La sécurité d Acquia Cloud à l œuvre Protéger votre business grâce à une défense en profondeur Andrew Kenney, Vice-président Platform Engineering chez Acquia et Cash Williams, Consultant technique chez Acquia
Table des matières Introduction 3 Sécurité partagée 4 Défense en profondeur (DEP) 5 Est-il possible de construire un site Drupal à toute épreuve? 6 Construire et maintenir un site Drupal redoutable 7 Garantir la sécurité et la disponibilité d un site Drupal 8 Utiliser les modules de sécurité 9 Auditer en permanence 10 Anticiper l avenir 11 2 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Introduction Est-il possible de construire un site Drupal à toute épreuve? La réponse est simple : non. Mais vous pouvez prendre différentes mesures afin de préparer et sécuriser votre site pour faire face à toute sorte de vulnérabilité et aux pics de trafic. La protection de votre site Drupal suppose plusieurs niveaux de sécurité. L instauration de couches de protection aux niveaux application, réseau et point de terminaison ce qu Acquia appelle la «défense en profondeur» permet de gagner du temps et de parer aux attaques potentielles en améliorant la résilience. Pour autant, ces mesures ne doivent pas se limiter à la sécurité sur site. La sécurisation de votre site Drupal relève d une responsabilité partagée entre votre société et ses fournisseurs de confiance. Dans cet e-book, nous aborderons les différents moyens de sécuriser au mieux votre site Drupal et les meilleures pratiques en matière de gestion des incidents de sécurité. Andrew Kenney, Vice-président Platform Engineering, Acquia, Inc. En tant que Viceprésident Platform Engineering chez Acquia, Andrew Kenney dirige l équipe d ingénierie cloud chargée de construire la plus importante plateforme d hébergement Drupal au monde. Acquia Cloud exécute des centaines de milliers de sites Drupal avec plus de 6 000 serveurs sur Amazon Web Services dans six régions, représentant des milliards de pages vues chaque mois. Andrew Kenney a pour mission de garantir que la plateforme est hautement évolutive et fiable pour les plus grandes entreprises clientes d Acquia et de favoriser l innovation. Cash Williams, Consultant technique, Acquia, Inc. En tant que Consultant technique chez Acquia, Cash Williams prodigue aux clients des avis et des conseils techniques dans tous les domaines liés à Drupal. Il s intéresse plus particulièrement aux questions de sécurité et de performance. 3 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Sécurité partagée Acquia croit en un modèle de sécurité partagée, basée sur la confiance entre les différentes équipes ou organisations responsables de leurs propres périmètres de sécurité et les accords de niveau de service. La sécurité relève également de la responsabilité du propriétaire de l application. Chaque application peut dépendre d une infrastructure sous-jacente, de composants internes ou de services, ainsi que des intégrations avec les fournisseurs proposant d autres fonctionnalités. Tous les acteurs impliqués dans le modèle de sécurité partagée s emploient à durcir leurs services, créant ainsi des livrables de stratégie et d exécution. Customer Responsibilities Secure Coding and Best Practices Access Management Security Testing Incident Response ÉLÉMENTS SUR SITE Les éléments «sur site» correspondent aux terminaux ou aux services hébergés par votre société et contenant des informations sensibles utilisées par une application, ou qui constituent une composante essentielle pour le fonctionnement de l application. Ces éléments incluent : Votre équipe de marketing digital rate les échéances parce que travailler avec votre plateforme web archaïque est un véritable cauchemar. L infrastructure de centres de données interne : Machines exécutant votre application Équipement réseau assurant le routage ou le traitement proxy du trafic Équipement de sécurité réseau Systèmes de sauvegarde des données L infrastructure informatique des employés et de la société, notamment : Postes de travail et ordinateurs portables des employés Terminaux mobiles Services ou bases de données centrales (LDAP, Active Directory, etc.) HÉBERGEMENT DANS LE CLOUD ET AUTRES SERVICES SAAS Votre site Drupal dépend également de partenaires externes en termes de sécurité et de disponibilité. L hébergeur de votre site web, par exemple, est responsable de la sécurisation de ses serveurs, du fonctionnement constant de ses centres de données et de la gestion des variations de trafic. Si vous avez recours à une plateforme de développement externe, le fournisseur de cette plateforme doit aussi prémunir ses systèmes de développement et de test contre tout risque d intrusion. Le fournisseur de la plateforme doit également assurer le renforcement et la mise à jour de ses systèmes. Le fournisseur de l infrastructure cloud doit continuellement auditer, améliorer et appliquer les mesures de sécurité selon les meilleures