Sécurité : Sécuriser les serveurs

La sécurité des serveurs doit être une priorité car ils centralisent un grand nombre de données.

Les précautions élémentaires

Désinstaller ou désactiver les services et interfaces inutiles.

Limiter l’accès aux outils et interfaces d’administration aux seules personnes habilitées. Utiliser des comptes de moindres privilèges pour les opérations courantes.

Adopter une politique spécifique de mots de passe pour les administrateurs. Changer les mots de passe, au minimum, lors de chaque départ d’un administrateur et en cas de suspicion de compromission.

Installer les mises à jour critiques sans délai, en particulier les correctifs de sécurité, que ce soit pour les systèmes d’exploitation ou pour les applications, en programmant une vérification automatique hebdomadaire.

Utiliser des logiciels de détection et de suppression de programmes malveillants (ex. : antivirus) régulièrement mis à jour.

En matière d’administration de bases de données ;

• utiliser des comptes nominatifs pour l’accès aux bases de données et créer des comptes spécifiques à chaque application ;
• mettre en œuvre des mesures contre les attaques (ex : attaque par injection de code SQL, scripts)

Effectuer des sauvegardes et les vérifier régulièrement (voir la fiche n°10 : Sauvegarder et prévoir la continuité d’activité).

Mettre en œuvre le protocole TLS (en remplacement de SSL), ou un protocole assurant le chiffrement et l’authentification, au minimum pour tout échange de données sur Internet et vérifier sa bonne mise en œuvre par des outils appropriés. (Pour le protocole TLS, il existe par exemple : https://www.ssllabs.com/ssltest/ ou https://ssl-tools.net/)

Ce qu’il ne faut pas faire

• Utiliser des services non sécurisés (authentification en clair, flux en clair).
• Utiliser pour d’autres fonctions les serveurs hébergeant les bases de données, notamment pour naviguer sur des sites web ou accéder à la messagerie électronique.
• Placer les bases de données sur un serveur directement accessible depuis Internet.
• Utiliser des comptes utilisateurs génériques (c’est-à-dire partagés entre plusieurs utilisateurs).

Pour aller plus loin

• Tout système traitant des données sensibles doit être mis en œuvre dans un environnement dédié (isolé).
• Les opérations d’administration des serveurs devraient se faire via un réseau dédié et isolé, accessible après une authentification forte (voir la fiche n°2 : Authentifier les utilisateurs) permettant une traçabilité renforcée (voir la fiche n°4 : Tracer les opérations et gérer les incidents).
• S’agissant des logiciels s’exécutant sur des serveurs, il est conseillé d’utiliser des outils de détection des vulnérabilités (logiciels scans de vulnérabilités tels que nmap, nessus, nikto, etc.) pour les traitements les plus critiques afin de détecter d’éventuelles failles de sécurité. Des systèmes de détection et prévention des attaques sur des systèmes ou serveurs critiques peuvent aussi être utilisés.
• Restreindre ou interdire l’accès physique et logique aux ports de diagnostic et de configuration à distance.
• La version 1.3 de TLS est à privilégier ou, à défaut, la version 1.2 en respectant les recommandations publiées par l’ANSSI sur le sujet.
• L’ANSSI a publié sur son site diverses recommandations parmi lesquelles la sécurisation de l’administration des systèmes d’information et la mise en place de cloisonnement système.