Renforcement du système d’exploitation : correctifs, configuration de référence et référentiels CIS

Le renforcement de la sécurité des OS est le processus qui consiste à réduire la surface d’attaque d’un système d’exploitation en supprimant les fonctionnalités inutiles, en appliquant des configurations de sécurité et en maintenant le système à jour. Un système d’exploitation fraîchement installé n’est pas sécurisé par défaut : il privilégie la convivialité et active des services et fonctionnalités dont de nombreux utilisateurs peuvent avoir besoin, mais qui sont superflus pour la plupart des serveurs d’entreprise. Chaque service activé, port ouvert et identifiant par défaut constitue un point d’entrée potentiel pour les attaquants. Le renforcement de la sécurité ferme systématiquement ces points d’entrée avant la mise en production du système.

La gestion des correctifs est le processus qui consiste à identifier, tester et appliquer les mises à jour logicielles corrigeant les vulnérabilités de sécurité. Un système non corrigé est l’une des cibles les plus faciles à exploiter : de nombreuses compromissions majeures (Equifax en 2017, WannaCry en 2017) ont exploité des vulnérabilités connues et déjà corrigées que les organisations n’avaient tout simplement pas appliquées. Un processus mature de gestion des correctifs définit : l’identification des correctifs (abonnement aux avis des fournisseurs et aux flux CVE), la classification de la criticité (Emergency/Critical/High/Medium), les délais de test (correctifs critiques sous 48 à 72 heures dans de nombreux référentiels) et la vérification du déploiement.

Chaque service en cours d’exécution constitue un vecteur d’attaque potentiel. Le renforcement de la sécurité des OS commence par un audit des services : répertoriez tous les services en cours d’exécution, identifiez leur fonction et désactivez ceux qui ne sont pas nécessaires au rôle du système. Sur Windows Server, des rôles tels que Print Spooler, Remote Registry et LLMNR sont fréquemment désactivés sur les serveurs qui n’en ont pas besoin. Sous Linux, des services comme rpcbind, cups (impression) et avahi (mDNS) sont des candidats habituels. Le principe est le suivant : si vous n’en avez pas besoin, désactivez-le.

Les logiciels installés qui ne sont pas utilisés représentent un risque inutile. Chaque package introduit des vulnérabilités potentielles : même les logiciels bien entretenus présentent des CVE. Le renforcement de la sécurité des OS comprend : la suppression des environnements d’exécution de langages dont les applications n’ont pas besoin (Python, Perl, Ruby sur les serveurs Web), la suppression des outils de développement (compilateurs et débogueurs sur les systèmes de production) et la suppression des packages d’applications par défaut fournis avec les images d’OS (serveurs FTP, clients telnet, agents SNMP). Pour la même raison, les images de conteneurs doivent utiliser des images de base minimales (Alpine, scratch, distroless).

Les comptes par défaut dont les noms d’utilisateur et les mots de passe sont connus font partie des premières cibles des attaquants. Mesures de durcissement : désactiver le compte Administrator intégré (Windows) et le renommer s’il n’est pas possible de le désactiver ; renommer le compte root ou restreindre la connexion SSH de root (Linux) ; modifier tous les mots de passe par défaut des appliances, des bases de données et des applications avant leur mise en production ; supprimer les comptes invités ; et désactiver les comptes de service qui ne nécessitent pas de connexion interactive. Un outil d’analyse comme Nessus signalera les identifiants par défaut comme des problèmes critiques.

Des autorisations sécurisées du système de fichiers appliquent le principe du moindre privilège sur l’OS. Les processus des serveurs Web ne doivent pas disposer d’un accès en écriture aux répertoires qu’ils servent. Les comptes d’application ne doivent pas pouvoir lire les fichiers de configuration contenant des identifiants. Sous Linux, les binaires setuid et setgid doivent être audités, car ils s’exécutent avec des privilèges élevés, quelle que soit la personne qui les lance. Sous Windows, les autorisations NTFS et l’audit des DACL garantissent que les répertoires sensibles (ruche SAM, copies shadow et magasins d’identifiants) ne sont accessibles qu’aux processus autorisés.