pratiques et les normes de conformité en la matière. Acquia Securing Acquia Cloud Platform System Patching Configuration Hardening Backups & Disaster Recovery Intrusion Detection System Network Threat Detection Security Logging Incident Response Planning AWS Faciliites Physical Security Compute Infrastructure Storage Infrastructure Network Infrastructure Virtualization Layer (EC2) Hardened Service Endpoint Fine-grained IAM Capability Répartition de la sécurité partagée avec Acquia Votre application peut aussi dépendre d autres services SaaS, notamment pour la gestion des identités, les analyses, etc. Chacun de ces services peut contenir des informations sensibles ou constituer une composante essentielle au fonctionnement de votre site. 4 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Défense en profondeur (DEP) Dans leurs propres zones de contrôle, les acteurs responsables de maintenir votre site Drupal opérationnel peuvent choisir une combinaison de mesures aux niveaux réseau et point de terminaison. Ces mesures peuvent inclure des solutions de sécurité telles que l authentification à deux facteurs, des programmes antivirus de point de terminaison, des systèmes de détection et de protection contre les intrusions, des dispositifs de sécurité physiques et des pare-feu. Lorsque ces mesures sont combinées, elles obligent les pirates à traverser plusieurs couches de protection formant ainsi un modèle de défense en profondeur. Les spécialistes qui surveillent étroitement les systèmes sont ainsi en mesure d intercepter rapidement les menaces et d en atténuer les effets. D autres mesures essentielles de défense en profondeur impliquent des processus de basculement et de sauvegarde des données. Si un serveur ou un centre de données tombe en panne, un autre doit être prêt à accueillir votre trafic. De même, si une attaque entraîne le piratage ou la suppression de données appartenant à votre société, vous devez disposer de sauvegardes pour récupérer et reconstruire ces données. Le principal enjeu de la sécurité par une défense en profondeur n est pas de garantir que chaque système est parfait, mais de veiller à ce que toutes les vulnérabilités soient détectées pour pouvoir les contenir et y remédier rapidement. Même avec un codage hermétique et une sécurité redoutable, votre organisation garde un talon d Achille : l erreur humaine. Dans un monde idéal, aucun attaquant ne pourrait pénétrer votre site Drupal. Dans le monde réel, vous devez non seulement fortifier votre site, mais aussi être en mesure de réagir rapidement quand un pirate parvient à escalader votre mur impénétrable. C est la raison pour laquelle la sécurité va au-delà d une défense ingénieuse : elle relève d une responsabilité partagée. Couches logiques de la défense en profondeur 5 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Est-il possible de construire un site Drupal à toute épreuve? Est-il possible de construire un site Drupal à toute épreuve? La réponse est non. Et voici pourquoi : les développeurs disposent rarement des outils nécessaires pour prendre en compte les questions de sécurité lors de la conception des sites. Les sites doivent résister à toutes les cyber-attaques, s adapter indéfiniment à n importe quel volume de trafic, rester opérationnels pendant les sinistres et être immunisés contre les erreurs de codage. Malheureusement, lorsqu un site est exécuté sur une architecture vulnérable, aucune configuration de module Drupal ne peut le sauver. Parallèlement à un codage optimal, les sites Drupal ont besoin de fondations résilientes. Les sites web peuvent présenter de nombreuses faiblesses et de multiples facteurs peuvent les faire tomber. CYBER-ATTAQUES Les agences du secteur public, les infrastructures vitales, les institutions financières et les grandes entreprises font régulièrement l objet de cyber-attaques. Bon nombre de ces organisations ont fait de gros investissements en matière de sécurité, ce qui a forcé les pirates à chercher d autres cibles plus faciles. Ainsi, d après une récente publication d InformationWeek, les moyennes entreprises et même les petites sociétés sont désormais dans leur collimateur. Ces organisations souffrent de points de défaillance courants, notamment : Les attaques réseau. Une attaque DDoS (Distributed Denial-of-Service) consiste à noyer un site web sous une multitude de requêtes. L intrusion réseau est un autre type d attaque qui consiste à accéder sans autorisation à un réseau, fouiner dans les informations d une société et voler des données client. Vulnérabilités applicatives. Le XSS (Cross-Site Scripting), l injection SQL et d autres types d attaques tirent parti des bogues présents dans les applications. Une injection SQL avec une URL spécialement conçue peut rendre un site Drupal complètement indisponible. Systèmes vulnérables. Lorsque les employés ne prennent pas soin de télécharger et d installer les mises à jour et les correctifs, les