Mauvaise configuration de sécurité et services exposés

Une mauvaise configuration de sécurité est l'une des vulnérabilités web les plus répandues (OWASP Top 10 n° 5). Elle se produit lorsque les paramètres de sécurité sont laissés avec des valeurs par défaut non sécurisées, incomplets ou mal configurés à quelque niveau que ce soit de la pile.

De nombreux appareils et logiciels sont livrés avec des identifiants par défaut (admin/admin, admin/password). Les attaquants les recherchent systématiquement. Modifiez toujours les identifiants par défaut immédiatement après le déploiement. Des outils comme Shodan répertorient les appareils dont les identifiants par défaut sont exposés sur Internet.

Chaque port ouvert constitue une surface d'attaque. Principe d'exposition minimale : désactivez tous les services qui ne sont pas nécessaires, fermez les ports inutilisés et n'exécutez que ce qui est requis. Effectuez un audit avec :

Les serveurs web qui exposent le contenu des répertoires révèlent la structure des fichiers, les fichiers de sauvegarde, les fichiers de configuration et le code source. Désactivez cette fonction dans nginx/Apache :

Les messages d'erreur détaillés en production exposent les traces d'exécution, les schémas de base de données, les chemins de fichiers et les versions des logiciels. Les attaquants utilisent ces informations pour leur reconnaissance. Consignez les erreurs côté serveur et affichez des messages génériques aux utilisateurs.

Les panneaux d'administration (phpMyAdmin, Jenkins, tableau de bord Kubernetes, Grafana) ne doivent jamais être exposés à Internet sans authentification ni restrictions d'IP. Les attaquants recherchent spécifiquement /admin, /phpmyadmin, :8080/manage, etc.

Des compartiments S3 publics et des conteneurs de stockage cloud ont exposé d'énormes quantités de données sensibles. Veillez toujours à :

• Définir les compartiments comme privés par défaut
• Activer des politiques de compartiment qui bloquent l'accès public
• Utiliser la gestion de la posture de sécurité du cloud (CSPM) pour effectuer des audits continus

L'absence d'en-têtes de sécurité laisse les applications exposées. Vérifiez la présence des éléments suivants :

• Strict-Transport-Security (HSTS)
• Content-Security-Policy
• X-Content-Type-Options: nosniff
• X-Frame-Options: DENY

Outil : securityheaders.com

Exécuter des bibliothèques, des frameworks ou des versions d'OS obsolètes comportant des CVE connues constitue une mauvaise configuration. Les attaquants utilisent des analyseurs de vulnérabilités pour identifier les versions exactes et les comparer aux exploits publics correspondants. La gestion des correctifs et l'analyse des dépendances sont essentielles.

Définir Access-Control-Allow-Origin: * sur des API sensibles permet à n'importe quel site web d'effectuer des requêtes interorigines authentifiées. Ne renvoyez la valeur de l'en-tête Origin que pour des origines explicitement approuvées. N'utilisez jamais de caractères génériques sur des points de terminaison authentifiés.

Les clés d'API, les mots de passe et les clés privées intégrés aux dépôts de code source constituent une mauvaise configuration critique. On les trouve souvent lors de recherches sur GitHub. Utilisez des variables d'environnement, des gestionnaires de secrets (Vault, AWS Secrets Manager) et des contrôles avant validation pour empêcher les validations accidentelles.

Les mauvaises configurations de sécurité comprennent les identifiants par défaut, les ports ouverts, les interfaces d'administration exposées, la liste des répertoires, les erreurs détaillées, le stockage cloud public, l'absence d'en-têtes de sécurité, les logiciels obsolètes et les secrets dans le code. Défense : guides de sécurisation, analyse automatisée de la configuration (CSPM, Lynis) et listes de contrôle avant déploiement.