Etude et Mise en place de Templates de Serveurs UNIX durcis

Le problème des failles répétitives détectées avant la production 

Toute entreprise est exposée au risque de perte ou de détournement de l’information ; vol de support informatique, interception de communication entre autres. Ainsi la protection des informations sensibles doit être une préoccupation de l’ensemble des acteurs de l’entreprise. Il est important que chacun garde en esprit la sensibilité et la vulnérabilité des informations. Pour être efficace, la politique de protection des informations doit s’appuyer principalement sur la mise en place de moyens techniques. Un système Linux est comparable à un labyrinthe avec plein de passages. Chaque passage représente une connexion inconnue et des ports d’entrées avec différents niveaux de sécurité. Les différents moyens de communication (protocoles, programmes, …) sont à l’origine de failles de sécurité. En effet, pour communiquer, ils ouvrent des voies de communication qui, si elles ne sont pas bien contrôlées, sécurisées, peuvent représenter une porte d’entrée à des intrusions et des attaques. – 10 – Ces vulnérabilités peuvent être exploitées par un attaquant à des fins malicieuses, causant ainsi des dommages à une organisation. Chaque organisation aujourd’hui, fait face à de nombreuses menaces de ce type et doit donc faire preuve d’une bonne gestion de ses risques pour s’assurer une protection efficace. Pour se protéger contre les vulnérabilités, l’entreprise se doit d’avoir un moyen de détection rapide des failles et une bonne gestion du patching. On note que souvent ce sont les configurations par défaut des systèmes d’exploitation utilisés pour accentuer plus sur la convivialité, les communications et les fonctionnalités que sur le renforcement des serveurs, qui sont sources de failles. Ces configurations par défauts ne garantissent pas une sécurité fiable au niveau des serveurs. C’est pourquoi avant qu’un service ne passe en production, l’entreprise lui fait passer un certain nombre de test de sécurité notamment le scan de vulnérabilité. Et on note qu’au cours des scans des différents serveurs la détection des failles répétitives c’està-dire les mêmes types de failles reviennent presque tout le temps et ceci cause des inconvénients en terme d’efficacité dont les plus importants sont les suivants :  Les failles détectées doivent être corrigées donc si ce sont les mêmes failles qui se répètent sur chaque serveur il y aura forcément une perte de temps à les corriger.  Les failles sont souvent détectées tardivement souvent juste avant que le serveur ne passe en production. De ces inconvénients ressort la nécessité pour l’entreprise de corriger cette anomalie afin d’avoir un fonctionnement plus optimal. 

Besoin de standardisation de l’installation de serveurs

 Le serveur en entreprise est un ordinateur plus puissant autonome qui va s’occuper du partage des fichiers, de faire des sauvegardes des données régulièrement, d’autoriser ou non l’accès à un ordinateur au réseau d’entreprise, gérer les mails, la connexion Internet et la sécurité informatique. Les serveurs sont souvent stockés dans une pièce dédiée et ventilée, dont l’accès est restreint à l’administrateur ou parfois installés sur des machines virtuelles. Et on retrouve le plus souvent les types de serveurs suivants :  Serveur de fichiers : Partage de vos données, synchronisation de vos documents, photos, vidéos, musiques … avec management des droits d’accés par utilisateurs / groupes.  Serveur d’impression : Utilisation partagée de vos équipements d’impressions : imprimantes, photocopieuses, scanners, traceurs, impressions à distance.  Serveur d’applications et de bases de données : Utilisation simultanée de vos applications sur des postes locaux ou distants.  Serveur de messagerie et de travail collaboratif : Plateforme Microsoft Office, Google Apps…  Serveurs virtuels, et virtualisation d’applications.  Serveur Web : Hébergement de vos sites et de vos applications internet/intranet.  Gestion de vos réseaux : Utilisateurs, droits d’accès et d’utilisation, domaines, groupes de travail, active directory, VPN, TSE, RDP, sécurité des accès et protection des intrusions et virus, gestion de vos sauvegardes…. Cependant il y a un souci sur les serveurs qu’on note au niveau du choix mais aussi de la configuration parce que il n’y a pas une standardisation au niveau de l’installation. Cela veut dire que chacun a sa manière de faire et ceci peut créer un certain nombre de problème notamment sur les cas suivants :  En fonction du besoin il peut y avoir plusieurs choix sur le type de serveur à utiliser pour répondre à un besoin spécifique. De ce fait il n’y aura pas une conformité au niveau des choix.  En fonction des besoins, certaines fonctionnalités peuvent être omises à l’installation. Dans ce cas en production si une autre personne doit travailler sur ce même serveur elle peut installer d’autres fonctionnalités qui peuvent amener des brèches sur le serveur.  Aussi du fait que chacun a sa manière de configurer il peut y avoir un conflit d’idées lors de l’exploitation car la personne qui installe le serveur peut être différente de celle qui l’utilise ultérieurement. Du fait des cas listés ci-dessous il est nécessaire pour l’entreprise de standardiser le choix et l’installation de ses serveurs. 

L’objectif 

L’objectif ici est de faire en sorte que les serveurs ne présentent aucun type de failles ou le stricte minimum possible avant d’aller en production. Et qu’il y ait une harmonisation au niveau du choix mais aussi de la configuration des serveurs que l’entreprise va utiliser. 4. La solution : Hardening de templates de serveurs. Donc pour répondre à ces besoins on va mettre en place des templates de serveurs UNIX qui seront utilisés lors des projets ultérieurs en fonction des besoins. Ceci permettra ainsi d’éviter les difficultés liées à la non standardisation de l’installation. En outre, sur ces templates, seront appliquées toutes les règles de sécurité, pour non seulement éviter d’avoir les mêmes failles mais aussi résoudre le problème avant le passage en production. Pour la partie sécurisation des serveurs, nous utiliseront un outil de scan de vulnérabilité et de conformité pour détecter et corriger les failles et éventuelles failles. Ces outils peuvent scanner tout type d’application ainsi que tout équipement possédant un IP notamment les serveurs, les switchs, routeurs, téléphones IP, robots de backup et imprimantes. L’outil de scan de vulnérabilités utilisé dans notre cas s’appelle QUALYS. Et les Templates choisis dans ce projet sont les suivants :  Redhat 7.2 avec agents sauvegarde et de supervision  Redhat 7.2 avec agents sauvegarde et de supervision + MySQL  Redhat 7.2 avec agents sauvegarde et de supervision + Oracle  Redhat 7.2 avec agents sauvegarde et de supervision + Apache  Redhat 7.2 avec agents sauvegarde et de supervision + Tomca