Sonoma — points critiques

Le benchmark CIS pour macOS 14 (version 1.0, publiée en 2024) couvre 250+ contrôles. Les L1 incontournables en PME :

• FileVault 2 activé avec clé de récupération institutionnelle stockée hors de l'endpoint (via MDM ou dépôt chiffré). Valeur : chiffrement AES-256-XTS.
• Firewall applicatif macOS : état on, mode furtif (stealth mode) activé. Ports entrants bloqués sauf exceptions MDM.
• Gatekeeper : politique App Store and identified developers — jamais anywhere.
• SIP (System Integrity Protection) : vérifier via csrutil status que la valeur retourne enabled. Désactivé sur certains postes de développeurs : documenter l'exception.
• Délai de verrouillage écran : ≤ 2 minutes d'inactivité, code PIN ≥ 6 caractères ou Touch ID avec complexité forte.
• SSH désactivé par défaut (Remote Login = off) ; si actif, accès restreint à des IP managées, clé Ed25519 obligatoire, mot de passe SSH désactivé.
• Mises à jour automatiques : AutomaticCheckEnabled = true, CriticalUpdateInstall = true. Délai maximal de déploiement des patches sécurité : 72 h.

En contexte Apple Business Manager (ABM), ces contrôles se déploient via un profil de configuration MDM. L'enrollment DEP garantit qu'aucun Mac ne sort de l'usine sans le profil appliqué avant la première ouverture de session utilisateur.

Windows 11 23H2 — points critiques

Le benchmark CIS Windows 11 v3.0 liste environ 480 contrôles. L1 en priorité pour PME :

• BitLocker : chiffrement AES-256 sur volume système, TPM 2.0 requis, clé de récupération dans Azure AD ou Active Directory on-premises — jamais uniquement en local.
• SMBv1 désactivé : Set-SmbServerConfiguration -EnableSMB1Protocol $false. SMBv1 reste le vecteur EternalBlue ; il n'a aucune justification en 2024.
• Contrôle de compte utilisateur (UAC) : niveau Always notify pour les administrateurs. Aucun utilisateur standard ne doit élever sans consentement explicite.
• Windows Defender : protection en temps réel activée, cloud protection activée, délai d'analyse à la demande ≤ 7 jours. Tamper protection = on.
• RDP : désactivé si non nécessaire. Si actif : port non standard, NLA (Network Level Authentication) obligatoire, accès restreint via groupe AD dédié, MFA sur la passerelle.
• PowerShell : politique d'exécution RemoteSigned ou AllSigned. Script Block Logging activé (Event ID 4104). Constrained Language Mode pour les utilisateurs standard.
• Journaux d'audit : taille minimale 196 608 Ko pour Security log, rétention ≥ 90 jours. Forwarding vers SIEM si disponible.

Windows Autopilot + Intune permet de pousser ces réglages via des profils Security Baseline (Microsoft propose une baseline Intune alignée CIS) avant que le poste ne soit remis à l'utilisateur. Pour les PME sans Azure AD P2, les GPO restent une alternative valide sur un parc AD on-premises.

Linux (Ubuntu 22.04 LTS / RHEL 9) — points critiques

Linux en PME romande représente souvent des serveurs ou des postes de développeurs. Le benchmark CIS Ubuntu 22.04 v1.0 couvre ~350 contrôles. L1 essentiels :

• Chiffrement disque : LUKS2 sur partitions sensibles (/home, /var, swap). Passphrase gérée via HashiCorp Vault ou équivalent.
• UFW / firewalld : politique par défaut deny incoming, allow outgoing. Ouverture explicite par service (ex. TCP/22 pour SSH, TCP/443 pour HTTPS).
• SSH : PermitRootLogin no, PasswordAuthentication no, Protocol 2, AllowUsers liste explicite. Port 22 ou non standard, fail2ban ou équivalent.
• Gestion des paquets : mises à jour de sécurité automatiques via unattended-upgrades (Debian/Ubuntu) ou dnf-automatic (RHEL). Délai patches critiques : 24 h.
• auditd : actif, règles couvrant au minimum les accès /etc/passwd, /etc/shadow, les appels execve des utilisateurs privilégiés, et les changements de permissions (chmod, chown).
• Comptes : pas de UID 0 en dehors de root, sudo configuré avec NOPASSWD interdit, log de toutes les élévations.

FleetDM permet d'inventorier en temps réel la conformité de ces contrôles sur l'ensemble du parc Linux via des requêtes osquery, sans agent MDM propriétaire.

Intégration MDM et pipeline de conformité

Appliquer les règles CIS manuellement poste par poste n'est pas scalable au-delà de 10 endpoints. Le pipeline recommandé :

1. Définir le profil de référence par OS : exporter les contrôles L1 applicables au contexte (PME non régulée vs fiduciaire avec données fiscales). Exclure explicitement les contrôles L2 si non requis.
2. Encoder en configuration MDM : profils .mobileconfig pour macOS (ABM), Intune Compliance Policies + Configuration Profiles pour Windows, profils osquery pour Linux.
3. Phase pilote : déployer sur 5 à 10 endpoints représentatifs, mesurer les ruptures de service pendant 5 jours ouvrables. Documenter les exceptions.
4. Déploiement progressif : vagues de 20 % du parc par semaine, avec rollback possible depuis la console MDM.
5. Reporting de conformité : tableau de bord par endpoint avec statut par contrôle (Compliant / Non-Compliant / Exempt). Seuil d'alerte DSI : toute machine à moins de 80 % de conformité L1 depuis plus de 48 h.
6. Révision trimestrielle : les benchmarks CIS sont mis à jour régulièrement. Intégrer la vérification de version benchmark dans le processus de gestion des changements.

