Qu’est-ce que PasswordIQ?
Offert avec l’abonnement Diamant, PasswordIQ de KnowBe4 vous permet de surveiller les vulnérabilités liées aux mots de passe de vos utilisateurs. Le client PasswordIQ analyse les paramètres liés aux mots de passe de votre Active Directory à la recherche de vulnérabilités. Il compare les mots de passe de vos utilisateurs à des mots de passe piratés ou faibles provenant de différentes listes et bases de données. Puis, le client communique avec KMSAT pour afficher les résultats de l’analyse sur votre tableau de bord.
Pour activer PasswordIQ, rendez-vous dans les Paramètres du compte et accédez à Intégrations du compte > PasswordIQ. Puis, cochez la case Activer PasswordIQ.
Consultez les sections ci-dessous pour apprendre comment installer le client, exécuter les analyses et afficher vos résultats.
Aller à :
Utiliser les groupes intelligents pour les utilisateurs détectés
Configuration requise
Pour installer le client PasswordIQ, vous devez satisfaire aux exigences énumérées ci-dessous.
- Vous avez accès à un ordinateur qui répond aux exigences suivantes :
- Le système d’exploitation est Windows 10 ou une version plus récente (32 bits ou 64 bits), ou Windows Server 2016 ou une version plus récente;
- L’ordinateur utilise .NET Framework, version 4.7.2 ou plus récente. Si l’ordinateur utilise une version de .NET Framework qui est plus récente que 4.5.1, mais plus ancienne que 4.7.2, l’assistant d’installation vous installera la version 4.7.2. Cependant, si l’ordinateur utilise une version de .NET Framework qui est plus ancienne que 4.5.1, l’assistant d’installation ne s’exécutera pas;
- L’ordinateur possède au moins deux processeurs;
- L’ordinateur possède au moins 2 Go de mémoire vive;
- Le lecteur du système de l’ordinateur possède au moins 1 Go d’espace libre sur le disque dur;
- Le Contrôle du compte de l’utilisateur (UAC) est activé dans les paramètres de contrôle de compte d’utilisateur de l’ordinateur.
- Vous avez accès à une installation locale d’AD qui s’exécute sur Windows Server 2008 R2 ou une version plus récente.
Remarque : Si vous avez plusieurs domaines AD, vous devrez installer une instance différente du client pour chaque domaine. - Vous avez accès à un compte administrateur de domaine AD ou à un compte AD qui peut être élevé au rôle d’administrateur. Ce compte doit avoir les permissions de Réplication des modifications d’annuaire et de Réplication de toutes les modifications d’annuaire. Pour plus d’informations, consultez l’article de Microsoft Autorisation de réplication des modifications d’annuaire.
- Vous devez être un administrateur KMSAT ou avoir un rôle de sécurité avec un accès en lecture et enécriture à PasswordIQ.
Vulnérabilités
Le client PasswordIQ analyse chaque utilisateur pour identifier 11 vulnérabilités et signale les vulnérabilités trouvées à KMSAT.
Pour obtenir plus d’informations à propos de ces vulnérabilités, consultez le tableau ci-dessous.
