Présentation issue du talk pour le Paris Open Source Summit 2018 par Alexandre Brianceau dans le track Cybersécurité. Les politiques de sécurité sont de plus en plus complexes et exigeantes à mettre en oeuvre pour les équipes opérationnelles. Comment pouvons-nous être certains que nos politiques de sécurité soient bien appliquées sur tous sos serveurs autrement qu’à travers un audit massif et coûteux ? Quand bien même le seraient-elles lors de leur création, comment savoir si elles restent parfaitement conformes après quelques jours / semaines / mois ? Nous montrerons comment définir des règles techniques d'une politique de sécurité dans RUDDER, une solution d'automatisation de conformité informatique open source issue du monde devops où la gestion automatique de la configuration est déjà la norme. ensuite toutes les 5 minutes sur chacun des serveurs afin de remonter un résumé global permettant alors d’inspecter les problèmes qui doivent être corrigés. Nous expliquerons également comment une politique d’audit déployée avec succès peut être imposée sur tous les systèmes avec le même outil, en passant de l’audit automatique à la remédiation automatique.

1. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 1
L'audit en continu : clé de la conformité démontrable
Continuous audit: the key to
demonstrable compliance
Alexandre BRIANCEAU
Business Development Director
+33 1 83 62 26 96
abr@rudder.io

2. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 2
Parfois, 99% c’est 0% : presque réussir c’est échouer

3. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 3
Les référentiels ne manquent pas...

4. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 4
Temporaires
Ops
Dev
Les acteurs dans la sécurisation du SI non plus...
Sec
Externes

5. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 5
Cycle de vie permettant d’assurer un maintien de la sécurisation
Politique Application
✓ Audit
réguliers
Remédiation

6. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 6
Ah si seulement on avait Gérard !

7. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 7
Comment s’approcher de l’objectif de façon réaliste ?
DevSecOps
Issu de devops englobant une équipe supplémentaires : la sécurité
Culture
AutomatisationPartage
Mesure

8. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 8
RUDDER : Continuous audit & configuration

9. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 9
Audit et application en continu des configurations

10. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 10
Architecture de la solution
Debian, RHEL, Suse,... 2008R2 et sup. 5.3 et sup.
serveurs physiques
ou VMs
cloud / conteneurs IOT

11. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 11
Exemple d’un workflow
Sec
Serveurs web
de DMZ
Serveurs de
production
Stagiaire
OpsDev
Externe
remédiation - accès root via SSH
audit - sudoers / logs
validation workflow

12. abr@rudder.io +33 1.83.62.26.96 https://rudder.io/ 12
Questions / Réponses
Licences :
➔ Img pont : Shutterstock - Orla (propriétaire)
➔ Img librairie : Pixabay - geralt (CC0 1.0)
➔ Avatars : IconFinder - Users Insights (CC BY 3.0)
➔ Chateau en pixelart : IconFinder - Eucalyp Studio (CC BY 3.0)
➔ Autres icons : Flaticon - Smartline (Licence Flaticon Basic)
Alexandre BRIANCEAU
Business Development Director
+33 1 83 62 26 96
abr@rudder.io