Sécurisation de site Internet : réduire les risques avant l’incident
Aucun site connecté à Internet ne peut être considéré comme totalement à l’abri d’un incident.
Bots automatisés.
Tentatives de connexion.
Failles dans des extensions.
Mots de passe compromis.
Logiciels obsolètes.
Mauvaises permissions.
Comptes inutilisés.
Les attaques ne concernent pas uniquement les grandes entreprises ou les sites très connus.
Une grande partie des attaques est automatisée et recherche simplement des sites vulnérables.
À l’Agence des Nouveaux Médias, nous travaillons à réduire cette surface d’exposition en combinant audit, mises à jour, configuration, contrôle des accès, sauvegardes et surveillance.
Commencer par connaître l’existant
Avant d’ajouter des outils de sécurité, il faut comprendre le site.
Nous examinons selon le contexte :
- CMS et version ;
- version PHP ;
- plugins ou extensions ;
- thème ou squelettes ;
- comptes administrateurs ;
- hébergement ;
- permissions ;
- sauvegardes ;
- services externes ;
- exposition de certaines interfaces.
L’objectif est d’identifier les risques prioritaires plutôt que d’empiler des mécanismes sans comprendre leur utilité.
Maintenir les composants
Un CMS ancien ou une extension abandonnée peut devenir une porte d’entrée.
Nous cherchons donc à identifier :
- composants obsolètes ;
- mises à jour disponibles ;
- extensions abandonnées ;
- dépendances inutiles ;
- incompatibilités.
Une mise à jour importante doit naturellement être préparée et sauvegardée.
Découvrir notre accompagnement de maintenance
Supprimer ce qui ne sert plus
Chaque composant supplémentaire augmente potentiellement la surface à maintenir.
Ancien plugin.
Compte administrateur oublié.
Thème inutilisé.
Script historique.
Interface de test laissée accessible.
Ce qui n’existe plus n’a plus besoin d’être sécurisé.
Le nettoyage des composants inutiles constitue donc une mesure de sécurité à part entière.
Sécuriser les accès
Nous pouvons examiner :
- comptes administrateurs ;
- niveaux de droits ;
- mots de passe ;
- authentification renforcée lorsque pertinente ;
- accès serveur ;
- accès FTP/SFTP/SSH ;
- comptes anciens.
Une personne ne devrait disposer que des droits nécessaires à son activité.
Et lorsqu’elle quitte l’organisation, ses accès doivent pouvoir être retirés.
WordPress
WordPress est extrêmement répandu et fait donc l’objet d’un grand nombre de tentatives automatisées.
La sécurité d’un site WordPress dépend notamment :
- du cœur ;
- des extensions ;
- du thème ;
- des comptes ;
- de l’hébergement ;
- de la configuration.
Nous pouvons auditer et renforcer un site existant sans considérer qu’installer une extension de sécurité suffit à résoudre tous les risques.
Découvrir notre expertise WordPress
SPIP
SPIP doit lui aussi être maintenu et correctement configuré.
Nous pouvons notamment contrôler :
- version ;
- plugins ;
- droits ;
- accès à l’espace privé ;
- environnement PHP ;
- fichiers ;
- développements spécifiques.
Notre connaissance de SPIP permet d’intégrer la sécurité dans la maintenance générale du site.
Permissions et fichiers
Des permissions excessives peuvent augmenter les risques.
Nous vérifions lorsque nécessaire :
- droits d’écriture ;
- propriétaires des fichiers ;
- répertoires sensibles ;
- fichiers de configuration ;
- fichiers laissés après une migration ou une sauvegarde.
Une archive contenant une copie complète du site ne devrait par exemple pas rester publiquement téléchargeable.
HTTPS
Le HTTPS protège les échanges entre le navigateur et le serveur.
Nous vérifions notamment :
- certificat ;
- redirection HTTPS ;
- expiration ;
- éventuels contenus mixtes.
Il constitue une mesure indispensable, mais ne protège pas à lui seul un site contre une compromission.
Sauvegardes
La sauvegarde constitue une composante essentielle de la stratégie de sécurité.
Elle peut permettre de restaurer des données après :
- erreur ;
- mise à jour défaillante ;
- corruption ;
- incident de sécurité.
