Fiche mémo Sécurité des systèmes

Les sept réflexes

Réflexe	En une phrase
Moindre privilège	seulement les droits nécessaires, pour le temps nécessaire
Durcissement	moins de services, de ports et de comptes ; configuration de référence
Authentification	mots de passe longs et uniques + MFA résistant à l'hameçonnage
Secrets	dans un coffre, jamais dans le code ni les journaux ; rotation
Journaux	tracer les événements de sécurité, jamais les secrets ; les protéger et les lire
Mises à jour	inventaire, priorité, sauvegarde, vérification, retour arrière
Modèle de menace	quatre questions et STRIDE avant de construire

Défense en profondeur

Réseau, puis système, comptes, application, données chiffrées et sauvegardées ; journalisation et alertes sur toutes les couches. Une couche tombe : les autres limitent les dégâts.

Moindre privilège : check-list

Compte quotidien non administrateur ; compte admin séparé.
Un compte par service, sans connexion interactive.
Droits fichiers : 600 (secret), 700 (dossier privé).
Jetons à portée réduite et à durée limitée.
Revue périodique : retirer ce qui ne sert plus.
Pas de sudo par réflexe : comprendre le refus d'abord.

Mots de passe et MFA (NIST SP 800-63B-4)

Règle	Valeur lue
Mot de passe seul	15 caractères au minimum
Mot de passe avec autre facteur	8 caractères au minimum
Longueur maximale acceptée	au moins 64
Règles de composition	à ne pas imposer
Changement périodique	à ne pas imposer ; obligatoire si compromission avérée
Liste de blocage	mots de passe courants ou compromis refusés
Niveau 2 / 3	option résistante à l'hameçonnage / obligatoire ; synchronisable interdit au niveau 3

Du plus au moins résistant à l'hameçonnage : passkey (FIDO2/WebAuthn) ou clé matérielle, puis TOTP, notification push, SMS (« restreint »), courriel. Prévoir des codes de récupération rangés ailleurs.

Secrets

Un coffre (Trousseau : bin/secret get NOM), pas un fichier.
Ni dans le code, la configuration, l'image, l'URL ni le journal.
Courte durée et rotation quand c'est possible.
Fuite : révoquer, tourner, supprimer, consigner.
Supprimer de Git ne suffit pas : l'historique garde le secret.

Journalisation

Oui	Jamais
authentifications (succès, échecs)	mots de passe, jetons, identifiants de session
échecs d'accès	clés, chaînes de connexion
actions d'administration	données bancaires, de santé, d'identité
erreurs, événements système	code source

Journaux protégés, horloges synchronisées, rotation, alertes, relecture planifiée.

Mises à jour

Inventorier systèmes et logiciels.
Prioriser l'exposé à Internet.
Sauvegarder, tester sur un système jetable.
Appliquer, vérifier la version, noter la date.
Retour arrière écrit ; fin de support = remplacement planifié.

Modèle de menace en bref

Quatre questions : sur quoi travaille-t-on ? qu'est-ce qui peut mal tourner ? que fait-on ? l'a-t-on bien fait ?

STRIDE	Violation	Réflexe
Spoofing	authentification	MFA, écouter en local
Tampering	intégrité	droits, empreintes, sauvegarde
Repudiation	traçabilité	journaux
Information disclosure	confidentialité	chiffrement, coffre
Denial of service	disponibilité	limites, délais
Elevation of privilege	autorisation	moindre privilège

Réponses : atténuer, éliminer, transférer, accepter. Documenter.

Commandes de lecture sur Mac (non vérifiées, lire `man` d'abord)

Commande	Effet
`sw_vers`	version de macOS
`fdesetup status`	état de FileVault
`csrutil status`	état de la protection de l'intégrité du système
`spctl --status`	état de Gatekeeper
`id`	identité et groupes du compte
`ls -l fichier`	propriétaire et droits

Aucune ne modifie le système. Ne pas changer ces réglages depuis cette fiche.

Avant de lancer une commande

Lecture ou écriture ? Sur quel compte ?
Fichier ou donnée réelle touchée ? Sinon, utiliser un dossier jetable.
Sauvegarde et retour arrière prévus.
Vérifier le résultat après exécution.