systèmes sont sujets aux vecteurs d attaque connus. Par exemple, les pirates peuvent pénétrer un site Drupal non corrigé, obtenir un accès à la racine et s octroyer des privilèges de haut niveau. PICS DE TRAFIC Les montées subites de trafic peuvent être le résultat d attaques DDoS, mais elles peuvent aussi être dues à des pics de fréquentation suite au lancement d un nouveau produit ou à une couverture médiatique inattendue. La surcharge d une base de données système peut entraîner des crashes en cascade à l échelle du système. SINISTRES EXTERNES Les phénomènes météorologiques violents et d autres catastrophes imprévues peuvent être synonymes de désastre pour les centres de données vulnérables. Un ouragan peut avoir des répercussions sur un centre de données côtier situé à des milliers de kilomètres, et lui faire subir des pertes de puissance susceptibles de faire tomber un site Drupal. Outre les catastrophes physiques, les équipements des centres de données sont vulnérables au cyber-espionnage. Une cyber-attaque terroriste contre les infrastructures locales peut avoir pour conséquence la déconnexion d un centre de données entier. ERREUR HUMAINE C est le facteur imprévisible par excellence. L erreur humaine peut être le fait des développeurs ou des utilisateurs. Du côté développeurs, le déploiement d un code défectueux peut faire tomber tout un site Drupal. Du côté utilisateurs, l ingénierie sociale ou la divulgation intentionnelle ou non de données de connexion peuvent permettre à des pirates de se frayer un chemin sur les machines ou le réseau de l entreprise. 6 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Construire et maintenir un site Drupal infaillible Les entreprises doivent prendre des mesures spécifiques pour se préparer aux pannes dans le cloud. Partir du principe que n importe quelle ressource peut tomber en panne à tout moment est l une des bases du développement cloud. Afin de garantir que les sites Drupal restent opérationnels, Acquia propose plusieurs outils destinés à assurer la sécurité et la continuité des activités : Authentification multifactorielle. En plus de la connexion au réseau de l entreprise avec leurs noms d utilisateur et mots de passe, les utilisateurs sont tenus de saisir des codes d authentification distincts quelque chose qu ils possèdent, et non pas quelque chose qu ils savent. Whitelisting. L établissement d une liste blanche répertoriant les adresses IP des machines du réseau de l entreprise permet de s assurer que seuls les ordinateurs de l entreprise sont utilisés pour accéder à la couche gestion d Acquia Cloud. Contrôle des accès basé sur les rôles. Chaque utilisateur est classifié en fonction de son rôle et de ses privilèges, ce qui limite l accès aux composants ou aux données sensibles. Analyse applicative. Acquia Insight simplifie le réglage et la gestion de Drupal, vous donnant ainsi une plus grande visibilité et un contrôle plus poussé sur tous vos sites. Vous pouvez écrire vos propres tests applicatifs, ou laisser le soin aux experts Acquia de le faire pour vous. Les tests permettent de détecter le code défectueux et d autres vulnérabilités. Reprise après sinistre. Acquia Cloud Enterprise est multi-az par défaut et propose le multi-région en option. L équipe d Acquia procède à des sauvegardes, évalue les risques et teste ses plans de reprise après sinistre afin de garantir un fonctionnement sans faille. Partir du principe que n importe quelle ressource peut tomber en panne à tout moment ou qu un plan quelconque peut ne pas se dérouler comme prévu relève du simple bon sens dans un déploiement cloud. Maintenir et exploiter un site Drupal redoutable n est qu un début. Les entreprises ont également besoin de fournisseurs cloud qui ont prévu toutes les éventualités y compris en matière de sécurité. 7 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Garantir la sécurité et la disponibilité d un site Drupal Les entreprises peuvent s évertuer à lancer des sites Drupal sécurisés, même le site le plus solide finira par ne plus être sûr. Dans un monde de menaces en constante évolution, la sécurité Drupal exige vigilance et adaptation. Ce n est qu en respectant ces meilleures pratiques et en auditant régulièrement votre site que vous pouvez garantir la sécurité et la disponibilité de vos fichiers Drupal. SÉCURISER L ENVIRONNEMENT DE DÉVELOPPEMENT Dans la plupart des organisations, l environnement de production est soumis à des contrôles de sécurité strictes. Par ailleurs, les développeurs sauvegardent leur code souvent afin d éviter de perdre leur travail. Mais ces sauvegardes atterrissent généralement dans des environnements hors production qui sont beaucoup moins sécurisés et donc beaucoup plus vulnérables aux attaques. Il est essentiel que les données de production ne soient pas accessibles dans les environnements de développement. ASSAINIR LES BASES DE DONNÉES DRUPAL Drupal accepte les données