Audit de sécurité
Un score de durcissement par serveur et pour le parc, les points à corriger classés par gravité, la recette ou le copilote pour chacun, l'historique, une alerte quand la sécurité se dégrade, et un rapport PDF.
L'onglet Sécurité d'un serveur passe sa configuration au crible d'une grille de contrôles : SSH, comptes, réseau, mises à jour, système. Il en tire un score sur 100, la liste de ce qui reste à corriger, et pour chaque point le moyen de le corriger.
L'audit ne lance aucune commande : il est calculé à partir des informations que l'agent remonte déjà. L'agent relit ces réglages toutes les 15 minutes — l'onglet indique quand aura lieu la prochaine relecture — et aussitôt après toute commande réussie lancée depuis Servor : une correction faite par une recette ou le copilote apparaît en quelques secondes.
Lire le résultat
- Le score est la part des contrôles réussis, pondérée par leur gravité (critique, élevée, moyenne, faible). Un avertissement compte pour moitié. Un échec critique plafonne le score à 40 : une API Docker ouverte sur Internet suffit à compromettre la machine, quel que soit le reste.
- Le camembert montre la répartition : réussis, avertissements, échecs, non lus.
- La couverture indique la part des contrôles qui ont pu être lus. Un contrôle non lu n'est jamais compté comme réussi : il n'entre simplement pas dans le score.
Pourquoi des contrôles non lus ?
Plusieurs lectures demandent les droits root (configuration effective de SSH, sudoers,
/etc/shadow). L'agent installé par Servor tourne en root ; si certains contrôles restent
non lus, mettez l'agent à jour — les anciennes versions ne remontent pas encore ces
informations.
Les contrôles
| Domaine | Contrôles |
|---|---|
| SSH | connexion root, mots de passe acceptés, mots de passe vides, tentatives par connexion, redirection X11, protection contre la force brute (fail2ban ou CrowdSec) |
| Comptes | comptes sans mot de passe, comptes root cachés (uid 0 sous un autre nom), règles sudo NOPASSWD |
| Réseau | pare-feu actif, API Docker exposée, bases de données sur une adresse publique, ports inattendus ouverts au réseau |
| Mises à jour | correctifs de sécurité en attente, mises à jour automatiques, redémarrage en attente |
| Système | certificats TLS proches de l'expiration, randomisation de la mémoire (ASLR), synchronisation de l'heure |
| Docker | conteneurs privilégiés, socket Docker monté dans un conteneur, conteneurs sur le réseau de l'hôte, ports publiés qui contournent ufw ou firewalld |
| Bases de données | PostgreSQL qui laisse entrer un client distant sans mot de passe (trust), Redis sans mot de passe |
| Serveur web (nginx, Apache) | version divulguée, anciennes versions de TLS acceptées, en-tête HSTS absent |
Les contrôles Docker, bases de données et serveur web n'apparaissent que sur les machines où ces logiciels tournent.
Corriger
Un point à la fois
Chaque point à corriger propose une recette quand il en existe une (durcir SSH, installer fail2ban, pare-feu de base, mises à jour automatiques), sinon le copilote, qui s'ouvre avec le problème déjà décrit.
Plusieurs points d'un coup
Cochez les points voulus puis Corriger avec le copilote : il reçoit la liste et les traite un par un.
Vérifier
Dans les deux cas, chaque commande passe par le chemin habituel : vous l'approuvez, votre navigateur la signe, l'agent l'exécute. L'audit se met à jour au relevé suivant.
Corriger demande le rôle member au minimum ; un viewer consulte l'audit sans rien lancer.
Suivre dans le temps
Sous la liste des points à corriger, une courbe montre le score jour après jour sur 30, 90 ou 365 jours : un point par jour, le dernier score calculé ce jour-là. L'historique est conservé un an.
Être alerté quand la sécurité se dégrade
Quand un contrôle qui passait se met à échouer — le pare-feu coupé, SSH rouvert aux mots de passe, une base de données publiée sur Internet — Servor lève l'alerte Sécurité dégradée. Elle arrive dans la cloche, avec le score avant et après, et un clic ouvre l'onglet Sécurité du serveur ou le copilote pré-rempli. Pour la recevoir aussi par e-mail, Slack ou un autre canal, ajoutez le déclencheur Sécurité dégradée à une règle d'alerte.
Seuls les contrôles de gravité moyenne et au-delà déclenchent l'alerte. Un contrôle lu pour la première fois (après une mise à jour de l'agent, par exemple) ne la déclenche pas : il ne s'agit pas d'une dégradation.
Vue du parc
Sécurité du parc, dans la colonne des serveurs, réunit l'audit de toutes les machines : le score moyen, la répartition entre serveurs solides, à renforcer et exposés, le total des points à corriger par gravité, et la liste des serveurs du plus exposé au plus solide. Chaque ligne ouvre l'onglet Sécurité du serveur. Le score de chaque serveur s'affiche aussi à côté de son nom dans la colonne.
Exporter en PDF
Exporter en PDF ouvre le rapport dans un nouvel onglet et lance l'impression : choisissez Enregistrer au format PDF. Le rapport reprend le score, la couverture et tous les contrôles, réussis compris. Il est produit par votre navigateur ; rien n'est généré ni stocké côté Servor.
L'audit couvre les serveurs Linux pour l'instant.