Configuration par défaut et dérive

Des systèmes laissés en configuration d’usine (services inutiles, comptes par défaut) élargissent la surface d’attaque et échouent aux audits de conformité.

Ce que ça coûte

Estimation de l’intensité par type de conséquence, sur une échelle de cinq. Ce sont des ordres de grandeur destinés à arbitrer, pas des chiffres à reporter dans un budget.

Financier2/5Exploitation3/5Légal3/5

Solutions de mitigation

Les outils gratuits du manuel qui réduisent ce risque. Aucun ne l’annule à lui seul : c’est leur combinaison, et l’usage qu’on en fait, qui compte.

Lynis

Licence : GNU GPL v3

Outil d'audit de durcissement pour systèmes Unix/Linux : passe en revue des centaines de contrôles et fournit un indice de durcissement avec des recommandations concrètes.

OpenSCAP

Licence : GNU LGPL v2.1

Boîte à outils de conformité SCAP permettant d'évaluer et d'appliquer des référentiels (CIS, DISA STIG...). Génère des rapports d'audit exploitables et automatisables.

SCAP Security Guide (ComplianceAsCode)

Licence : BSD 3-Clause

Ensemble de contenus de durcissement prêts à l'emploi (profils CIS, ANSSI, PCI-DSS) pour de nombreux systèmes, à utiliser avec OpenSCAP pour l'audit et la remédiation.