Hardening des systèmes

CIS Benchmarks — référentiels de hardening par système

Les CIS Benchmarks sont les références de hardening les plus largement adoptées dans l'industrie. Disponibles gratuitement pour les membres (inscription gratuite) sur cisecurity.org, ils couvrent des dizaines de systèmes. Quelques recommandations clés du CIS Windows Server 2022 Benchmark Level 1 : désactiver les protocoles legacy (SMBv1, NTLMv1), activer le Windows Defender Credential Guard (protège LSASS), configurer les politiques d'audit Windows (logon/logoff, privilege use, object access), désactiver les services non nécessaires (Remote Registry, Telnet, FTP Server), activer le pare-feu Windows et bloquer les connexions entrantes par défaut, et configurer BitLocker avec TPM. Le CIS Linux Benchmark (Ubuntu, CentOS, RHEL) couvre : SSH hardening (désactiver PermitRootLogin, configurer AllowUsers, désactiver les algorithmes faibles), PAM configuration (politique de mots de passe, verrouillage des comptes après échecs), et auditd (framework d'audit Linux). Ces benchmarks sont utilisés comme base dans les procédures de configuration de référence (Security Configuration Management — SCM) des organisations.

Hardening des images Docker et containers

Le hardening des containers est critique dans les environnements cloud-native. Dockerfile best practices : utiliser des images de base minimales (Alpine Linux — 5MB vs Ubuntu 80MB, surface d'attaque réduite), ne pas exécuter en tant que root (USER instruction dans le Dockerfile), ne pas inclure de credentials ou secrets dans l'image (utiliser des secrets injections au runtime), utiliser le .dockerignore pour exclure les fichiers sensibles de l'image, et spécifier des tags de version précis (pas de :latest qui peut changer). Runtime security : utiliser des Security Contexts Kubernetes pour interdire les pods privileged, appliquer des Seccomp profiles (filtrage des syscalls autorisés) pour limiter les appels système disponibles, et appliquer des AppArmor/SELinux profiles. Trivy (CNCF project) scanne les images pour les CVEs et les misconfigurations avant déploiement. Le CIS Docker Benchmark et le CIS Kubernetes Benchmark fournissent des listes exhaustives de recommandations de durcissement.

Automated Hardening — Ansible et Infrastructure as Code

L'automatisation du hardening via l'Infrastructure as Code garantit une application cohérente et répétable des configurations de sécurité. Ansible est l'outil d'automatisation le plus utilisé pour le hardening — des rôles Ansible communautaires implémentent les CIS Benchmarks : dev-sec.io publie des rôles Ansible open-source pour le hardening Linux (os-hardening, ssh-hardening, nginx-hardening, mysql-hardening) alignés sur les CIS Benchmarks. Ces rôles peuvent être intégrés dans les pipelines CI/CD (hardening appliqué automatiquement lors du provisionnement de chaque nouvelle instance), dans les outils d'orchestration (Terraform + Ansible), et dans les playbooks de réponse aux incidents (re-hardening d'un système potentiellement compromis). L'utilisation d'Ansible pour le hardening permet également l'audit de conformité (mode check — vérifier sans modifier) et le drift detection (détecter les configurations qui ont divergé de la baseline après déploiement).