Publié dans Global Security Mag, avril 2020,

17 points essentiels pour sécuriser vos infrastructures informatiques sensibles exposées sur internet

L’année 2020, au même titre que l’année 2019, connait de fortes séries de cyberattaques très médiatisées. Plusieurs grandes organisations dans le monde ont déjà été confrontées à des situations de cyberattaque et aucune d’entre elles ne souhaite être confrontée à la fuite d’informations ou encore à la perte de ressources.

Les organisations doivent mettre en œuvre des mesures de sécurité complètes afin de protéger les données des clients contre la hausse et la diversification des menaces. Ainsi, pour un renforcement de la sécurité de vos infrastructures sensibles exposées sur internet et en complément des recommandations techniques et méthodologiques de l’ANSSI (Agence nationale de la sécurité des systèmes d’information), voici un ensemble de mesures qui visent à tenir compte des risques qui peuvent affecter la disponibilité, l’intégrité et la confidentialité de votre patrimoine informationnel et que chaque organisation pourra adapter en fonction de son contexte ainsi que de ses enjeux.

Principes de conception d’infrastructures exposées à internet

Disponibilité

1) Redonder ses serveurs : une simple panne ne doit pas provoquer d’interruption de service visible pour les utilisateurs et les bascules doivent être rapides. La plupart des équipements doivent avoir des capacités de redondance intégrées (alimentation, carte réseau…).

2) L’architecture doit être définie de manière à garantir le niveau de performance attendu par les utilisateurs. De ce fait, le choix d’un équipement réseau ou sécurité doit être effectué uniquement s’il réussit les tests de charge et les tests de robustesse. Par ailleurs, et si possible, aucun équipement réseau et sécurité ne devrait être virtualisé afin de garantir un débit important. Ce qu’il faut retenir c’est que ce sont les infrastructures ayant une architecture basée sur le niveau de performance attendu qui ont les meilleurs résultats en terme de disponibilité.

Confidentialité & intégrité

3) La segmentation entre les différents domaines de confiance (DMZ, administration…) devrait être assurée à travers la mise en œuvre de VLAN, interconnectés via des firewalls. Le principe d’architecture N-Tiers doit être respecté lorsque les applications le supportent. Par ailleurs, chaque métier/département devrait disposer d’un VLAN sur la DMZ du Firewall par service utilisé.

4) Le cloisonnement et la traçabilité des flux échangés entre les différentes zones devrait être assuré via des firewalls incluant une protection contre les intrusions ainsi qu’une détection (intégration d’une fonction IPS et IDS).

5) La confidentialité des flux d’administration peut être assurée à travers l’implémentation du principe d’administration en « out of band » (qui évite la paralysie et améliore la Cyber-Résilience), avec des VLAN d’administration systématiquement calqués sur les VLAN de production. En outre, les protocoles choisis pour assurer l’administration des composants doivent intégrer systématiquement du chiffrement (ex. SSH).

6) L’intégrité des flux doit être assurée via les mécanismes intrinsèques des différents protocoles mis en œuvre (protocole TCP, tunnel sécurisé…) ainsi que certaines fonctions de contrôle inhérentes aux firewalls (ex : anti-spoofing).

7) Établir une virtualisation sur les serveurs du back office : cette virtualisation sur ces composants permettrait d’obtenir un niveau de segmentation adéquat pour les environnements mutualisés, en garantissant un cloisonnement total entre les différents services et entre les flux des utilisateurs utilisant le même service.

8) Dans la mesure du possible, les fonctions de filtrage/cloisonnement du Système d’Information doivent être dissociées des fonctions de sécurité avancées (proxy, antimalware, détection d’intrusion, WAF, etc) et ne pas être portées par les mêmes composants physiques.

9) Enfin, des tests de charge doivent être systématiquement réalisés pour les composants firewalls et répartiteurs de charge. Préconisations d’exploitation d’une infrastructure exposée à internet

Services et procédures

10) Disposer d’une procédure ou d’un service de gestion des configurations techniques, en particulier sur la sauvegarde et la restauration en cas d’incident ou de retour arrière.

11) La gestion des flux transitant entre les différentes zones doit être gérée par une procédure de suivi et de validation des échanges ou un service de suivi et de validation des échanges régissant les différents flux. Pour conserver une certaine homogénéité, les ouvertures de flux doivent être réalisées avec les mêmes processus et les mêmes outils.

12) Disposer d’une procédure ou d’un service de gestion des changements, et plus particulièrement pour la qualification et l’application des patchs de sécurité sur les composants de l’infrastructure. Les demandes d’évolutions (ex : montée de version d’un logiciel) ainsi que la mise à disposition de nouveaux services communautaires doivent également être prises en compte.

• Les utilisateurs doivent être avertis environ 5 jours ouvrés avant la réalisation des mises à jour. Il est également important de négocier une plage de maintenance avec les différents utilisateurs (le vendredi à 23h par exemple). Les utilisateurs peuvent être notifiés via des mailing lists et dans certains cas, les services concernés peuvent fournir des explications complémentaires à leurs utilisateurs par téléphone.

[…]