Sécurité des infrastructures

Des services sont exposés sur Internet : sites web, interfaces d’administration, accès distants. Les mises à jour se font « quand on y pense ». Les sauvegardes tournent, mais personne n’a jamais essayé d’en restaurer une. Une vulnérabilité connue et non corrigée sur un système exposé finit par être exploitée.

Nous couvrons quatre volets : l’audit de la surface d’attaque, le durcissement des systèmes, la veille sur les vulnérabilités publiées (CVE, Common Vulnerabilities and Exposures) affectant votre pile logicielle, et un plan de sauvegarde dont la restauration est testée. Les accès distants passent par VPN (réseau privé virtuel) et SSH (Secure Shell) avec clés. Chaque intervention est documentée : symptôme, diagnostic, actions, résultat.

Technologies

Proxmox

Proxmox
isolation des services dans des machines virtuelles et conteneurs

Docker

Docker
cloisonnement des applications et mises à jour par image

Ansible

Ansible
application reproductible du durcissement sur tous les hôtes

GitLab CI

GitLab CI
secrets chiffrés dans les dépôts (sops/age) et déploiements tracés

WordPress

WordPress
cœur, thèmes et extensions tenus à jour (multisite de six sites)

Exemples concrets

Sauvegardes restaurées en grandeur réelle

Chaque sauvegarde est surveillée (alerte au-delà de 26 heures). La restauration a été testée sur un cas complet : l’infrastructure entière d’un client a été remontée dans un laboratoire isolé à partir de ses seules sauvegardes, plus de 2 To transférés par VPN sous chien de garde. Le résultat est une procédure de reprise écrite, pas une hypothèse.

Accès distant sans port ouvert chez le client

Un hub OpenVPN sur un serveur virtuel privé reçoit des connexions sortantes : aucun port entrant chez le client, routes autorisées fixées par client. Un boîtier d’intervention portable, déployé par Ansible, établit ce VPN sortant, garde un accès de secours (Teleport, RustDesk) et remonte batterie et réseau à Zabbix. Les services internes ne sont pas publiés sur Internet ; seuls les frontaux HAProxy et Traefik le sont, avec des certificats renouvelés automatiquement.

Ce que comprend la prestation

  • Audit de la surface d’attaque : services exposés, versions, comptes, accès distants.
  • Durcissement des systèmes Debian ou Ubuntu et des services, appliqué par Ansible et documenté.
  • Veille sur les vulnérabilités de votre pile logicielle, correctifs appliqués selon un calendrier convenu ; une faille critique se traite le jour de sa publication, sauvegarde préalable comprise.
  • Plan de sauvegarde avec tests de restauration : une sauvegarde jamais restaurée n’en est pas une.
  • Limite : nous ne délivrons aucune certification de sécurité (ISO 27001, HDS ou autre) et nous ne faisons pas de tests d’intrusion offensifs ; nous orientons vers des prestataires spécialisés.

Un premier échange est gratuit. Nous contacter.