Durcissement des Systèmes : Introduction (fr-FR)
Qu'est-ce que le Durcissement des Systemes ?
Le durcissement des systèmes (on parle aussi de Hardening) est le processus qui permet de corriger les faiblesses et les failles de sécurité des systèmes. Le durcissement des systèmes est réalisé en appliquant les derniers correctifs et mises à jour ainsi que le suivi des procédures et des politiques spécifiques visant à réduire la surface d'attaque du système.
Pourquoi faire du Durcissement des Systemes et quels en sont les benefices ?
Si vous posez des questions sur le niveau de sécurité et les solutions utilisées, on vous répondra sûrement qu'il y a des pare-feux, des proxy/reverse-proxy, des IDS/IPS, des VPN, une DMZ, des anti-virus ...
Bref, principalement des solutions de sécurité périmétriques.
Beaucoup d’entreprises ne connaissent pas le durcissement des systèmes. Et généralement, quand ils en ont entendu parler, ils pensent soit que c'est trop complexe à mettre en œuvre, soit qu'ils se sentent suffisamment en sécurité pour ne pas l'utiliser (solutions de sécurité périmétriques).
Il faut prendre en compte les hypothèses suivantes:
- Que se passera-t-il si quelqu'un pénètre dans votre infrastructure ?
- Que se passera-t-il si l'un de vos employés a un comportement malveillant ?
- Êtes-vous sûr que tous vos systèmes sont configurés de la même façon et surtout sont bien configurés ?
Tous les systèmes ont des faiblesses et des vulnérabilités, le durcissement des systèmes contribuera à atténuer les menaces externes et internes, mais aussi les erreurs de configuration.
Le durcissement des systèmes vous aidera à :
- Augmenter le niveau de sécurité de vos infrastructures
- Améliorer la disponibilité de vos infrastructures
- Être conformes aux meilleures pratiques
- Améliorer les performances de vos infrastructures
- Éviter les erreurs de configuration
A quel moment et sur quel perimetre faire du Durcissement des Systemes ?
Sur les environnements Microsoft, le Durcissement des Systèmes est effectué majoritairement par des paramètres de stratégies locales et de domaine (GPO).
Le Durcissement des Systèmes doit être effectué dès l'installation du système et être intégré dans le processus de déploiement du système.
Prenons un exemple très simple:
Vous avez mis en place du durcissement des systèmes par GPO pour vos postes de travail. Cette GPO de Durcissement est liée sur l'Unité Organisationnelle qui contient vos postes de travail. Vous intégrez un nouveau poste de travail dans votre domaine mais vous oubliez de le déplacer dans l'Unité Organisationnelle dédiée, il reste donc dans le conteneur par défaut (Computers) et seules les GPO liées au niveau du domaine s'appliquent. Votre poste de travail n'est pas durci et donc est vulnérable ...
Il est donc important de faire le durcissement dès le déploiement du système.
Les outils Microsoft Deployment Toolkit (MDT) et System Center Configuration Manager (SCCM) permettent d'intégrer le Durcissement du Système dans le processus de déploiement.
Le Durcissement des Systèmes doit être effectué sur tout le périmètre. Dans un environnement Microsoft, le durcissement doit être effectué sur les contrôleurs de domaine, les serveurs, les postes d'administration et les postes de travail. Il faut bien garder en tête que le niveau de sécurité est celui du maillon le plus faible.
Est-ce qu'il y a des inconvenients a mettre en place du Durcissement des Systemes ?
Bien évidement il n'y a pas que des avantages à la mise en place de durcissement des systèmes.
Une augmentation du niveau de sécurité apporte généralement des contraintes.
Tout d'abord il convient de réaliser des tests en environnement de pré-production avant la mise en place du durcissement, notamment si vous avez des solutions anciennes ou qui sont installées sur des systèmes anciens. C'est aussi valable si vous avez des systèmes hétérogènes (Unix/Linux, Apple, ...).
Il faut aussi faire attention à ce que le durcissement ne vienne pas écraser des configurations faites par l'applicatif lors de son installation. L'objectif est d'augmenter le niveau de sécurité et non de créer des incidents de production.
Il ne faut pas non plus que le durcissement ait un impact négatif sur l'utilisation du système d'information faite par les utilisateurs et les équipes d'administration. Si le niveau de sécurité est trop contraignant, les utilisateurs perdront du temps, seront moins efficaces et tenteront d'essayer de contourner ces nouvelles règles de sécurité.