provenant de n importe quel utilisateur, mais n exécute que les données nettoyées. Le nettoyage des données élimine les problèmes simples comme les ID en double, ainsi que les problèmes plus complexes tels que les tentatives d injection SQL et les codes XSS. L outil de ligne de commande Drush propose la commande de nettoyage de base de données «sql-sanitize» qui généralise les adresses e-mail et efface les mots de passe utilisateur. Des hooks personnalisés peuvent être utilisés pour effectuer des fonctions de nettoyage supplémentaires comme la normalisation du format des données, la désactivation des modules inutiles et l activation ou la désactivation des mots de passe. CONTRÔLER LE RÉFÉRENTIEL DE CODE De nombreux développeurs placent des informations sensibles dans un référentiel de code en pensant appliquer une mesure de sécurité supplémentaire. Ils partent du principe que le référentiel est sécurisé, mais une simple erreur peut ouvrir l accès à des intrus. Au lieu de stocker les informations sensibles sur GitHub, par exemple, vous devez les stocker uniquement sur des serveurs de production locaux. CHIFFRER LES DONNÉES ET LES MACHINES Parallèlement à leurs postes de travail, les développeurs ont fréquemment recours à des ordinateurs portables qui peuvent facilement être perdus ou volés. Tous les terminaux contenant du code sensible doivent donc être systématiquement chiffrés. Par ailleurs, Drupal permet de chiffrer les informations sensibles en assignant une clé de chiffrement pour les champs individuels. CRÉER UN DOMAINE ÉDITORIAL Les petites équipes éditoriales contrôlées peuvent configurer des domaines qui ne sont pas listés sur le DNS public. Au sein d un DNS d entreprise, on peut réserver l accès à ces domaines à un VPN ou des adresses IP spécifiques. L objectif est de limiter l accès à un petit groupe d utilisateurs qui se connectent à partir d emplacements connus. 8 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Utiliser les modules de sécurité Le recours à des modules de sécurité spécifiques peut également protéger les sites Drupal contre les intrusions. Parmi les modules recommandés figurent notamment : Paranoia. Paranoia interdit aux sites Drupal d exécuter des fichiers PHP exécutables. Paranoia empêche également les utilisateurs de communiquer par inadvertance des informations de développement sensibles à des utilisateurs anonymes. SecKit. SecKit permet de mettre en place des paramètres de sécurité basés sur le navigateur, y compris les en-têtes X-Frame et les en-têtes de marge X-Frame. TFA. TFA permet une authentification à deux facteurs pour tous les utilisateurs en imposant la saisie de leurs noms d utilisateur et mots de passe, mais aussi de codes d authentification à usage unique. Security Review. Ce module examine les paramètres Drupal pour résoudre les problèmes connus. Acquia Connector. Parallèlement à des fonctions d examen de sécurité basiques, Acquia Connector fournit des données Drupal avancées. Acquia Connector est un package de modules Drupal qui permet à vos sites construits sur Drupal 6 et 7 d échanger des informations avec Acquia. Parmi les autres modules de sécurité axés sur les utilisateurs et l authentification, on peut citer Password Policy qui impose une série de contraintes pour la définition de mots de passe complexes, Login History qui consigne les tentatives d accès et signale toute activité inhabituelle, et Email Change Confirmation qui exige une confirmation supplémentaire avant de permettre aux utilisateurs de mettre à jour leurs adresses e-mail. 9 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Auditer en permanence Si vous ne suivez pas l évolution des menaces, vos efforts ne protégeront pas votre site Drupal très longtemps. Vous devez auditer la sélection des modules et désactiver les modules inutiles durant le développement et en production pendant le processus de construction. Par ailleurs, vous devez veiller à contrôler les comptes utilisateurs pour vous assurer qu ils appartiennent à des utilisateurs authentiques avec un niveau d accès approprié. Il vous faut aussi mettre régulièrement à jour le code Drupal public et auditer rigoureusement le code personnalisé. La plupart des erreurs sont liées au code personnalisé en particulier au niveau des thèmes. Ces étapes peuvent vous aider à garantir la sécurité et la disponibilité de votre site Drupal. Parer continuellement aux attaques n est pas chose facile, mais une vigilance constante vous permettra de garder votre site opérationnel. Parer continuellement aux attaques n est pas chose facile, mais une vigilance constante vous permettra de garder votre site opérationnel. 