« Un serveur est durci dès que son pare-feu bloque les ports inutiles. »
L’exposition, le service lui-même, son support, sa configuration, son identité et son chemin d’administration doivent être cohérents.
01Inventorie les services
column -s, -t "$lab/source/endpoints/exposed-services.csv"Chaque service relie actif, zone, protocole, port, exposition, propriétaire, nécessité, état de correction, profil, test et rollback.
02Justifie l’exposition
Seul HTTPS de web-dmz-01 est public. SSH, l’interface OPNsense, l’hôte conteneur et l’API Kubernetes passent par WG_ADMIN.
Un service déclaré non requis mais encore exposé est une contradiction bloquante.
03Relie exposition et patching
Un actif public ou privilégié sans stratégie de correction ne peut pas rester READY. Le lab bloque les états unsupported, unpatched ou unknown.
04Applique le profil par rôle
column -s, -t "$lab/source/endpoints/hardening-controls.csv"Le profil d’un serveur web diffère d’un serveur applicatif, d’un firewall, d’un hôte conteneur ou d’un contrôle Kubernetes.
05Conserve la fonction
column -s, -t "$lab/output/endpoint-hardening-review.csv"Le contrôle doit maintenir HTTPS, l’application, la base, le management et l’API autorisée. Un contrôle sans test n’est qu’une intention.
06Traite les exceptions
Une incompatibilité documentée doit préciser portée, risque, propriétaire, échéance, contrôle compensatoire et critère de sortie. NONE signifie qu’aucune exception n’est actuellement déclarée dans la fixture.
07Teste l’échec
NEG-05 représente un service non requis exposé et un actif sans support. Le résultat doit être BLOCKED.
08Annonce la limite
Le lab ne lit pas l’état d’un endpoint. Il ne vérifie ni versions, EDR, configuration réelle, ports ouverts ni correctifs installés.
Réduis une exposition
Choisis un actif, établis l’état initial, retire ou isole un service, définis le test fonctionnel, le test négatif, l’exception éventuelle et le rollback.
✓À retenir
Le durcissement d’un endpoint relie nécessité métier, exposition minimale, correction, configuration, management et preuve fonctionnelle.