Depuis l’avènement du e-commerce, le site web est souvent relié au c?”ur du système d’information. Il doit alors être protégé et surveillé en permanence. Il convient donc d’éliminer immédiatement l’option de l’hébergement partagé. Installer plusieurs sites web sur un même serveur physique ouvre la porte à l’instabilité (le dysfonctionnement d’un site peut en affecter d’autres) et aux abus (il n’est pas rare qu’une mauvaise configuration permette au propriétaire d’un site d’accéder aux fichiers de ses voisins).
Exiger l’isolation de ses ressources
L’hébergement dédié constitue donc l’unique solution viable. Cependant, l’infrastructure de l’hébergeur (routeurs, commutateurs, etc.) reste commune. Ce qui pose un problème complexe dans le cas d’une attaque par déni de service, les équipements de routage étant en première ligne. Seules les compétences de l’hébergeur permettront de cloisonner les ressources des clients. “La majorité des hébergeurs ne fait que proposer un coupe-feu entre Internet et les ressources internes. Ce n’est pas suffisant. Il faut exiger aussi l’isolation de ses propres ressources vis-à-vis des autres clients. Cela peut se faire au niveau des commutateurs. Certains modèles autorisent en effet la création de VLAN [LAN virtuels, Ndlr] qui permettent de mettre un serveur sur chaque port du commutateur en l’isolant ainsi des autres“, explique Pascal Delprait, consultant sécurité France pour Cisco. Pour le reste, une administration sécurisée des routeurs par SSH (Secure Shell) et une bonne compréhension de leurs capacités de filtrage sont essentielles mais délicate à contrôler a priori.Passées les parties communes que représentent les équipements de routage, la sécurité est alors l’affaire du client. Si ce dernier a souscrit à une offre d’infogérance, l’hébergeur se chargera au minimum de la mise à jour de l’OS et du serveur web. Mieux vaut néanmoins contrôler son assiduité en demandant l’historique des correctifs appliqués. Sur les milliers de serveurs IIS infectés par les virus Code Rouge ou Nimda, beaucoup étaient certainement en infogérance chez des hébergeurs peu réactifs.Le reste des services de sécurité s’achète généralement à la carte. L’hébergeur peut ainsi proposer d’administrer un coupe-feu ou, plus rarement, un logiciel de détection d’intrusion sur le serveur. Hélas, il s’agit le plus souvent de solutions partagées. Dans le cas d’un coupe-feu, cela peut conduire à une situation où l’équipement détecte une tentative d’intrusion contre l’un des sites et en bloque la source auprès de tous les autres serveurs hébergés. Là encore, puisque la solution d’un pare-feu dédié est souvent inabordable, ce seront les capacités d’administration de l’hébergeur qui feront la différence. Le client peut aussi choisir de déployer sur son serveur des solutions d’authentification forte. Ces dernières sont efficaces, à condition que l’hébergeur s’y intéresse et sache surveiller les flux qu’elles génèrent.Enfin, toutes les solutions logiques seront inutiles si n’importe qui peut entrer dans la salle des machines et repartir avec un disque dur sous le bras. Il convient donc de contrôler aussi la sécurité physique. Pour cela, mieux vaut faire appel à une société tierce spécialisée dans les audits de sécurité logique et physique, à même d’envoyer un consultant sur place se faisant passer pour un technicien d’intervention, par exemple. De l’aveu même d’un consultant, bien des hébergeurs ne passent pas le test !
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
