Lorsque vous devez satisfaire aux exigences de conformité en matière de protection classifiée, résoudre les risques liés à la configuration du système ou détecter les mots de passe faibles, utilisez la fonctionnalité de vérification des risques de référence pour effectuer des contrôles de sécurité sur les systèmes d'exploitation des serveurs, les bases de données, les intergiciels et les configurations des conteneurs. Cette rubrique décrit les informations de base, l'utilisation et les plans de correction courants pour les éléments à risque de cette fonctionnalité.
Éditions et facturation
Les éditions payantes de Security Center prennent en charge la fonctionnalité de vérification des risques de référence.
Édition | Description | Facturation |
Édition Anti-Virus et service à valeur ajoutée | Pour utiliser toutes les fonctionnalités de vérification des risques de référence, vous devez activer la fonctionnalité payante de gestion de la posture de sécurité cloud (CSPM). L'utilisation des éléments de vérification consomme des quotas CSPM. | Si vous activez la fonctionnalité gestion de la posture de sécurité cloud payante, consultez Utilisation payante de CSPM pour plus de détails sur la facturation. |
Édition Advanced et édition Enterprise |
| Aucun frais supplémentaire n'est requis. |
Édition Ultimate | Prend en charge tous les éléments de vérification des risques de référence. | Aucun frais supplémentaire n'est requis. |
Avantages
-
Conformité à la protection classifiée
Prend en charge les niveaux 2 et 3 de la MLPS (Multi-Level Protection Scheme) ainsi que les bonnes pratiques de sécurité internationalement reconnues pour répondre à diverses exigences réglementaires et de conformité.
-
Détection complète
Prend en charge la détection des mots de passe faibles, des accès non autorisés, des configurations connues comme non sécurisées et l'inspection des lignes rouges de configuration. La couverture s'étend à plus de 30 versions de système et à plus de 20 types de bases de données et d'intergiciels.
-
Configuration flexible
Permet de personnaliser les politiques de sécurité, les cycles de vérification et les étendues de vérification afin de répondre aux besoins de configuration de sécurité spécifiques à chaque activité.
-
Plans de correction détaillés
Les éléments de vérification fournissent des suggestions de correction et permettent des corrections en un clic pour renforcer rapidement les références de sécurité et satisfaire aux exigences de protection classifiée.
Flux de travail
Activer la fonctionnalité : Achetez l'édition Enterprise ou Ultimate, ou activez la fonctionnalité payante de gestion de la posture de sécurité cloud (CSPM), pour utiliser tous les éléments de vérification. Consultez Activer la fonctionnalité de vérification des risques de référence.
Installer l'agent : Installez l'agent Security Center sur vos serveurs. La console synchronise automatiquement les informations sur les ressources toutes les minutes. Pour les étapes d'installation, consultez Installer l'agent. Pour vérifier les serveurs non Alibaba Cloud, connectez d'abord les ressources à Security Center. Consultez Ajouter des ressources multi-cloud.
Configurer les politiques de vérification : La politique par défaut n'inclut que certains types de référence. Vous pouvez configurer davantage d'éléments de vérification et de politiques en fonction de vos besoins métier. Consultez Configurer les politiques de vérification.
Exécuter les vérifications : Sélectionnez une politique et exécutez-la manuellement, ou attendez que le système lance automatiquement l'analyse selon la planification de la politique. Consultez Exécuter les politiques de vérification de référence.
Consulter les résultats : Visualisez dans la console les éléments de vérification présentant des risques, les ressources concernées et les suggestions de correction. Consultez Consulter les résultats de la vérification de référence et les suggestions de renforcement des risques.
Corriger et vérifier : Corrigez les risques en suivant les suggestions et effectuez la vérification pour confirmer que les éléments de vérification sont marqués comme réussis. Consultez Gérer les éléments de risque de référence ayant échoué.
Description de la fonctionnalité
La fonctionnalité de vérification de référence utilise différentes politiques de vérification pour analyser par lots les serveurs et identifier les risques liés aux systèmes, aux autorisations de compte, aux bases de données, aux mots de passe faibles et aux configurations de conformité en matière de protection classifiée. Elle fournit des suggestions de correction et des correctifs en un clic. Pour plus de détails sur le contenu des vérifications, consultez Contenu de la vérification de référence.
