Comment connecter en toute sécurité une machine Windows qui NE PEUT PAS avoir d'antivirus (en raison des exigences du temps réel) à Internet via une machine Windows qui est protégée ?

J'utiliserais un pare-feu matériel pour protéger la machine à la fois de l'accès Internet et de l'accès intranet. Un pare-feu matériel vous apportera fiabilité et rapidité.

Je commencerais par bloquer tout le trafic de la machine, puis je n'autoriserais que les adresses IP, les ports, les protocoles et les directions nécessaires au fonctionnement de la machine. Par exemple, s'il n'y a pas de navigation sur Internet, je n'ajouterais pas de règle pour ouvrir le port 80. Si vous avez un administrateur distant, j'autoriserais les ports pour VNC à partir de son adresse IP. De même pour le FTP. De cette façon, si vous ne parlez pas depuis la bonne adresse IP, vous êtes bloqué. De même, si quelqu'un essaie de sortir sur la machine et de vérifier son courrier électronique, il est bloqué.

Je mettrais également en place ces règles pour le reste de l'intranet. Je ne créerais des règles que pour permettre la communication avec les ordinateurs/ports/protocoles nécessaires. Ainsi, si une machine de l'intranet est compromise, il lui sera plus difficile de se propager à la machine non protégée.

En fait, cette machine serait dans une configuration DMZ.

J'aurais aussi Spybot Search & Destroy y SpywareBlaster et immuniser la machine. Cela ne coûte rien en temps réel, car il ne s'agit pas d'une analyse, mais d'un simple paramètre de configuration. Tout ce qu'il fait, c'est de mettre sur liste noire les contrôles ActiveX et les mauvais sites dans le fichier Hosts. Cela peut empêcher une machine d'être infectée en empêchant l'exécution de certains éléments indésirables. Bien entendu, vous devez autoriser la machine à effectuer des mises à jour via le pare-feu matériel. Vous pouvez le faire manuellement ou mettre ces sites sur liste blanche.

Le pare-feu que vous choisissez doit pouvoir vous alerter en cas de problème. Je marquerais certaines règles pour voir si quelqu'un tente de faire quelque chose qu'il ne devrait pas faire (c'est-à-dire vérifier le courrier électronique, surfer sur le Web, quelqu'un qui tente d'accéder au port FTP (surtout s'il est laissé sur les ports par défaut)). J'utilise un Zywall qui possède toutes les caractéristiques ci-dessus, mais il existe de nombreuses sociétés. Une chose que vous devez prendre en compte est que les pare-feu matériels ont des spécifications sur le débit. Vous voulez obtenir un pare-feu qui peut traiter l'information assez rapidement.

Les utilisateurs distants pourraient également se connecter par VPN à certains pare-feu, ce qui éviterait d'exposer publiquement certains éléments comme VNC ou FTP.

En outre, certains logiciels VNC vous permettent d'utiliser des certificats pour vous authentifier. Cela peut être utile car cela permet une meilleure sécurité, car il n'y a pas de nom d'utilisateur/mot de passe à deviner, et l'utilisateur final peut exécuter le logiciel et il fonctionne tout simplement (moins de choses à retenir pour l'utilisateur final). Sinon, je recommande d'utiliser Keepass et de lui faire générer un mot de passe à haute entropie qui serait difficile à casser par les machines.

J'espère que ces conseils vous aideront.

(De plus, comme il s'agit d'une machine critique pour l'entreprise, je créerais une image du système pour que, si quelque chose se produisait, vous puissiez revenir à un état connu et bon).