Sécurité des navigateurs et sécurité des terminaux : leur place respective dans les architectures modernes

La sécurité du navigateur et celle des terminaux ne constituent pas des couches concurrentes : il s’agit de contrôles complémentaires qui interceptent différentes menaces à différents stades de la chaîne d’attaque. Une faille « zero-day » diffusée via un site d’actualités professionnelles compromis contourne totalement l’antivirus des terminaux basé sur les signatures, mais remote browser isolation (RBI) empêche le code malveillant d’atteindre le système d’exploitation. À l’inverse, si un collaborateur télécharge un programme d’installation infecté par un cheval de Troie via une clé USB personnelle, c’est la détection et la réponse au niveau des terminaux (EDR) qui intercepte la charge utile une fois celle-ci installée. Les architectes de sécurité qui ne conçoivent leur stratégie qu’en tenant compte d’une seule de ces couches laissent subsister des failles prévisibles que les attaquants exploitent systématiquement.

Ce que couvre réellement la sécurité des navigateurs

La sécurité du navigateur englobe les contrôles qui s'appliquent au sein même de la session de navigation, autour de celle-ci ou en amont : remote browser isolation, passerelles Web sécurisées, DLP intégré, application des règles via un proxy CASB, filtrage des URL, ainsi que des restrictions basées sur des politiques concernant les opérations de copier-coller, de téléchargement de fichiers et d'impression au cours des sessions de navigation.

Le modèle de menace en l’occurrence est la session de navigation elle-même. Envisagez le scénario suivant : un responsable des achats au sein d’une entreprise manufacturière se rend sur le portail d’un fournisseur de pièces détachées qui a été compromis par une injection JavaScript — un « watering hole » classique. Le site web utilisé par l’attaquant est souvent fréquenté par une communauté spécifique, telle qu’un secteur d’activité particulier, où l’objectif est de compromettre les utilisateurs en s’appuyant sur un intérêt commun — un schéma que le cadre MITRE ATT&CK classe comme une compromission web stratégique sous le code T1189. Le script injecté analyse discrètement le navigateur à la recherche de versions exploitables et, s’il en trouve, exécute du code.

Grâce à la technologie RBI, l'ensemble de cette séquence s'exécute au sein d'un conteneur isolé dans le cloud. Le code JavaScript malveillant s'exécute, mais jamais sur la machine réelle de l'utilisateur : il s'exécute sans danger dans une session jetable. Le terminal ne voit jamais la charge utile.

La sécurité du navigateur traite également de l’exfiltration de données pendant la session. Imaginez un prestataire qui ouvre un tableau de bord Salesforce via un navigateur sur un ordinateur portable personnel non géré, sélectionne une liste de clients de l’entreprise et tente de coller ces données dans un chatbot basé sur l’IA ouvert dans un autre onglet. Le système DLP au niveau du navigateur analyse cet événement du presse-papiers en temps réel et bloque le collage avant que les données ne quittent l’application d’entreprise.

Ce type d'accès initial via un navigateur est particulièrement préoccupant, car 41 groupes malveillants et familles de logiciels malveillants connus ont été observés utilisant la technique de « drive-by compromise » (T1189) dans la nature, ce qui en fait l'une des méthodes d'accès initial les plus répandues répertoriées dans le modèle MITRE ATT&CK.

Ce que couvre réellement la sécurité des terminaux

La sécurité des terminaux comprend l'EDR, les antivirus de nouvelle génération (NGAV), les pare-feu basés sur l'hôte, l'évaluation de l'état de sécurité des appareils, le chiffrement des disques, le contrôle des applications et la détection des menaces au niveau du système d'exploitation. Ces contrôles interviennent sur l'appareil une fois que le contenu y est déjà parvenu : ils inspectent les processus, les fichiers, les modifications du registre, les opérations en mémoire et les connexions réseau provenant du terminal.

Le référentiel MITRE ATT&CK recense un ensemble complet de techniques ciblant les terminaux après leur exécution. L’injection de processus (T1055) reste l’une des techniques les plus courantes observées dans l’analyse des logiciels malveillants, aux côtés de l’évasion des défenses et de la persistance, qui constituent les tactiques dominantes. La neutralisation des défenses (T1562) — utilisée pour désactiver les antivirus, supprimer les journaux et mettre hors service les agents EDR — figure régulièrement parmi les techniques les plus observées ces dernières années.