| Vulnérabilité | Description |
| Mot de passe faible | Le mot de passe correspond à un mot de passe de notre liste de mots de passe faibles. Il est donc courant ou facile à deviner. Un cybercriminel a plus de chance de deviner le mot de passe et d’accéder au compte de l’utilisateur. |
| Mot de passe partagé | Le mot de passe correspond au mot de passe d’au moins un autre utilisateur de votre AD. Le mot de passe est probablement courant ou simple et un cybercriminel a plus de chance d’accéder au compte de l’utilisateur. |
| Mot de passe en texte clair | Le mot de passe est stocké dans votre AD avec un chiffrement réversible. Le mot de passe peut être déchiffré et un cybercriminel a donc plus de chance d’accéder au compte de l’utilisateur. |
| Mot de passe vide | Le mot de passe ne contient aucun caractère. L’utilisateur se connecte donc au compte en laissant le champ du mot de passe vide. N’importe qui peut accéder au compte de l’utilisateur, y compris des cybercriminels. |
| Chiffrement DES uniquement | Le compte utilise la norme de chiffrement des données (Data Encryption Standard, DES) pour chiffrer le mot de passe de l’utilisateur. La DES est une norme de chiffrement obsolète. En effet, elle chiffre les mots de passe avec une clé de 56 bits uniquement tandis que les méthodes de chiffrement plus récentes utilisent des clés plus longues qui sont plus sécuritaires. Un cybercriminel a plus de chance de deviner le mot de passe et d’accéder au compte de l’utilisateur. |
| Mot de passe piraté | Le mot de passe a été compromis lors d’une violation de données liée à votre compte AD. L’utilisateur utilise activement un mot de passe qui est accessible à des cybercriminels. |
| Mot de passe qui n’est pas obligatoire | Le compte ne requiert pas que l’utilisateur saisisse un mot de passe lorsqu’il se connecte. N’importe qui peut se connecter au compte, y compris des cybercriminels. |
| Mot de passe qui n’expire jamais | Le compte ne requiert pas que l’utilisateur modifie son mot de passe à une fréquence prédéterminée. L’utilisateur peut utiliser le même mot de passe à tout jamais, ce qui donne plus de temps à des cybercriminels pour trouver le mot de passe. |
| Hachage LM du mot de passe | Le compte utilise un hachage (LM) de gestionnaire de réseau local. Un hachage LM convertit le mot de passe en majuscules uniquement, limite le mot de passe à 14 caractères et sépare les 14 caractères en deux groupes de 7 caractères. Ce processus affaiblit le mot de passe et les cybercriminels ont plus de chance de le déchiffrer. |
| Clés AES manquantes | Le compte n’utilise pas les clés de la norme de chiffrement avancé (Advanced Encryption Standard, AES) pour chiffrer le mot de passe de l’utilisateur. Les clés AES chiffrent les mots de passe avec une clé de 128 bits ou de 256 bits. Les mots de passe qui utilisent les clés AES sont donc moins vulnérables aux attaques. |
| Authentification préalable manquante | Le compte ne requiert pas d’authentification préalable. Le compte peut donc se trouver non protégé des attaques par tentative de supposition de mots de passe. L’authentification préalable chiffre un horodatage de la demande de connexion à l’aide d’une clé basée sur le mot de passe de l’utilisateur. Ce processus protège contre les attaques par tentative de supposition de mots de passe, puisqu’il enregistre chaque tentative de connexion au compte. |
Pour apprendre comment résoudre ces vulnérabilités, consultez la section Résoudre les vulnérabilités ci-dessous.
Copier le jeton d’API
Pour connecter le client PasswordIQ à votre console KMSAT, vous aurez besoin de votre jeton d’API de produit.
Pour créer et copier votre jeton d’API, suivez les étapes suivantes :
- Connectez-vous à votre compte KMSAT.
- Cliquez sur l’adresse courriel indiquée dans le coin supérieur droit de la page et sélectionnez Paramètres du compte.
- Accédez à Intégrations du compte > API.
- Sous API de produit, cliquez sur Jeton d’API.
- Créez un jeton d’API de produit pour PasswordIQ. Pour plus d’informations, consultez notre article Comment créer un jeton d’API de produit.
- Cliquez sur l’icône papier située à côté du jeton d’API que vous avez créé. Vous aurez besoin de ce jeton pour terminer le paramétrage à la section Installer le client ci-dessous.
Installer le client
Avant d’installer le client PasswordIQ, veuillez vérifier que votre ordinateur répond aux exigences de la section Configuration requise ci-dessus. Puis, copiez votre jeton d’API en suivant les instructions de la section Copier le jeton d’API ci-dessus.
Pour installer le client, suivez les indications ci-dessous :
- Connectez-vous à votre compte KMSAT.
- Accédez à l’onglet PasswordIQ.
- À l’étape 2 des instructions de l’écran Bienvenue dans PasswordIQ, cliquez sur le lien Client PasswordIQ.