Mais il faut éviter que toutes les sauvegardes soient accessibles depuis le système compromis.
En savoir plus sur nos sauvegardes et notre supervision
Journaux
Lorsqu’un incident survient, les journaux peuvent aider à comprendre ce qui s’est passé.
Ils peuvent également permettre de repérer certains comportements inhabituels.
Le niveau de journalisation doit rester adapté au besoin, à la sécurité et aux règles applicables aux données concernées.
Limiter les tentatives automatisées
Selon l’environnement, plusieurs mécanismes peuvent être utilisés pour réduire certaines attaques automatisées :
- limitation de tentatives ;
- protection de formulaires ;
- filtrage ;
- règles serveur ;
- outils spécialisés.
Nous cherchons à éviter les protections qui bloquent davantage les utilisateurs légitimes que les attaquants.
Formulaires et spam
Les formulaires publics sont régulièrement ciblés par des robots.
Nous pouvons utiliser différentes protections :
- honeypots ;
- contrôles côté serveur ;
- limitation de fréquence ;
- validation des données ;
- solutions anti-spam adaptées.
L’objectif est de limiter les abus tout en conservant un formulaire agréable pour l’utilisateur réel.
Développements spécifiques
Une fonctionnalité développée sur mesure doit également prendre en compte :
- validation des entrées ;
- permissions ;
- authentification ;
- accès aux données ;
- requêtes ;
- fichiers envoyés ;
- appels externes.
La sécurité doit être intégrée au développement plutôt qu’ajoutée uniquement après la mise en production.
Données sensibles
Plus les données traitées sont sensibles ou importantes, plus les mesures doivent être adaptées.
Nous cherchons notamment à limiter :
- données collectées inutilement ;
- accès trop larges ;
- copies incontrôlées ;
- secrets présents dans le code ;
- clés API exposées.
Une donnée que l’application n’a pas besoin de posséder n’a pas besoin d’être protégée par elle.
Clés API et secrets
Les applications modernes utilisent de nombreux services externes.
API.
Emailing.
IA.
Paiement.
Stockage.
Les clés permettant d’accéder à ces services doivent être protégées et leurs permissions limitées autant que possible.
Une clé exposée publiquement dans un dépôt de code ou une page web peut représenter un risque important.
Supervision
La surveillance peut permettre de détecter :
- indisponibilité ;
- erreurs inhabituelles ;
- expiration de certificat ;
- anomalies sur certaines tâches ;
- modifications nécessitant une investigation selon le dispositif.
Découvrir notre maintenance et supervision
Audit de sécurité
Selon le projet, nous pouvons réaliser un état des lieux permettant d’identifier :
les risques prioritaires ;
les composants obsolètes ;
les accès à revoir ;
les sauvegardes à sécuriser ;
les actions recommandées.
L’objectif est de produire un plan d’action compréhensible et hiérarchisé.
La sécurité absolue n’existe pas
Nous ne promettons pas qu’un site correctement sécurisé ne pourra jamais subir d’incident.
Une telle promesse ne serait pas sérieuse.
Nous cherchons à :
réduire la probabilité d’un incident ;
limiter ses conséquences ;
améliorer la capacité à le détecter ;
faciliter la restauration lorsqu’il survient.
Et si le site est déjà compromis ?
La situation change.
Il ne suffit plus de renforcer la configuration.
Il faut rechercher et retirer les éléments malveillants, contrôler les données, identifier autant que possible la porte d’entrée et sécuriser l’environnement.
Votre site est piraté ? Découvrir notre intervention
Notre approche
1 — Auditer
Comprendre le site et identifier les risques.
2 — Prioriser
Traiter d’abord les vulnérabilités importantes.
3 — Corriger
Mettre à jour, supprimer, configurer et renforcer.
4 — Sauvegarder
Préparer la capacité de restauration.
5 — Surveiller
Détecter les anomalies qui méritent une intervention.
La sécurité est un processus, pas un plugin installé une fois pour toutes.
Vous souhaitez sécuriser un site existant ?
SPIP.
WordPress.
Site ancien.
Application métier.
Infrastructure à reprendre.
Nous pouvons commencer par un état des lieux et définir les actions prioritaires.