Surveillance de l'activité des serveurs Windows : voir et contrôler chaque ouverture de session en temps réel

Pour les équipes qui gèrent des environnements Active Directory sur site et hybrides, la visibilité est un défi. On ne peut pas défendre ce que l'on ne voit pas. La surveillance de l'activité Windows Server montre ce qui se passe en direct : qui est connecté, depuis quelle machine, avec quel type de session et depuis combien de temps. Elle aide à repérer les attaques externes et les menaces internes, et à vérifier l'efficacité du durcissement de l'AD. C'est aussi une exigence majeure des cyberassureurs et des référentiels de conformité.

Mais la surveillance seule ne suffit pas. Sans alertes, un problème peut passer inaperçu jusqu'à ce qu'il soit trop tard pour l'arrêter. Il faut aussi une vue complète de chaque session, y compris les contrôles d'accès appliqués et la validation ou non de la MFA par l'utilisateur. Cet article explique comment UserLock permet de surveiller en temps réel l'activité des utilisateurs Active Directory, avec les contrôles et les outils de réponse nécessaires pour agir sur ce que vous voyez.

Windows enregistre déjà l'activité de connexion dans le journal d'événements de sécurité. Avec un peu de temps ou une bonne configuration PowerShell, vous pouvez reconstituer les tentatives de connexion réussies et échouées, les déconnexions, les verrouillages et déverrouillages, les reconnexions et déconnexions RDP, et plus encore.

Les journaux Windows natifs indiquent ce qui s'est passé, pas ce qui se passe en ce moment. La surveillance des utilisateurs Active Directory est particulièrement difficile dans les environnements hybrides.

Obtenir une vue unique des utilisateurs connectés à un instant donné implique généralement d'assembler un SIEM, des scripts personnalisés et une bonne part de rapprochements manuels.

Lire notre guide sur l'audit des ouvertures de session Windows.

Pour les équipes qui gèrent l'AD, une surveillance efficace consiste à savoir qui a accès et ce que chacun fait de cet accès, en temps réel.

Concrètement, cela signifie :

• Vérifier l'identité de l'utilisateur avant l'ouverture de la session grâce à l'authentification multifacteur (MFA).

• Contrôler l'accès avec des règles contextuelles (lieu, horaire, machine, nombre de sessions simultanées).

• Voir l'activité en temps réel sur tous les types de session, depuis un seul tableau de bord.

• Réagir immédiatement en verrouillant ou en fermant une session à distance.

UserLock se place au niveau de la couche d'authentification AD, par-dessus votre AD existant. Il fonctionne avec votre infrastructure actuelle pour enregistrer chaque ouverture de session et chaque événement de session en temps réel, sur tous les types de session (poste de travail, terminal, interactive, IIS, VPN, SaaS et UAC).

La console UserLock indique qui est connecté, depuis quelles machines, depuis quand et pour combien de temps. Comme la MFA et les règles d'accès contextuelles s'appliquent avant chaque ouverture de session, vous pouvez prouver que ces règles sont actives et fonctionnent. Les règles par type de session permettent d'adapter les contrôles au niveau de risque. Par exemple, une session RDP peut nécessiter des contrôles plus stricts et plus fréquents qu'une ouverture de session locale sur un poste de travail.

La limitation des sessions simultanées ajoute une couche de sécurité supplémentaire. Lorsque chaque utilisateur ne peut avoir qu'une seule session ouverte à la fois, les identifiants partagés et les mots de passe volés sont plus faciles à détecter.

UserLock permet aux administrateurs de définir les critères qu'ils considèrent comme un risque « critique ». Cela limite le bruit : les administrateurs ne reçoivent des alertes que sur ce qui compte vraiment.

Toute activité qui sort de ces paramètres est signalée comme risquée, ce qui permet aux administrateurs de voir quels comptes nécessitent leur attention.

Lorsque UserLock détecte un événement suspect, il alerte l'administrateur par fenêtre contextuelle ou par e-mail. Par exemple :

• Échecs de tentatives de connexion

• Tentatives de connexion à des comptes par défaut

• Activité en dehors des heures de travail définies

À partir de l'alerte, l'équipe IT peut réagir instantanément. Elle peut verrouiller ou fermer la session à distance, ou bloquer complètement l'utilisateur.

Avertissez les utilisateurs en temps réel de tous les événements de connexion impliquant leurs identifiants. De nombreuses violations initiées par hameçonnage ou d'autres techniques d'ingénierie sociale reposent sur l'obtention et l'utilisation abusive des identifiants d'un utilisateur pour accéder à des systèmes sécurisés. Pour aider les utilisateurs à protéger les accès (et les ressources) qui leur sont confiés, cette alerte en temps réel leur permet d'évaluer eux-mêmes la situation et d'informer leur service informatique afin qu'il traite toute activité frauduleuse.

UserLock permet à toute l'équipe IT de gérer facilement l'activité des utilisateurs. Grâce à la console UserLock et à l'application web UserLock, l'équipe IT peut consulter et gérer les sessions des utilisateurs depuis n'importe quel ordinateur.