Sécurité et limites
Un agent de sécurité est une cible de choix : il tourne en permanence, avec des privilèges élevés, sur toutes les machines. Voici comment Lynxis se défend, quelles règles il s'impose, et où s'arrête honnêtement son périmètre.
Les défenses appliquées à Lynxis lui-même, pas seulement au poste.
L'interface n'est joignable que depuis la machine elle-même. Une page web malveillante ouverte dans le navigateur ne peut ni lui donner d'ordre, ni même l'atteindre. Si vous choisissez de l'exposer sur le réseau, un jeton d'accès devient obligatoire et rien n'est servi sans lui.
Les fichiers de l'agent sont réservés aux administrateurs dès leur création, et ces droits sont réappliqués à chaque démarrage. Sans cela, un utilisateur ordinaire pourrait modifier ce à quoi l'agent fait confiance.
Le code n'est jamais stocké en clair, et le blocage après plusieurs erreurs survit à un redémarrage : arrêter l'agent ne remet pas le compteur à zéro. Une clé de sécurité physique peut remplacer le code, et une clé copiée est refusée.
L'agent se protège dès son démarrage contre les tentatives d'injection, et surveille en continu qu'on ne l'a ni modifié, ni mis sous observation, ni désarmé.
Chaque mise à jour est vérifiée avant installation, et peut être signée cryptographiquement. Quelqu'un qui prendrait le contrôle de la distribution ne pourrait pas pour autant faire accepter une version falsifiée.
Chaque coupure est inscrite dans un journal qu'on ne peut que compléter : quoi, quand, à l'initiative de qui, avec quel résultat. Une action automatique n'est jamais une boîte noire.
Automatiser une coupure réseau sur un poste de travail n'est acceptable que si l'automatisme est lui-même borné.
Une action automatique n'est déclenchée que par un signal confirmé : correspondance sur une liste de renseignement, verdict d'analyse mémoire, signal décisif. Un soupçon lève une alerte, il ne coupe pas le réseau.
Un limiteur de débit empêche une liste de blocage trop large de créer une tempête de règles. Un binaire système n'est jamais isolé du réseau. Un renseignement qui n'a pas été rafraîchi depuis deux semaines ne suffit plus à bloquer une IP.
Chaque isolation est listée avec sa raison et se retire en un clic. Une isolation temporaire expire toute seule. Un faux positif se transforme en règle d'ignorance scopée plutôt qu'en désactivation globale.
La supervision d'un poste de travail touche à des données personnelles. Prévenir les utilisateurs et respecter le cadre applicable n'est pas une option juridique de plus : c'est une condition d'usage du produit.
Ce que Lynxis ne fait pas, et pourquoi. Aucune de ces lignes n'est un oubli : ce sont des choix, dont découle l'absence de driver.
L'analyse à l'ouverture de fichier exige un pilote minifiltre. C'est le rôle de Microsoft Defender, que Lynxis pilote et surveille au lieu de le concurrencer.
Tout reste en espace utilisateur. C'est ce qui permet de n'installer aucun driver, et c'est aussi ce qui en fixe la limite.
Pas de DPI en ligne, pas de full-PCAP. L'activité par destination repose sur les connexions et les compteurs d'octets du système, pas sur l'inspection du contenu.
Mettre un paquet en pause en attendant une décision de l'utilisateur exige un callout driver. Lynxis fait du blocage puis autorisation, pas de la demande à la volée.
Un attaquant déjà administrateur peut désactiver les sources de journalisation du système. C'est de la détection, pas de la prévention inviolable, et le dire fait partie du produit.
Le score de risque d'une destination n'est pas un verdict. C'est précisément pourquoi seuls les signaux confirmés autorisent une action automatique.
Lynxis est un outil de sécurité légitime, destiné aux machines et aux réseaux que vous êtes autorisé à administrer. Les contrôles actifs du scanner web envoient de vraies requêtes de test et ne doivent viser que des cibles pour lesquelles vous disposez d'une autorisation écrite.
La supervision de postes de travail peut impliquer des données personnelles. Prévenez les utilisateurs concernés et respectez le cadre légal applicable, notamment le RGPD et la charte informatique en vigueur dans votre organisation.