Cas pratique — Fiduciaire genevoise, 38 postes

Contexte : cabinet fiduciaire à Carouge, 38 endpoints (22 Windows 11, 12 macOS 14, 4 Ubuntu 22.04 serveurs), 1 IT manager à 60 %, pas de RSSI dédié. Données traitées : déclarations fiscales, bilans, données RH de clients — périmètre nLPD et potentiellement LBA. Aucun durcissement formel existant en janvier 2024.

Étape 1 — Audit de l'existant (semaine 1)

Inventaire via scripts osquery (Linux/macOS) et PowerShell (Windows). Résultats :

• SMBv1 actif sur 14 des 22 postes Windows.
• FileVault désactivé sur 6 MacBook Pro utilisés en déplacement chez les clients.
• SSH avec authentification par mot de passe sur 2 serveurs Ubuntu.
• Délai de verrouillage écran : 15 minutes sur 60 % du parc.
• Taux de conformité CIS L1 initial estimé : 41 % (Windows), 38 % (macOS), 55 % (Linux).

Étape 2 — Priorisation et plan de remédiation (semaine 2)

Tri par criticité et facilité d'implémentation. Les 5 items à risque immédiat :

1. Désactivation SMBv1 : GPO poussée en 2 h, zero impact métier. Coût : 0 CHF.
2. Activation FileVault sur les 6 MacBook : profil MDM, 30 min par machine, clé de récupération dans le gestionnaire MDM. Coût : 0 CHF.
3. SSH par clé uniquement sur les serveurs Ubuntu : 45 min, test de connexion validé. Coût : 0 CHF.
4. Délai de verrouillage à 2 minutes : GPO + profil macOS MDM. Impact signalé par 3 utilisateurs, résolu par explication. Coût : 0 CHF.
5. UAC niveau maximum sur Windows : GPO, un cas de blocage sur un logiciel comptable tiers (Sage) nécessitant une règle d'élévation dédiée — 2 h de travail supplémentaire.

Étape 3 — Déploiement et mesure (semaines 3-6)

Budget total du projet : 3 jours IT manager (interne, valorisés à 900 CHF/jour = 2 700 CHF) + licence MDM pour macOS (ABM + MDM SaaS existant, coût marginal nul). Taux de conformité L1 après remédiation : Windows 84 %, macOS 91 %, Linux 88 %. Les 9 à 16 % restants correspondent à des exceptions documentées (logiciel métier incompatible avec un contrôle spécifique, justifiées par analyse de risque écrite).

La fiduciaire dispose désormais d'un rapport de conformité CIS exportable — utile en cas de demande d'un grand client soumis à révision ou d'un audit assurantiel cyber (les assureurs comme Zurich ou AXA XL demandent de plus en plus ce type de preuve pour les PME suisses).

Récapitulatif opérationnel

• Télécharger la version courante des benchmarks CIS pour macOS 14, Windows 11 et Ubuntu 22.04 depuis cisecurity.org — ils sont gratuits en PDF.
• Filtrer les contrôles L1 et exclure L2 dans un premier temps. Créer un tableur de suivi avec statut par endpoint.
• Prioriser les 5 items à risque élevé : SMBv1, chiffrement disque, SSH par clé, verrouillage écran, journaux d'audit activés.
• Automatiser via MDM : ne jamais compter sur la configuration manuelle pour plus de 10 postes. ABM pour macOS, Autopilot/Intune ou GPO pour Windows, osquery/FleetDM ou Ansible pour Linux.
• Documenter les exceptions : chaque contrôle non appliqué doit avoir une justification écrite, une analyse de risque résiduel et une date de révision.
• Mesurer mensuellement le taux de conformité par OS. Seuil d'alerte : moins de 80 % de L1 sur une machine en production pendant plus de 48 h.
• Réviser le benchmark trimestriellement : synchroniser avec les nouvelles versions CIS publiées et les mises à jour OS majeures.
• Conserver les preuves pour répondre aux exigences de l'art. 8 nLPD et aux questionnaires cyber des assureurs ou des grands clients.
• Former l'IT manager aux nouveaux vecteurs d'attaque par OS : suivre les alertes du NCSC (abonnement gratuit aux bulletins hebdomadaires).

SynGuard propose des audits de conformité CIS et des déploiements MDM pour PME romandes — un point de contact si vous souhaitez externaliser la phase d'audit ou le pilotage du déploiement.

Sources

• CIS Benchmarks — Center for Internet Security — Référentiels de durcissement par OS, gratuits en PDF, incluant macOS 14, Windows 11 et Ubuntu 22.04.
• Loi fédérale sur la protection des données (nLPD) — Fedlex — Texte consolidé de la LPD révisée, en vigueur depuis le 01.09.2023.
• Centre national pour la cybersécurité (NCSC) — Bulletins d'alertes, conseils aux PME, signalement d'incidents cybersécurité en Suisse.
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — Autorité de contrôle nLPD, procédures de notification des violations de données.
• NIST Cybersecurity Framework — NIST — Cadre de référence complémentaire aux CIS Benchmarks pour la gestion du risque cybersécurité.