Manuel de produit PasswordIQ

Disponible pour les clients disposant d’un abonnement de niveau Diamant et SAT Advanced, PasswordIQ de KnowBe4 vous permet de contrôler les vulnérabilités des mots de passe de vos utilisateurs. Le client PasswordIQ recherche les vulnérabilités dans les paramètres liés aux mots de passe de votre Active Directory (AD). Il compare les mots de passe de vos utilisateurs à ceux corrompus et faibles de diverses listes et bases de données. Le client communique ensuite avec la console KnowBe4 pour afficher les résultats de votre recherche sur votre tableau de bord.

Pour activer PasswordIQ, accédez à vos Paramètres du compte et naviguez jusqu'à Compte Intégrations > PasswordIQ. Ensuite, cochez la case Activer PasswordIQ.

Remarque : pour utiliser PasswordIQ, vous aurez besoin de la version sur site d’AD. PasswordIQ n’est pas compatible avec Microsoft Entra ID.

Consultez les sections ci-dessous pour savoir comment installer le client, exécuter les analyses et afficher vos résultats.

Important : PasswordIQ n’affichera ni ne communiquera jamais les mots de passe de vos utilisateurs. Dans AD, tous les mots de passe sont chiffrés et stockés dans un format haché, de sorte que PasswordIQ et KnowBe4 ne puissent pas accéder aux versions non hachées.

Exigences

Pour installer le client PasswordIQ, vous devez satisfaire les exigences ci-dessous :

Important : Nous vous recommandons d’installer le client sur un autre ordinateur que celui que vous utilisez comme contrôleur de domaine. Le processus d’analyse peut générer un trafic réseau important et une utilisation élevée du processeur. Pour obtenir de meilleurs résultats, installez le client sur une machine virtuelle ou un serveur qui peut fonctionner en continu.

Vous avez accès à un ordinateur qui satisfait les exigences suivantes :
- Système d’exploitation exécutant Windows 10 ou version ultérieure (version 32 bits ou 64 bits) ou Windows Server 2016 ou version ultérieure.
- L’ordinateur utilise la version 4.7.2 ou une version ultérieure de .NET Framework.
  
  Remarque : si votre ordinateur ne l’utilise pas, l’Assistant d’installation installera la version 4.7.2 pour vous.
- L’ordinateur possède au moins 4 Go de RAM.
- Le lecteur système de l’ordinateur possède au moins 1 Go d’espace disponible sur le disque dur.
- Le contrôle de compte d’utilisateur (UAC) est activé dans les paramètres UAC de l’ordinateur.
Vous avez accès à un AD sur sites qui s’exécute sur Windows Server 2008 R2 ou version ultérieure.

Remarque : si vous avez plusieurs domaines AD, vous devez installer une instance différente du client pour chaque domaine.
Vous avez accès à un administrateur de domaine AD ou un compte AD qui peut être élevé au rang d’administrateur. Ce compte doit disposer des autorisations Réplication des modifications d’annuaire et Réplication de toutes les modifications d’annuaire. Pour plus d’informations, consultez l’article Autorisation Réplication des modifications d’annuaire Autorisation Réplication des modifications d’annuaire (le lien s’ouvre dans une nouvelle fenêtre) de Microsoft.
Vous êtes administrateur KnowBe4 ou disposez d’un rôle de sécurité avec un accès en Lecture/Écriture à PasswordIQ.

Vulnérabilités

Le client PasswordIQ recherche 11 vulnérabilités sur chaque utilisateur et signale celles qu’il a trouvées à la console KnowBe4. De plus, notre rapport Score de risque v2 utilise ces vulnérabilités comme facteurs de risque pour calculer votre score de risque. Pour en savoir plus, consultez notre Guide sur le moteur SmartRisk™ et le score de risque

Pour en savoir plus sur ces vulnérabilités, consultez le tableau ci-dessous :