Concepts clés
|
Terme |
Description |
|
Référence |
Une référence désigne les normes de configuration de sécurité (lignes rouges) pour les systèmes d'exploitation, les bases de données et les intergiciels, basées sur les bonnes pratiques et les exigences de conformité. Les vérifications couvrent les mots de passe faibles, les autorisations de compte, l'authentification d'identité, les politiques de mot de passe, le contrôle d'accès, les audits de sécurité et la prévention des intrusions. |
|
Mot de passe faible |
Un mot de passe faible est un mot de passe facile à deviner ou à forcer par brute force. Il inclut généralement des mots de passe simples de moins de 8 caractères ou comportant moins de 3 types de caractères, ainsi que des mots de passe issus de dictionnaires de pirates accessibles publiquement ou intégrés à des logiciels malveillants. Les mots de passe faibles sont faciles à craquer. S'ils sont obtenus par des attaquants, ils peuvent être utilisés pour se connecter directement aux systèmes, lire ou même modifier le code du site web. L'utilisation de mots de passe faibles expose les systèmes et les services à des risques importants. |
Politiques de référence
Une politique est un ensemble de règles de vérification de référence et constitue l'unité de base pour l'exécution des vérifications de référence. Security Center propose trois types de politiques : politique par défaut, politique standard et politique personnalisée.
Type de politique | Types d'éléments de vérification de référence pris en charge | Scénarios d'application |
Politique par défaut | Prend en charge les types de référence suivants :
| Il s'agit de la politique de vérification de référence par défaut du système. Vous ne pouvez modifier que l'heure de vérification et les serveurs cibles. Après l'achat de l'édition Advanced, Enterprise ou Ultimate, le système vérifie toutes les ressources sous votre compte Alibaba Cloud tous les deux jours entre 00:00 et 06:00 (ou à l'heure que vous spécifiez). |
Politique standard | Prend en charge les types de référence suivants :
| Par rapport à la politique par défaut, cette option ajoute les types de vérification de conformité MLPS et de bonnes pratiques de sécurité internationalement reconnues, et permet de modifier tous les éléments de configuration de la politique. Vous pouvez configurer les politiques de vérification de référence en fonction de vos scénarios métier. |
Politique personnalisée | Prend en charge les types de référence OS personnalisés suivants :
| Vérifie les risques liés aux configurations des ressources par rapport aux références OS personnalisées. Vous pouvez personnaliser les éléments de vérification et modifier certains paramètres de référence pour mieux les aligner sur vos scénarios métier. |
Serveurs pris en charge
Security Center prend en charge les vérifications de référence pour les serveurs disposant d'un agent installé et dont l'état est normal. Lors de la configuration d'une politique, vous pouvez sélectionner l'étendue via les groupes de serveurs. Consultez Installer l'agent et Gérer les serveurs pour connaître les méthodes d'intégration des serveurs.
Niveaux de risque
Security Center classe les risques en fonction de la gravité et des scénarios d'application des types de risque.
Niveau de risque | Catégorie de référence | Description | Correction |
Élevé |
| Ce type de risque de référence présente un risque d'intrusion et est classé comme élevé. | Nécessite une correction urgente. Évitez que les mots de passe faibles ne soient exposés à Internet, ce qui pourrait entraîner des intrusions système ou des fuites de données. |
| Bien qu'aucun risque d'intrusion n'existe, il s'agit d'une inspection des lignes rouges de configuration et le risque est classé comme élevé. | Éléments importants de renforcement de la sécurité. Effectuez la correction rapidement. Le renforcement basé sur les meilleures pratiques de sécurité réduit le risque d'exploitation des faiblesses de configuration et les risques liés aux modifications de configuration. | |
Référence personnalisée | Concerne des événements de sécurité spécifiques au client. Il s'agit d'une inspection des lignes rouges de configuration et le risque est classé comme élevé. | Éléments de renforcement de la sécurité définis par l'utilisateur. La correction est recommandée. Le renforcement basé sur les meilleures pratiques de sécurité réduit le risque d'exploitation des faiblesses de configuration et les risques liés aux modifications de configuration. | |
Moyen |
| Les risques de conformité sont vérifiés et corrigés en fonction de l'obligation de conformité. Aucun risque d'intrusion n'existe et il ne s'agit pas d'une inspection des lignes rouges de configuration, donc le risque est classé comme moyen. | Effectuez la correction en fonction des exigences de conformité de votre activité. |
Méthodes de correction
Security Center fournit des suggestions de correction pour les éléments de vérification à risque afin de renforcer la sécurité du système.
