Sécurité offensive
Gouvernance & conformité
Protection des données
Audits boîte blancheAudit de configuration
Sécurité offensive
Audit de configuration
Une option mal configurée suffit à tout exposer ; mettons vos systèmes au diapason. Pare-feu, serveurs Windows ou Linux, équipements réseau, bases de données : une simple option laissée par défaut ou un service inutile activé suffit à ouvrir la porte à un attaquant. L’audit de configuration Digitemis compare vos réglages à l’état de l’art (ANSSI, CIS, SANS, guides éditeurs) et fournit un plan de durcissement technique immédiatement applicable.
L’audit de configuration pour durcir la sécurité de votre périmètre
L’audit de configuration a pour vocation de vérifier la mise en œuvre de pratiques de sécurité conformes à l’état de l’art (bonnes pratiques, guides de configuration, etc.), aux exigences et règles internes de l’audité en matière de configuration des dispositifs matériels et logiciels déployés dans un système d’information. Complémentaire de l’audit de code, l’audit de configuration permet de renforcer la sécurité d’un élément du système d’information en utilisant des standards de configuration éprouvés.
La démarche d’audit s’appuie sur les référentiels de l’ANSSI, du SANS (SysAdmin, Audit, Network, Security), du CIS (Center for Internet Security), des référentiels de sécurité des éditeurs ainsi que sur l’état de l’art et les contraintes métiers spécifiques de l’audité.
Les 4 objectifs de l’audit de configuration
- Évaluer le niveau de sécurité général du périmètre audité
- Confronter la configuration actuelle de l’équipement aux meilleures pratiques en termes de sécurité des systèmes d’information
- Définir un plan d’action technique permettant de durcir le périmètre audité
- Répercuter les bonnes pratiques sur des environnements similaires
Notre méthode
L’audit se déroule en trois phases, du cadrage à la restitution.
Avant l’audit
Cadrage
Réunion de lancement, objectifs, périmètre et échantillonnage, planning, contraintes techniques : comptes ou accès, exclusions.
Livrable : compte rendu de la réunion de lancement
Relevé et analyse
Audit de configuration
Entretien de contextualisation, relevé des éléments de configuration, comparaison aux référentiels du constructeur ou de l’éditeur, de l’ANSSI et du CIS, niveau de conformité de chaque point de contrôle.
Après l’audit
Synthèse
Synthèse managériale, niveaux de conformité par chapitre, plan d’action priorisé avec la charge de chaque recommandation, détail technique de chaque point évalué.
Livrable : rapport, support de restitution, procès-verbal de livraison
Une vulnérabilité critique découverte pendant l’audit vous est signalée immédiatement, sans attendre le rapport.
Les points de contrôle par environnement
La collecte et les référentiels changent d’un équipement à l’autre. Quelques exemples de missions :
| Environnement | Collecte et points examinés |
|---|---|
| Pare-feu | Copie de la configuration (export des règles de filtrage) et plan du réseau, comparés aux bonnes pratiques de filtrage réseau. |
| Serveurs Windows et Linux | Fichiers de configuration pertinents et inventaire des droits sur les fichiers et dossiers, comparés aux standards des éditeurs et aux référentiels visés (ANSSI, ISO 27002, NIST, CIS). |
| Microsoft 365 | Une sélection d’environ 80 points de contrôle du référentiel CIS, collectés par un script Digitemis, et un entretien de 2 à 4 heures avec l’administrateur : mots de passe, journaux, synchronisation OneDrive, classification SharePoint, prévention des fuites de données, anti-spam et anti-phishing, domaines, droits et privilèges. |
| Azure | Une sélection d’environ 80 points de contrôle du référentiel CIS, collectés par un script d’extraction : authentification, protocoles inutilisés, durcissement, gestion des secrets et des machines virtuelles, mécanismes cryptographiques. |
| IBM i (AS/400) | Paramètres système et règles de durcissement propres à la plateforme, à compléter si besoin par des tests d’intrusion IBM i. |
Ils nous font confiance
informations
Contactez-nous
Un projet d’audit de configuration ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.
FAQ
Questions fréquentes
Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !
Faut-il donner un accès admin direct ?
Non : un export de la configuration suffit pour la plupart des équipements ; pour Microsoft 365 et Azure, le script de collecte s’exécute avec un compte en lecture seule. Aucun changement n’est appliqué en production.
Quelle est la durée typique d’un audit ?
De deux à cinq jours ouvrés par équipement majeur, selon la complexité et le nombre de fichiers à analyser.
Les benchmarks utilisés sont-ils publics ?
Oui : guides de l’ANSSI, benchmarks CIS, recommandations du constructeur ou de l’éditeur ; les références exactes sont indiquées dans le rapport.
Comment priorisez-vous les corrections recommandées ?
Chaque écart est classé selon son impact, sa facilité de mise en œuvre et ses dépendances techniques. Le plan d’action les ordonne par priorité et évalue la charge de chaque recommandation.
cas client
Découvrez notre approche
cas client