Vulnérabilité	Description	Niveau de sécurité de Score de risque
Mots de passe faibles	Le mot de passe apparaît dans la liste des mots de passe faibles. Il est courant ou facile à deviner. Il est très probable qu’un cybercriminel devine le mot de passe et accède au compte de l’utilisateur.	Moyen
Mots de passe partagés	Le mot de passe est identique à celui d’un autre utilisateur dans votre AD. Le mot de passe est probablement courant ou simple. Il est donc très probable qu’un cybercriminel accède au compte de l’utilisateur.	Moyen
Mots de passe en clair	Le mot de passe est stocké avec un chiffrement réversible dans votre AD. Le mot de passe peut être déchiffré. Il est donc très probable qu’un cybercriminel accède au compte de l’utilisateur.	Élevé
Mots de passe vides	Le mot de passe ne contient aucun caractère. L’utilisateur se connecte donc au compte en laissant le champ de mot de passe vide. N’importe qui peut accéder au compte de l’utilisateur, y compris les cybercriminels.	Élevé
Chiffrement DES uniquement	Le compte utilise le protocole DES (Data Encryption Standard) pour chiffrer le mot de passe de l’utilisateur. DES est une méthode de chiffrement obsolète qui chiffre le mot de passe uniquement avec une clé 56 bits, alors que les méthodes plus récentes utilisent des clés plus longues et plus sécurisées. Il est très probable qu’un cybercriminel devine le mot de passe et accède au compte de l’utilisateur.	Moyen
Mots de passe corrompus	Le mot de passe a été exposé à une violation de données liée à votre compte AD. L’utilisateur utilise activement un mot de passe accessible aux cybercriminels.	Élevé
Mots de passe non requis	Le compte ne requiert pas que l’utilisateur saisisse son mot de passe pour se connecter. N’importe qui peut se connecter au compte, y compris les cybercriminels.	Élevé
Mots de passe sans date d’expiration	Le délai d’expiration du mot de passe de ces comptes est fixé à zéro. En raison de ce paramètre, même si la case Mots de passe sans date d’expiration n’est pas cochée dans les propriétés de l’utilisateur, le mot de passe n’a pas de date d’expiration. PasswordIQ vérifie les paramètres d’expiration des mots de passe dans les politiques de domaine de votre organisation, les politiques détaillées relatives aux mots de passe et les propriétés de l’utilisateur. Les mots de passe qui ne sont pas modifiés ont souvent plus de chances d’être devinés par les cybercriminels.	Moyen
Mots de passe LM Hash	Le compte utilise un hachage LAN Manager (LM). Un hachage LM convertit le mot de passe en majuscules, le limite à 14 caractères et le divise en deux groupes de sept caractères. Ce processus affaiblit le mot de passe et les cybercriminels sont plus susceptibles de le déchiffrer.	Moyen
Chiffrement AES	Le compte n’utilise pas le protocole AES (Advanced Encryption Standard) pour chiffrer le mot de passe de l’utilisateur. AES chiffre les mots de passe avec une clé de 128 bits ou 256 bits. Les mots de passe qui utilisent un chiffrement AES sont donc moins vulnérables aux attaques.	Moyen
Pré-authentifications manquantes	Le compte ne requiert pas de pré-authentification. Il ne sera donc pas forcément protégé contre les attaques par déchiffrement de mot de passe. La pré-authentification chiffre un horodatage de la demande de connexion à l’aide d’une clé reposant sur le mot de passe de l’utilisateur. Ce processus protège contre les attaques de déchiffrement de mot de passe, car il enregistre chaque tentative de connexion au compte.	Moyen

Pour savoir comment corriger ces vulnérabilités, consultez notre section Résoudre vos vulnérabilités ci-dessous.

Copier votre jeton d’API

Pour connecter le client PasswordIQ à votre console KnowBe4, vous avez besoin de votre jeton d’API de produit.

Pour créer et copier votre jeton d’API, procédez comme suit :

Connectez-vous à votre console KnowBe4.
Accédez à l’onglet PasswordIQ.
Cliquez sur Configurer le client PasswordIQ.
Dans le champ Nom du jeton, saisissez le nom de votre choix.
Sélectionnez la Date d’expiration du jeton.
Sélectionnez un Utilisateur.
Cliquez sur Créer un jeton.
Dans la fenêtre contextuelle Jeton de l’API produit qui s’ouvre, cliquez sur le jeton de l’API PasswordIQ pour le copier. Vous aurez besoin de ce jeton pour terminer cette configuration dans la section Installer le client ci-dessous.

Important : Une fois la fenêtre fermée, vous ne pourrez plus accéder à ce jeton.
Cliquez sur OK.

Installer le client

Pour installer le client, procédez comme suit :

Connectez-vous à votre console KnowBe4.
Accédez à l’onglet PasswordIQ.
Dans l’étape 2 des instructions Bienvenue dans PasswordIQ, cliquez sur le lien Client PasswordIQ.
Dans la fenêtre contextuelle, cliquez sur Oui.
Cliquez sur Suivant.
Après avoir lu le contrat de licence logicielle, cliquez sur le bouton Accepter pour accepter les conditions générales.
Si votre ordinateur utilise un serveur proxy pour accéder à Internet, cochez la case Utiliser un serveur proxy et remplissez les champs. Pour en savoir plus, consultez la capture d’écran et la liste ci-dessous. Si votre ordinateur n’utilise pas de serveur proxy pour accéder à Internet, ignorez cette étape.
1. Adresse IP ou nom : saisissez l’adresse IP ou le nom du serveur proxy. Ces informations sont disponibles dans les paramètres de serveur proxy de votre ordinateur, sous Réseau et Internet > Proxy.
2. Numéro de port : saisissez le numéro de port du serveur proxy. Ces informations sont disponibles dans les paramètres de serveur proxy de votre ordinateur, sous Réseau et Internet > Proxy.
Cliquez sur Suivant.
Dans le champ Jeton d’API (Application Programming Interface), collez le jeton d’API que vous avez copié dans la section Copie de votre jeton d’API ci-dessus.
Cliquez sur Suivant.
Dans les champs Nom d’utilisateur et Mot de passe, saisissez les identifiants de connexion d’un compte de service AD qui satisfait les autorisations requises. Le client utilisera ce compte de service pour exécuter toutes les analyses planifiées.