C’est là que la sécurité des terminaux prend tout son sens : un analyste financier travaillant dans une banque télécharge ce qui semble être un modèle Excel à partir d’un lien de partage de fichiers envoyé par un collègue. En réalité, le fichier contient une macro qui place une DLL dans le répertoire temporaire de l’utilisateur et tente une injection de processus. Le navigateur n’avait aucune raison de bloquer ce téléchargement, celui-ci provenant d’un domaine de stockage cloud autorisé. Mais la solution EDR détecte le processus fils suspect généré par Excel, signale la DLL non signée et met en quarantaine la charge utile avant qu’elle ne puisse s’implanter durablement.

La sécurité des terminaux détecte également le vol d’identifiants après une compromission. Dans le cadre de la catégorie « Identifiants provenant des navigateurs Web » (T1555.003) du modèle MITRE ATT&CK, les attaquants s’emparent des identifiants des navigateurs Web en lisant des fichiers spécifiques à ces derniers — les navigateurs Web enregistrent généralement les identifiants tels que les noms d’utilisateur et les mots de passe afin qu’il ne soit pas nécessaire de les saisir manuellement. Une fois que le logiciel malveillant a obtenu l’accès au terminal, il cible directement les magasins d’identifiants du navigateur. L’EDR est la couche qui détecte un processus n’appartenant pas au navigateur en train de lire la base de données SQLite « Login Data » de Chrome à 2 heures du matin et qui déclenche l’alerte.

Principales différences : sécurité des navigateurs et sécurité des terminaux

La distinction ne porte pas sur la question de savoir laquelle est « meilleure », mais sur le moment où chaque couche intercepte les menaces dans la chaîne d'attaque, sur les données de télémétrie qu'elle génère et sur les techniques MITRE ATT&CK qu'elle est en mesure de contrer.

Lorsque la sécurité du navigateur détecte ce que la sécurité des terminaux laisse passer

Le cas le plus flagrant est celui d’une faille « zero-day » diffusée via un site web légitime. Le Threat Intelligence Group de Google a recensé 75 vulnérabilités « zero-day » exploitées en milieu réel en 2024, et le nombre d’exploits ciblant les navigateurs est passé de 17 en 2023 à 11 en 2024 (GTIG, avril 2025). La diminution du nombre de vulnérabilités « zero-day » liées aux navigateurs ne signifie pas que le risque a disparu ; cela signifie que les attaquants se montrent plus sélectifs, réservant les exploits de navigateur à des cibles de grande valeur.

Imaginez un cabinet de services juridiques dont les avocats consultent régulièrement un site web consacré à la réglementation d’un secteur de niche. Un adversaire compromet ce site et y injecte un exploit « zero-day » ciblant une vulnérabilité du moteur de rendu Chromium pour laquelle aucun correctif n’existe encore. L’antivirus des terminaux du cabinet ne dispose d’aucune signature. Son moteur comportemental EDR pourrait finir par détecter l’activité post-exploitation, mais seulement après que l’exploit aura déjà permis l’exécution de code et commencé à établir une présence sur le système.

Grâce à l'isolation du navigateur, l'exploit s'exécute dans un conteneur éphémère et le terminal ne reçoit jamais le code malveillant. La page s'affiche sous forme de flux de pixels. Lorsque l'avocat ferme l'onglet, le conteneur est détruit, ainsi que tout ce que l'exploit a tenté de mettre en place. Aucune signature n'a été nécessaire, aucune heuristique comportementale n'a été invoquée : l'attaque a été neutralisée au niveau architectural.

La sécurité du navigateur détecte également les scénarios de fuite de données que les agents de sécurité des terminaux ne peuvent pas observer. Un membre de l’équipe marketing copie une feuille de calcul de segmentation de la clientèle à partir d’une application d’analyse interne et la colle dans un outil d’IA non autorisé s’exécutant dans un onglet de navigateur. Le système DLP des terminaux n’a aucune visibilité sur les événements liés au presse-papiers entre les onglets du navigateur. Une secure web gateway un système DLP intégré inspecte le contenu en temps réel et bloque le collage en fonction de la classification des données.

Lorsque la sécurité des terminaux détecte ce que la sécurité du navigateur laisse passer

Les contrôles de sécurité du navigateur se limitent aux canaux de trafic Web. Ils ne s'appliquent plus dès lors qu'un fichier a été enregistré sur le disque dur, qu'une clé USB a été branchée ou qu'une application autre que le navigateur établit une connexion réseau.

Prenons l'exemple d'un ingénieur logiciel qui télécharge un outil de développement à partir d'un référentiel communautaire. Le téléchargement passe le filtrage d’URL du SWG, car le référentiel est légitime et largement utilisé. Une fois installé, l’outil procède à l’installation parallèle d’une DLL malveillante qui utilise l’injection de processus T1055 pour s’intégrer dans un processus système de confiance. Il exécute ensuite T1555.003 afin de voler les identifiants stockés dans le profil de navigateur de l’ingénieur et les exfiltre via un canal C2 chiffré qui imite le trafic HTTPS légitime.

