Cybersécurité des services informatiques (partie SISR)

L’essentiel

• Durcir : réduire la surface d’attaque et renforcer les réglages selon un référentiel, puis vérifier. Cycle : référentiel → socle de règles testables → maquette → audit → écarts corrigés ou acceptés par écrit → documentation.
• Référentiels, toujours cités avec version et date : normes (ISO/IEC 27001, ISO/IEC 27002:2022), guides (ANSSI-BP-028 v2.0 et ses quatre niveaux cumulatifs : minimal, intermédiaire, renforcé, élevé ; DAT-NT-25 pour les commutateurs ; CIS Benchmarks), standards (RFC 5425, 802.1X, WPA3, CVSS).
• Sûreté : énergie (test de batterie), environnement, redondance, sauvegardes, heure unique, capacité disque, configurations, cycle de vie ; chaque point avec sa preuve.
• Surface d’attaque : fermer ou désinstaller l’inutile, limiter l’écoute à l’adresse utile (127.0.0.1 pour un service local), vérifier aussi par un balayage autorisé ; aucun compte par défaut actif.
• SSH : un fichier ajouté dans sshd_config.d ; ListenAddress, PermitRootLogin no, PasswordAuthentication no, AllowGroups, MaxAuthTries 3, redirections à no, LogLevel VERBOSE.
• Noyau et comptes : paramètres réseau IPv4 dans /etc/sysctl.d/ ; masque 027 ; vidages mémoire interdits.
• Vulnérabilités : CERT-FR (avis ; alerte = faille exploitée ou critique) ; CVSS 4.0 (groupes de base, de menace E, environnementaux ; 7,0 à 8,9 élevée, 9,0 à 10,0 critique) ; priorité = gravité + exploitation + exposition. Délais de Vellacor : 24 heures (faille exploitée, équipement exposé), 7 jours (CVSS-B ≥ 7,0), fenêtre mensuelle sinon.
• Journaux : rsyslog vers le collecteur en TLS, port 6514, certificats des deux côtés, file d’attente ; 12 mois de conservation.
• Commutateurs : SSH v2 dans le VLAN 99, ni serveur web ni « type 7 » ; ports libres éteints dans le VLAN 998 de quarantaine, DTP coupé ; sécurité de port, surveillance DHCP, inspection ARP, PortFast + garde BPDU.
• Wi-Fi : WPA3-Entreprise pour le personnel ; ni mode de transition ni WPS ; un VLAN par réseau, invités isolés.
• Projet : exigences testables dès le cahier des charges, recette positive et négative, risques résiduels acceptés par écrit (homologation).

Les définitions clés

• Socle de sécurité : document interne qui fixe, pour une famille d’équipements, les réglages obligatoires, leur preuve et les exceptions admises.
• Compte par défaut : compte du fabricant, identique sur tous les exemplaires et publié dans la documentation ; essayé en premier par les attaquants.
• Rétroportage : correctif appliqué par la distribution à sa version du logiciel, sans changer le numéro de version d’origine.
• Surveillance DHCP : rejet des réponses DHCP arrivant par un port non déclaré de confiance ; sa table des baux sert à l’inspection ARP dynamique.

Commandes et méthodes

Réduire la surface : ss -tulpn → justifier chaque service → systemctl disable --now <service>, apt purge <paquet> → écoute limitée → vérifier dedans et dehors → consigner.

Valider SSH : session de secours ouverte, sshd -t (syntaxe), puis sshd -T (configuration effective).

Appliquer un correctif : dpkg -s <paquet> comparé au bulletin → instantané → apt update puis apt upgrade → needrestart -r l → vérification → ticket.

Centraliser les journaux : rsyslogd -N1 → redémarrage → message de logger retrouvé sur le collecteur → client sans certificat refusé.

Commutateur (type Cisco IOS) : ip dhcp snooping trust et ip arp inspection trust sur la liaison vers le serveur ; switchport port-security maximum 3 et violation restrict sur les postes.

Auditer : lynis audit system → avertissements d’abord → suggestions classées → écarts acceptés dans /etc/lynis/custom.prf (skip-test=SSH-7408:port) → fiche de conformité : 5 règles conformes sur 7, soit 5 ÷ 7 × 100 = 71,43 %.

Les 3 pièges à éviter

1. Juger un logiciel vulnérable sur son seul numéro : OpenSSH 9.6p1 peut être corrigé par rétroportage.
2. Activer la surveillance DHCP sans port de confiance : plus aucun poste n’obtient d’adresse ; maquette d’abord, puis site par site.
3. Prioriser sur le seul score CVSS : une faille à 6,5 exploitée sur le pare-feu exposé passe avant une faille à 9,3 sur une machine isolée.