- Dans la fenêtre contextuelle, cliquez sur le bouton Oui.
- Cliquez sur le bouton Suivant.
- Après avoir lu la licence d’utilisation du logiciel, cliquez sur le bouton Accepter pour accepter les conditions d’utilisation.
- Si votre ordinateur utilise un serveur proxy pour accéder à Internet, cochez la case Utiliser un serveur proxy et remplissez les champs. Pour plus d’informations, consultez la capture d’écran et la liste ci-dessous. Si votre ordinateur n’utilise pas de serveur proxy pour accéder à Internet, passez cette étape.
- Adresse IP ou nom : Entrez l’adresse IP ou le nom du serveur proxy. Vous trouverez ces informations dans les paramètres de serveur proxy de votre ordinateur qui se trouvent sous Réseau et Internet > Proxy.
- Numéro de port : Entrez le numéro de port du serveur proxy. Vous trouverez ces informations dans les paramètres de serveur proxy de votre ordinateur qui se trouvent sous Réseau et Internet > Proxy.
- Cliquez sur le bouton Suivant.
- Dans le champ Interface de programmation d’application (API), collez le jeton d’API que vous avez copié dans la section Copier le jeton d’API ci-dessus.
- Cliquez sur le bouton Suivant.
- Dans les champs Nom d’utilisateur et Mot de passe, entrez les authentifiants de connexion d’un compte de service AD dont les permissions répondent aux exigences. Le client utilisera ce compte de service pour exécuter toutes les analyses programmées.
Remarque : Si la permission Se connecter en tant que service n’est pas attribuée à ce compte, le client attribuera automatiquement la permission au compte.
- Cliquez sur Suivant pour terminer l’installation.
Exécuter les analyses
Après avoir installé le client PasswordIQ, vous pouvez commencer à analyser votre AD pour détecter les vulnérabilités. Vous devrez exécuter votre première analyse à partir de votre client. Après votre première analyse, vous pouvez exécuter des analyses et créer un programme d’analyse à partir de votre tableau de bord. Pour plus d’informations, consultez la section Exécuter les analyses de notre article Comment utiliser le tableau de bord PasswordIQ.
Pour exécuter votre première analyse, veuillez suivre les indications suivantes :
- Ouvrez le client PasswordIQ.
- Dans la section Analyse rapide, cliquez sur le bouton Analyser maintenant.
- Une fois l’analyse terminée avec succès, cliquez sur le bouton Afficher le tableau de bord pour afficher les résultats de l’analyse dans KMSAT.
Afficher les résultats
Étant donné que vous ne pouvez afficher qu’une partie des résultats dans le client PasswordIQ, nous vous recommandons d’utiliser votre compte KMSAT pour consulter et analyser vos résultats. Pour accéder à votre tableau de bord, accédez à l’onglet PasswordIQ de votre console KMSAT.
Pour afficher les résultats de l’analyse, vous pouvez utiliser le tableau de bord par défaut ou créer de nouveaux tableaux de bord. Pour plus d’informations, consultez notre article Comment utiliser votre tableau de bord PasswordIQ
Utiliser les groupes intelligents pour les utilisateurs détectés
Vous pouvez utiliser les groupes intelligents pour inscrire les utilisateurs pour lesquels des vulnérabilités ont été détectées à des campagnes d’hameçonnage ou de formation. Par exemple, vous pourriez utiliser le critère Événement PasswordIQ pour inscrire les utilisateurs ayant un mot de passe faible au module de formation La création de mots de passe forts – Formation sur la sensibilisation à la sécurité.
Pour en apprendre davantage sur les groupes intelligents, lisez notre article Comment utiliser les groupes intelligents.
Résoudre les vulnérabilités
Après avoir pris connaissance des résultats, vous pouvez travailler avec vos utilisateurs pour résoudre les vulnérabilités liées aux mots de passe. Pour plus d’informations, consultez notre article Comment résoudre les vulnérabilités liées aux mots de passe.
Commentaires
0 commentaire
Cet article n'accepte pas de commentaires.