Toutes les étapes postérieures au téléchargement échappent aux contrôles de sécurité du navigateur. L'EDR est le système de contrôle qui détecte le chargement d'une DLL non signée, l'écriture anormale en mémoire dans un processus système et la connexion sortante inhabituelle émanant d'un processus qui ne présente normalement aucune activité réseau.

Selon le rapport « M Trends 2025 » de Mandiant, les exploits ont constitué le vecteur d’infection initial le plus courant, représentant 33 % des intrusions en 2024, tandis que le vol d’identifiants est passé à 16 %, devenant ainsi le deuxième vecteur le plus fréquent. Ces identifiants volés proviennent souvent de logiciels malveillants de type « infostealer » s’exécutant sur le terminal — des logiciels malveillants qui récupèrent les bases de données d’identifiants du navigateur, les cookies de session et les données de remplissage automatique. La sécurité des terminaux constitue la première ligne de défense contre les logiciels de vol d’informations, car le vol d’identifiants se produit au niveau du système d’exploitation ou du système de fichiers, et non au niveau de la session du navigateur.

Les contrôles au niveau des terminaux garantissent également la conformité des appareils. Avant qu’un ordinateur portable ne soit autorisé à se connecter aux ressources de l’entreprise, l’agent EDR vérifie que le système d’exploitation est à jour, que le pare-feu est activé et qu’aucun logiciel présentant une vulnérabilité connue n’est en cours d’exécution. La sécurité du navigateur ne permet pas de déterminer si le système d’exploitation sous-jacent est compromis par un rootkit.

Pourquoi la plupart des entreprises ont besoin des deux — et comment les mettre en correspondance avec le NIST CSF 2.0

Le NIST CSF 2.0 s’articule autour de six fonctions — Gouverner, Identifier, Protéger, Détecter, Réagir et Restaurer — qui, ensemble, offrent une vision globale de la gestion des risques liés à la cybersécurité. À elle seule, la fonction « Protéger » comprend 22 sous-catégories couvrant la gestion des identités, l’authentification, le contrôle d’accès, la sécurité des données, la sécurité des plateformes et la résilience de l’infrastructure technologique.

Aucune catégorie de produits ne couvre à elle seule l’ensemble des 22 sous-catégories. La sécurité des navigateurs traite des résultats liés à la sécurité des données en transit (PR.DS), de la gestion des accès pour les applications SaaS et Web (PR.AA), ainsi que de la sécurité des plateformes pour les tâches effectuées via un navigateur (PR.PS). La sécurité des terminaux couvre la sécurité des plateformes au niveau du système d’exploitation, les technologies de protection pour la détection au niveau de l’hôte, ainsi que la gestion des identités pour les magasins d’identifiants locaux.

Dans la pratique, le responsable de la sécurité des systèmes d’information (RSSI) d’un laboratoire pharmaceutique qui alignerait ses contrôles sur le NIST CSF 2.0 classerait l’isolation du navigateur et le filtrage de contenu Web (SWG) dans des sous-catégories couvrant respectivement le filtrage de contenu Web et la protection des données en transit, tandis qu’il classerait l’EDR dans des sous-catégories couvrant la détection des menaces sur les terminaux et la prévention des logiciels malveillants. La fonction « Protéger » consiste à mettre en place des mesures visant à préserver les actifs critiques, à minimiser les risques et à se préparer à d’éventuels incidents de cybersécurité — ce qui nécessite de combiner ces deux niveaux afin d’éviter tout angle mort systématique.

Le coût moyen mondial d’une fuite de données a atteint 4,88 millions de dollars en 2024, selon le rapport IBM « Cost of a Data Breach Report 2024 ». Par ailleurs, selon ce même rapport, les fuites impliquant des identifiants volés ou compromis ont été celles qui ont pris le plus de temps à être identifiées et maîtrisées, soit 292 jours. Une architecture à plusieurs niveaux combinant une solution DLP au niveau de la session de navigation (empêchant le copier-coller d’identifiants sur des pages de hameçonnage) et une solution EDR au niveau des terminaux (détectant l’accès des logiciels de vol d’informations aux bases de données d’identifiants du navigateur) s’attaque directement à ce vecteur d’attaque majeur sous deux angles différents.

Cadre décisionnel : répartition des investissements entre les couches

Toutes les organisations n'ont pas nécessairement besoin d'un niveau de protection identique dans ces deux couches. Voici un cadre pratique destiné aux architectes de sécurité :

Privilégiez les investissements en matière de sécurité des navigateurs lorsque :

Une part importante du personnel travaille à distance, sous contrat ou utilise des appareils non gérés — sur lesquels aucun agent de sécurité ne peut être installé. La technologie RBI et le proxy inverse assurent la sécurité sans contrôle des appareils.