Correction manuelle : Connectez-vous au serveur concerné, modifiez les configurations correspondantes, puis cliquez sur Verify dans Security Center.
Correction en un clic : Security Center prend en charge les correctifs en un clic pour certains éléments de vérification de référence. La prise en charge de cette fonctionnalité par un élément de vérification dépend de la présence d'un bouton Fix dans le panneau de l'élément de risque. Consultez Consulter et gérer les éléments de risque de référence.
Contenu de la vérification des références
Catégories de références
Catégorie de référence | Normes et contenu de vérification | Systèmes et services couverts | Urgence de correction |
Mot de passe faible | Détecte les mots de passe faibles à l'aide de méthodes autres que par force brute. Évite le verrouillage des comptes dû aux attaques par force brute qui pourraient affecter les opérations commerciales normales. Remarque La détection des mots de passe faibles compare les valeurs de hachage lues depuis le système avec les hachages calculés à partir d'un dictionnaire de mots de passe faibles. Pour éviter la lecture des valeurs de hachage, supprimez la référence de mot de passe faible de votre politique de vérification des références. |
| Nécessite une correction urgente. Empêchez l'exposition des mots de passe faibles sur Internet, ce qui pourrait entraîner des intrusions système ou des violations de données. |
Accès non autorisé | Référence d'accès non autorisé. Détecte si les services présentent des risques d'accès non autorisé afin de prévenir les intrusions ou les violations de données. | Memcached, Elasticsearch, Docker, CouchDB, ZooKeeper, Jenkins, Hadoop, Tomcat, Redis, Jboss, ActiveMQ, RabbitMQ, OpenLDAP, rsync, MongoDB, PostgreSQL | |
Meilleures pratiques de sécurité | Norme Alibaba Cloud Basée sur les normes de meilleures pratiques de sécurité d'Alibaba Cloud, détecte les risques de configuration de sécurité dans les autorisations de compte, l'authentification d'identité, les politiques de mot de passe, le contrôle d'accès, les audits de sécurité et la prévention des intrusions. |
| Éléments importants de durcissement de la sécurité. La correction est recommandée. Le durcissement basé sur les meilleures pratiques de sécurité réduit le risque d'exploitation des faiblesses de configuration et les risques liés aux modifications de configuration. |
Sécurité des conteneurs | Norme Alibaba Cloud Basée sur les meilleures pratiques de sécurité des conteneurs d'Alibaba Cloud, vérifie les risques de configuration du maître et des nœuds Kubernetes. |
| |
Conformité MLPS | Conformité aux niveaux 2 et 3 du MLPS Basée sur les références MLPS de sécurité des serveurs, alignée sur les normes et exigences d'évaluation de l'environnement informatique sécurisé des organismes d'évaluation faisant autorité. |
| Effectuez la correction en fonction des exigences de conformité de votre activité. |
Meilleures pratiques de sécurité internationalement reconnues | Vérifications des références de sécurité du système d'exploitation basées sur les meilleures pratiques de sécurité internationalement reconnues. |
| Effectuez la correction en fonction des exigences de conformité de votre activité. |
Référence personnalisée | Prend en charge les références personnalisées pour CentOS Linux 7. Vous pouvez modifier les éléments de vérification dans la politique de vérification des références pour définir des éléments de durcissement de sécurité personnalisés. | CentOS 7, CentOS 6, Windows Server 2022, 2012 R2, 2016, 2019, 2008 R2 | Éléments de durcissement de sécurité définis par l'utilisateur. La correction est recommandée. Le durcissement basé sur les meilleures pratiques de sécurité réduit le risque d'exploitation des faiblesses de configuration et les risques liés aux modifications de configuration. |
Éléments de vérification des références
Le tableau suivant répertorie les éléments de vérification des références fournis par Security Center.