Les CIS Benchmarks sont des guides de durcissement gratuits, élaborés par la communauté, pour des systèmes d’exploitation, des applications et des plateformes cloud spécifiques. Chaque benchmark contient des centaines de recommandations de configuration précises, accompagnées de leur justification, d’étapes de correction et de commandes d’audit. Les CIS Benchmarks utilisent deux niveaux de profil : niveau 1 — configurations de base, largement applicables, qui ne restreignent pas les fonctionnalités ; niveau 2 — configurations avancées destinées aux environnements hautement sécurisés, qui peuvent nuire à la facilité d’utilisation. Il existe des benchmarks pour Windows Server, Ubuntu/RHEL, macOS, Docker, Kubernetes, AWS, Azure, GCP, les navigateurs et les bases de données.

Une configuration de référence de sécurité est un ensemble documenté de paramètres de configuration que chaque système d’une catégorie de rôles doit respecter. Les configurations de référence sont appliquées au moyen des objets de stratégie de groupe (GPO) sous Windows, de playbooks Ansible, de cookbooks Chef ou de manifestes Puppet sous Linux. Les outils de gestion de la configuration permettent la détection des écarts : si un système s’écarte de la configuration de référence approuvée (par exemple, si un service est réactivé), des alertes automatisées et une correction automatique peuvent le remettre en conformité. La norme NIST SP 800-128 fournit des recommandations sur la gestion de la configuration axée sur la sécurité pour les systèmes fédéraux.

Le durcissement ne consiste pas uniquement à prévenir les incidents : la journalisation et la supervision sont tout aussi importantes. Configurez les stratégies d’audit pour capturer : les événements d’authentification (réussites et échecs), l’élévation de privilèges, l’accès aux objets (lectures de fichiers sensibles), la création de processus (avec les arguments de la ligne de commande) et les événements de connexion réseau. Les journaux doivent être transférés vers un SIEM centralisé en temps quasi réel afin que les attaquants locaux disposant de droits d’administrateur ne puissent pas effacer leurs traces en supprimant les journaux d’événements. Conservez les journaux pendant au moins 12 mois, conformément à la plupart des référentiels de conformité.

La vérification manuelle des benchmarks de durcissement sur chaque système n’est pas réaliste à grande échelle. Les outils d’analyse de conformité automatisent cette vérification. OpenSCAP (à code source ouvert) applique du contenu SCAP aux systèmes Linux et génère des rapports HTML indiquant les vérifications réussies, échouées et non applicables. Nessus inclut des stratégies de benchmark CIS. La Microsoft Security Compliance Toolkit évalue les systèmes Windows par rapport aux configurations de référence Microsoft. Ces outils sont exécutés selon une planification régulière (hebdomadaire ou mensuelle), et les écarts déclenchent des tickets de correction dans le système de gestion des changements.

Dans les domaines Windows, les objets de stratégie de groupe (GPO) constituent le principal mécanisme d’application et de contrôle des configurations de référence de sécurité à grande échelle. Des modèles de sécurité (fichiers .inf prédéfinis ou personnalisés) peuvent être importés dans les GPO afin de configurer simultanément des centaines de paramètres : stratégie de compte, stratégie d’audit, attribution des droits utilisateur, options de sécurité et valeurs du Registre. Le composant logiciel enfichable Security Configuration and Analysis et l’outil de ligne de commande secedit comparent les paramètres actuels à un modèle défini et génèrent des rapports de conformité. Les GPO s’appliquent au démarrage et à intervalles réguliers, ce qui garantit que les écarts par rapport à la configuration de référence sont automatiquement corrigés.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que le durcissement de l’OS réduit la surface d’attaque en désactivant des services, en supprimant des logiciels, en sécurisant les comptes et en appliquant des autorisations selon le principe du moindre privilège ; que la gestion des correctifs comble les vulnérabilités connues grâce à des SLA fondés sur la criticité ; et que les CIS Benchmarks fournissent des recommandations de configuration de niveau 1 (base) et de niveau 2 (avancé), appliquées au moyen d’outils automatisés d’analyse de conformité. Nous allons maintenant étudier la gestion des appareils mobiles et les stratégies BYOD.