Les applications SaaS constituent l'espace de travail principal, et le principal risque d'exfiltration de données réside dans les opérations de copier-coller, de téléchargement ou de capture d'écran à partir d'applications accessibles via un navigateur.

L'organisation doit autoriser l'accès de tiers à des applications sensibles. Un système de santé permettant à des partenaires de facturation externes d'accéder aux dossiers des patients via une session de navigateur utilise la technologie RBI pour garantir que les données ne transitent jamais par le terminal du partenaire.

Le modèle de menace accorde la priorité aux attaques de type « zero-day » et aux attaques par hameçonnage provenant du Web. Gartner prévoit que d’ici 2028, une organisation sur quatre déploiera au moins une technologie de navigateur d’entreprise sécurisé afin de combler des lacunes spécifiques en matière d’accès à distance et de protection des terminaux (Gartner, avril 2025).

Privilégiez les investissements dans la sécurité des terminaux lorsque :

Le personnel utilise principalement des appareils gérés et appartenant à l'entreprise, sur lesquels l'administrateur dispose d'une visibilité totale.

L'analyse des menaces met en évidence un risque élevé lié aux vecteurs de diffusion de logiciels malveillants en dehors du navigateur : clés USB, pièces jointes aux e-mails, programmes d'installation de logiciels issus de la chaîne d'approvisionnement.

Les exigences de conformité imposent le chiffrement au niveau des terminaux, la mise en œuvre d'un pare-feu sur l'hôte et l'évaluation de l'état de sécurité des terminaux (pratiques courantes dans les environnements PCI DSS et HIPAA).

Le SOC a besoin de données de télémétrie d'analyse approfondie — arborescences des processus, traces en mémoire, modifications du registre — pour mener des enquêtes sur les incidents et détecter les menaces.

Investissez dans l'intégration lorsque :

Ces deux couches existent, mais fonctionnent en silos. Une plateforme SSE qui unifie les fonctionnalités SWG, RBI, CASB et DLP avec la télémétrie des terminaux permet de créer un moteur de politiques unique. Lorsque le SWG détecte qu’un utilisateur accède à un domaine nouvellement enregistré, il peut simultanément déclencher le RBI pour cette session et demander à l’agent du terminal de renforcer la surveillance comportementale de l’appareil de cet utilisateur.

En 2024, 44 % des exploits « zero-day » visaient des produits d'entreprise (GTIG, avril 2025), et les attaquants enchaînent de plus en plus souvent un accès initial via un navigateur avec une phase d'exploitation ultérieure au niveau des terminaux. La détection d'une attaque en chaîne nécessite que les données de télémétrie issues de ces deux couches soient corrélées au sein d'une même console.

Comment la télémétrie au niveau du navigateur et celle au niveau des terminaux fonctionnent-elles conjointement ?

Les attaques les plus dangereuses touchent ces deux couches. Les recommandations de détection de MITRE ATT&CK concernant les attaques de type « Drive-by Compromise » illustrent cette nécessité d’intégration : elles préconisent la mise en évidence de preuves corrélées de comportements anormaux au niveau du navigateur et du réseau — telles que des requêtes suspectes vers des ressources externes et des schémas d’injection de scripts —, suivies de processus enfants atypiques, de modifications de la mémoire ou d’injections de processus, ainsi que de l’implantation inattendue de fichiers sur le terminal.

Cette chaîne de détection ne peut pas fonctionner si les données télémétriques du navigateur et celles du terminal sont hébergées dans des tableaux de bord distincts, sans aucune corrélation. Une secure web gateway de nouvelle génération secure web gateway le premier signal : la session de navigation d’un utilisateur a récupéré une ressource JavaScript obfusquée à partir d’un domaine nouvellement enregistré. L’agent du terminal génère le deuxième signal : quelques minutes plus tard, le processus du navigateur a généré un processus fils inattendu qui a écrit un fichier dans le répertoire temporaire. Une fois corrélés, ces signaux confirment qu’une compromission de type « drive-by » est en cours. Pris isolément, chacun de ces signaux pourrait être considéré comme un simple bruit de fond.

C'est précisément pour cette raison que le secteur s'oriente vers des architectures SSE unifiées qui fusionnent les politiques relatives au Web, au cloud et aux terminaux. Lorsqu'un architecte en sécurité peut rédiger une seule politique DLP qui s'applique de manière cohérente à une session de navigateur, à une connexion via une API SaaS et à un transfert de fichiers sur un terminal géré, les lacunes en matière de couverture diminuent considérablement.