Remarque : si ce compte ne dispose pas de l’autorisation Ouvrir une session en tant que service, le client attribuera automatiquement cette autorisation au compte.
Cliquez sur Suivant pour achever l’installation.

Exécuter des analyses

Après avoir installé le client PasswordIQ, vous pouvez démarrer l’analyse de votre AD à la recherche de vulnérabilités. Vous devrez exécuter votre première analyse depuis votre client. Ensuite, vous pourrez exécuter les suivantes et créer un planning d’analyses sur votre tableau de bord. Pour en savoir plus, consultez la section Exécuter des analyses de notre article Guide relatif au tableau de bord PasswordIQ.

Remarque : Pour protéger les informations de votre mot de passe, les données recueillies par PasswordIQ pendant les analyses ne sont jamais stockées de manière permanente sur le disque dur de votre ordinateur. Elles sont stockées temporairement sur la mémoire vive (RAM) de votre ordinateur.

Pour exécuter votre première analyse, procédez comme suit :

Ouvrez le client PasswordIQ.
Dans la section Analyse rapide, cliquez sur le bouton Analyser maintenant.

Remarque : PasswordIQ propose des paramètres supplémentaires auxquels vous pouvez accéder en cliquant sur l’icône en forme d’engrenage dans l’angle supérieur droit de la fenêtre. Dans l’onglet Avancé, vous avez la possibilité d’inclure deux vulnérabilités facultatives à votre analyse : Chiffrement AES non activé ou Mots de passe sans date d’expiration.
Une fois l’analyse terminée avec succès, cliquez sur le bouton Afficher le tableau de bord pour afficher les résultats de votre analyse dans la console KnowBe4.

Paramètres

Dans votre client PasswordIQ, vous pouvez personnaliser vos paramètres en cliquant sur l’icône en forme d’engrenage située dans l’angle supérieur droit du client. Une fenêtre modale s’ouvre où figurent deux onglets : Général et Avancé. Pour en savoir plus sur ces onglets, consultez les sous-sections ci-dessous.

Général

Dans l’onglet Général, vous pouvez modifier deux sections : Jeton d’API et Serveur proxy. Ces sections comprennent des paramètres que vous avez définis lorsque vous avez lancé le client PasswordIQ pour la première fois.

Dans le champ Jeton d’API, vous pouvez modifier le jeton d’API provenant de votre console KnowBe4 que vous avez saisi. Pour enregistrer vos modifications, cliquez sur Valider le jeton d’API.

Dans le champ Serveur proxy, vous pouvez modifier le serveur proxy que votre ordinateur utilise pour se connecter à Internet. Cochez la case Utiliser un serveur proxy si elle est décochée et saisissez le nom ou l’adresse IP que vous souhaitez utiliser. Dans le champ Numéro de port, saisissez le numéro de port correspondant à votre serveur proxy. Pour enregistrer vos modifications, cliquez sur Valider les paramètres proxy.

Avancé

Dans l’onglet Avancé, vous pouvez modifier deux sections : Contrôleur de domaine personnalisé et Unités organisationnelles personnalisées. Dans la section Contrôleur de domaine personnalisé, vous pouvez choisir le contrôleur de domaine que vous voulez faire analyser par PasswordIQ en saisissant le nom de l’ordinateur ou l’adresse IP correspondante dans le champ Contrôleur de domaine personnalisé.

Dans la section Unités organisationnelles personnalisées, vous pouvez sélectionner une ou plusieurs Unités organisationnelles dans le menu déroulant afin que PasswordIQ les analyse.

Afficher vos résultats

Vous ne pouvez voir qu’une partie limitée des résultats depuis le client PasswordIQ. Nous vous recommandons donc d’utiliser votre console KnowBe4 pour afficher et analyser vos résultats. Pour afficher votre tableau de bord, accédez à l’onglet PasswordIQ de votre console KnowBe4.

Pour afficher les résultats de votre analyse, vous pouvez utiliser le tableau de bord par défaut ou créer des tableaux de bord personnalisés. Pour en savoir plus, consultez notre article Guide relatif au tableau de bord PasswordIQ.

Utiliser des groupes intelligents pour les utilisateurs détectés

Vous pouvez utiliser les groupes intelligents pour inscrire à des campagnes d’hameçonnage ou de formation les utilisateurs pour lesquels des vulnérabilités ont été détectées. Par exemple, vous pouvez utiliser le critère Événement PasswordIQ pour inscrire les utilisateurs possédant des mots de passe faibles au module de formation Créer des mots de passe sécurisés - Formation sur la sensibilisation à la sécurité.

Pour en savoir plus sur les groupes intelligents, consultez notre article Présentation des groupes intelligents.

Résoudre vos vulnérabilités

Après avoir examiné vos résultats, vous pouvez travailler avec vos utilisateurs pour résoudre les vulnérabilités de leurs mots de passe. Pour en savoir plus, consultez notre article Remédier aux vulnérabilités des mots de passe.

Partager