Analyses de sécurité

Les analyses de sécurité recherchent des problèmes potentiels dans les services publics du serveur, notamment les bases de données exposées, les interfaces d’administration et les configurations de service dangereuses. Les résultats aident à repérer les services qui ne devraient pas être accessibles depuis Internet. Les analyses signalent des résultats ; elles ne modifient pas votre pare-feu et ne corrigent pas la configuration du serveur.

Examiner les résultats

Ouvrez Baremetal Servers dans la console cloud, sélectionnez votre serveur et ouvrez Security Scan. L’accès nécessite la permission de lire les informations réseau.

Les résultats sont regroupés par adresse IP attribuée au serveur. Chaque carte affiche le nombre de ports ouverts et les résultats éventuels. Développez Findings pour lire le port, le titre, la description et la gravité, ou utilisez Search findings pour trouver un service.

Examinez d’abord les résultats Critical et High, puis les autres niveaux. Un port ouvert n’est pas automatiquement une vulnérabilité : un site public ou un service SSH peut être volontaire. Lisez la description pour distinguer un service détecté d’une configuration dangereuse confirmée.

Last scan et Next scan décrivent le calendrier global du scanner, et non un horodatage distinct pour chaque adresse. La tuile Known CVEs ne fournit pas actuellement d’inventaire des vulnérabilités ; évaluez plutôt les résultats réels.

Restreindre les accès indésirables

Pour chaque service inattendu :

1. Identifiez l’application qui écoute sur le port signalé et déterminez les clients qui ont besoin d’y accéder.
2. Arrêtez les services inutilisés. Pour les services nécessaires, restreignez l’accès avec le pare-feu du système, liez-les à l’interface voulue ou utilisez un réseau virtuel privé entre vos serveurs.
3. Appliquez les mises à jour de sécurité et les paramètres d’authentification du service en suivant la description du résultat.
4. Vérifiez que les clients légitimes peuvent toujours se connecter, puis relancez l’analyse.

Par exemple, une base de données utilisée uniquement par vos serveurs applicatifs peut écouter sur son adresse privée, avec un accès pare-feu limité à ces serveurs. Ajouter un réseau privé ne ferme pas à lui seul son écoute publique.

Gardez une session de console distante disponible pendant la modification des règles de pare-feu. Consultez la configuration du pare-feu de l’hôte pour une procédure dans le système.

Relancer une analyse

Sélectionnez Run scan now pour analyser à nouveau les cibles enregistrées pour ce serveur. Une fois l’analyse terminée, actualisez la page et examinez de nouveau les résultats. Si la console indique qu’aucune cible d’analyse n’est enregistrée, elle ne peut pas lancer cette nouvelle analyse ; contactez le support si le problème persiste.

Un résultat vide peut signifier qu’aucun rapport n’est encore disponible. Les analyses automatisées peuvent manquer des problèmes ou produire des faux positifs ; un résultat sans anomalie ne prouve donc pas que le serveur est sûr. Continuez à entretenir les mises à jour, l’authentification et les règles de pare-feu.

Pour un résultat inexpliqué, envoyez au support l’identifiant du serveur, l’adresse IP, le port, la description et les modifications déjà essayées. L’API d’analyse de sécurité expose aussi les résultats et les nouvelles analyses par adresse.