Durcissement (hardening).

Le durcissement transforme des systèmes tels qu'installés en systèmes résilients : désactivation des services inutilisés, suppression des comptes par défaut, application du moindre privilège, authentification forte, activation du chiffrement, configuration de la journalisation et limitation de l'exposition réseau. Il s'applique aux systèmes d'exploitation, aux applications, aux bases de données, aux conteneurs, aux services cloud, aux équipements réseau et aux firmwares.

Plutôt que d'inventer des contrôles machine par machine, les praticiens adoptent des référentiels publiés. Les CIS Benchmarks fournissent des guides de durcissement consensuels et versionnés pour des centaines de technologies, avec deux niveaux de profil ; la conformité peut être mesurée automatiquement avec CIS-CAT au regard des CIS Controls lisibles par machine. Dans les contextes gouvernementaux et de défense américains, les STIG de la DISA sont obligatoires, distribués sous forme de contenu SCAP et audités avec des outils tels qu'OpenSCAP. Des catalogues de contrôles plus larges incluent NIST SP 800-53 et le NIST SP 800-123 axé sur les serveurs. Plutôt que de cliquer manuellement dans les réglages, les équipes codifient le référentiel sous forme de Ansible, Chef ou Puppet et l'appliquent en continu, empêchant la dérive de configuration.

Le durcissement complète — mais ne remplace jamais — l'application de correctifs : même un hôte entièrement à jour peut être exploité s'il expose un partage anonyme, laisse un endpoint de débogage ouvert ou exécute un interpréteur superflu. La défense en profondeur associe un référentiel durci à une supervision afin que les écarts soient détectés et corrigés.

flowchart TB
  A[Système par défaut<br/>large surface d'attaque] --> B[Choisir un référentiel<br/>CIS Benchmark · DISA STIG · NIST 800-53]
  B --> C[Appliquer les contrôles<br/>désactiver services · moindre privilège · chiffrement · journalisation]
  C --> D[Automatiser via IaC<br/>Ansible / Chef / Puppet]
  D --> E[Auditer la conformité<br/>CIS-CAT · OpenSCAP]
  E --> F{Dérive ou lacunes ?}
  F -->|Oui| C
  F -->|Non| G[Référentiel durci<br/>supervisé en continu]