Meilleures pratiques de sécurité des mots de passe
La fonctionnalité de vérification de référence permet de détecter les risques liés aux mots de passe faibles. Après avoir identifié des mots de passe faibles, vous pouvez vous appuyer sur les meilleures pratiques suivantes pour configurer des politiques de complexité des mots de passe et renforcer la sécurité de vos serveurs.
Exigences de complexité des mots de passe
Les mots de passe sécurisés doivent respecter les exigences suivantes :
Une longueur minimale de 8 caractères. Une longueur de 12 caractères ou plus est recommandée.
Inclure au moins trois types de caractères parmi les suivants : lettres majuscules (A-Z), lettres minuscules (a-z), chiffres (0-9) et caractères spéciaux (tels que !@#$%^&*).
Évitez d'utiliser des informations personnelles telles que les noms d'utilisateur, les dates de naissance ou les numéros de téléphone comme mots de passe. Évitez également les mots de passe courants issus de dictionnaires (comme admin123, password, etc.).
Utilisez des mots de passe différents pour chaque système et service. Évitez de réutiliser le même mot de passe à plusieurs endroits.
Configuration de la politique de mot de passe sous Linux
Sous Linux, vous pouvez configurer les politiques de complexité des mots de passe en modifiant la configuration PAM (Pluggable Authentication Modules) :
-
Modifiez la configuration PAM des mots de passe. Pour CentOS/Red Hat, éditez le fichier
/etc/security/pwquality.conf, ou utilisez la commandeauthconfig:authconfig --passminlen=8 --passminclass=3 --update -
Configurez les politiques d'expiration des mots de passe en éditant le fichier
/etc/login.defset en définissant les paramètres suivants :PASS_MAX_DAYS: Nombre maximal de jours pendant lesquels un mot de passe peut être utilisé. 90 jours sont recommandés.PASS_MIN_DAYS: Nombre minimal de jours entre deux changements de mot de passe. 0 jour est recommandé.PASS_WARN_AGE: Nombre de jours d'avertissement avant l'expiration du mot de passe. 7 jours sont recommandés.
-
Pour modifier un mot de passe, utilisez la commande
passwd:passwd username
Les méthodes de configuration PAM peuvent varier selon les distributions Linux. Adaptez la configuration à votre environnement réel. Avant de modifier les politiques de mot de passe, assurez-vous que les opérations métier existantes ne seront pas affectées.
Configuration de la politique de mot de passe sous Windows
Sous Windows, vous pouvez configurer la complexité des mots de passe via la Stratégie de sécurité locale ou la Stratégie de groupe :
Ouvrez Local Security Policy (exécutez
secpol.msc).Accédez à Account Policies > Password Policy.
-
Configurez les éléments de politique suivants :
Password must meet complexity requirements : Définissez sur Enabled.
Minimum password length : Définissez sur 8 caractères ou plus.
Maximum password age : Définissez sur 90 jours.
Minimum password age : Définissez sur 0 jour.
Enforce password history : Définissez sur 5 ou plus pour empêcher les utilisateurs de réutiliser d'anciens mots de passe.
Si le serveur est joint à un domaine, la politique de mot de passe est gérée de manière centralisée par le contrôleur de domaine. Configurez les objets de stratégie de groupe (GPO) sur le contrôleur de domaine.
Recommandations générales de sécurité
Modifiez régulièrement les mots de passe des serveurs et des services afin de réduire les risques de fuite de mots de passe.
Pour la connexion distante SSH, il est recommandé d'utiliser l'authentification par clé plutôt que l'authentification par mot de passe.
Utilisez la fonctionnalité de vérification de référence du Security Center pour rechercher périodiquement les mots de passe faibles et identifier et corriger rapidement les risques de sécurité liés aux mots de passe.
Si une alerte de mot de passe faible est détectée, remplacez-le dès que possible par un mot de passe fort répondant aux exigences de complexité et vérifiez s'il existe des activités de connexion anormales.