10 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Anticiper l avenir Le piratage a souvent des conséquences financières considérables, y compris amendes pour infraction aux réglementations et chute du cours des actions. C est entre autres pour cette raison que les entreprises doivent impérativement mettre en œuvre des mesures adéquates pour prévenir les problèmes de sécurité bien avant qu ils ne se produisent. Une évaluation régulière des risques et des plans de réponse aux incidents peuvent renforcer votre agilité dans les situations d urgence et diminuer les dommages en cas de brèche. ÉVALUATION DES RISQUES Le piratage et les attaques externes ne sont pas les seuls facteurs qui peuvent compromettre le fonctionnement de votre site Drupal. Tout ce qui affecte sa disponibilité peut se traduire par une perte de productivité et de revenus. Lorsque vous évaluez les risques organisationnels, la sécurité et la gestion des incidents sont tous les deux importants. Toutefois, vous devez prendre en compte d autres facteurs de risque à la fois à l intérieur et à l extérieur de votre organisation. LE Problèmes avec les fournisseurs. Résoudre une faille de sécurité au sein de votre organisation peut aussi impliquer de résoudre cette faille chez un fournisseur externe. Menaces de l intérieur. Lors du départ d un employé occupant un poste élevé dans la hiérarchie, le service informatique doit veiller à supprimer ses données d identification. Il peut en effet être tentant pour un employé renvoyé de se venger en subtilisant des données confidentielles. Manque de personnel. Un effectif en nombre insuffisant (ou des développeurs et du personnel informatique qui ne disposent pas des compétences appropriées) peut se traduire par des difficultés non seulement pour rester concurrentiel, mais aussi pour faire face aux menaces de sécurité. La mise en place d une évaluation initiale des risques demande beaucoup de travail. En fait, vous serez sans doute surpris du nombre de facteurs, apparemment indépendants au sein de votre organisation, qui peuvent affecter votre site Drupal. Cependant, une fois que vous aurez identifié les risques critiques, choisi vos indicateurs et établi un plan d action, revoir vos progrès chaque trimestre ne prendra pas autant de temps. Le paysage des risques change constamment, il est donc vital de ne jamais négliger l évaluation des risques. RÉPONSE AUX INCIDENTS La sécurité intérieure et la sécurité extérieure sont des composantes importantes de votre stratégie de gestion des risques. Une fois votre plan de réponse aux incidents établi, vous devez le tester et l ajuster aussi souvent que nécessaire. DÉVELOPPER UNE DOCUMENTATION Commencez par décrire votre plan de gestion des incidents par écrit, en vous concentrant sur les responsabilités des membres de votre équipe. Si vous utilisez une stratégie de défense en profondeur comme celle d Acquia, mettez l accent sur les modalités qui permettront de détecter et de contrer les attaques dans les différentes couches de protection. Établissez un processus pour décider rapidement de l instantané de base de données à restaurer. 11 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Ajoutez toute la documentation utile à votre plan, y compris les chaînes téléphoniques et autres supports de références auxquels vous aurez besoin d accéder durant une crise. Pensez également à identifier les fournisseurs qui devront être informés si vous détectez un incident en cours. Enregistrez le plan sur un ordinateur et conservez-en une copie papier. FORMATION Il est essentiel de former le personnel, les employés qui n appartiennent pas au service informatique et qui ne sont pas des développeurs, sur la réaction à avoir en cas d incident. Travaillez avec votre DRH pour élaborer des supports de formation (modules d apprentissage interactif par exemple). Pensez à aborder la question de la formation des nouveaux employés. Pendant leur intégration, les nouveaux arrivés doivent être informés de l importance des activités suspectes et des moyens de les signaler. RÉPÉTITIONS Mettez votre plan à l épreuve une fois par trimestre ou une fois par an grâce à des simulations grandeur nature. Durant ces exercices, vous découvrirez que certains aspects du plan seraient irréalisables en cas d incident réel même s il vous ont semblé pertinents durant vos séances de planification. Après un exercice, discutez de ce qui n a pas fonctionné, ajustez votre plan et explorez d autres possibilités lors du prochain test. REVUES Procédez à un examen rétrospectif complet après chaque exercice ou chaque incident réel. Adaptez ensuite la formation afin de transmettre aux autres employés ce que vous avez appris. Si les revues sont essentielles au maintien de la conformité réglementaire (PCI ou HIPAA/HITECH, par exemple), vous devez les intégrer dans le processus de conformité pour rendre le tout plus efficace. Enfin, gardez à l esprit que les risques comme votre entreprise ne restent jamais statiques. Continuez de progresser. Évaluez les nouvelles menaces et évoluez pour les combattre. SKU 0465-150319-EBOOK-FRA 12 LA SÉCURITÉ D ACQUIA CLOUD À L ŒUVRE PROTÉGER VOTRE BUSINESS GRÂCE À UNE DÉFENSE EN PROFONDEUR
Parlons-en