La sécurité des serveurs dépend de nombreux facteurs, y compris du système d’exploitation et des fins opérationnelles. Cependant, certaines choses sont universelles.
La sécurité des serveurs est une préoccupation constante pour les TI, même lorsque les serveurs sont protégés dans un centre de données ou virtualisés dans un environnement en nuage. Une brèche de serveur risque de compromettre l’ensemble d’une entreprise, puisqu’un seul point d’infection peut suffire pour mettre à mal le système au complet.
En cette ère du télétravail et du travail hybride, les demandes en matière de gestion des TI sont plus grandes. Étant donné que les utilisateurs travaillent hors site sur des appareils non gérés utilisant de nouvelles technologies, les angles d’attaques augmentent en nombre. On commence plutôt à se concentrer sur la protection des terminaux, ce qui signifie qu’il peut être facile de passer à côté de vulnérabilités critiques dans les serveurs.
Jetons un œil aux cinq principaux problèmes de sécurité des serveurs et les meilleures pratiques pour y remédier:
Assurer une sécurité physique
La sécurité physique est toujours la principale priorité pour un serveur. Qu’importe les trucs, les technologies ou les logiciels que vous utilisez, si vous laissez les gens accéder physiquement à un serveur sans exercer de contrôle quelconque, vous risquez de compromettre l’appareil. Pour les centres de données, que vous possédiez ou utilisiez un service en nuage, la sécurité physique est habituellement intégrée dans l’opération. Ainsi, seules les personnes autorisées ont le droit d’entrer dans l’installation, et il se peut que l’on ait ajouté des niveaux de sécurité à certaines salles de données ou cages d’équipement, ce qui restreint davantage l’accès à ces actifs essentiels.
Les entreprises ne peuvent pas toutes se permettre un tel niveau de sécurité. Cependant, laisser un serveur dans une aire de bureau ouverte est une invitation à y accéder sans autorisation. Le simple fait de verrouiller le serveur d’un service dans une armoire peut faire la différence. Également, le faire fonctionner sans aucun moniteur ou clavier (headless), ajoute une autre couche de sécurité.
Avoir des niveaux explicites de contrôle de l’accès administrateur
Les utilisateurs ayant besoin d’un accès administrateur, qu’il s’agisse du personnel des TI ou des travailleurs d’une entreprise, ne devraient se faire octroyer que les privilèges d’accès requis pour mener à bien les tâches qui leur incombent. Les systèmes d’exploitation ont des niveaux de contrôle minutieux, pour que les tâches administratives soient confiées à des utilisateurs précis, sans avoir à accorder des droits d’accès administrateurs généraux. Souvent, les consoles Web pour les services en nuage offriront aussi des niveaux graduels d’accès administrateur, selon le service en question.
Rappelez-vous que dans presque tous les cas, mieux vaut accorder un accès limité qu’un accès élargi.
Tenir les serveurs et les logiciels d’application à jour
Ce n’est pas pour rien que les fournisseurs de logiciels apportent régulièrement des correctifs à leurs systèmes d’exploitation et à leurs applications et qu’ils les mettent à jour. Alors qu’un bon nombre de correctifs visent à résoudre des problèmes d’ordre fonctionnel, il faut presque toujours apporter des correctifs de sécurité pour assurer la sécurité des serveurs.
Les serveurs pour lesquels aucun correctif n’a été apporté représentent l’une des principales sources d’infection par un maliciel retrouvées sur Internet. Par conséquent, à moins que vous ayez l’intention de garder un serveur isolé du monde extérieur, à tout le moins, vous devez veiller à ce que les correctifs de sécurité soient apportés à mesure qu’ils sortent et qu’ils sont mis à l’essai. Quant aux serveurs et aux applications basées sur le nuage, il se peut que vous ayez à mettre à jour régulièrement le logiciel client exécuté de votre côté pour vous assurer que les tout derniers correctifs de sécurité ont été apportés.
Se tenir au courant de ces changements est aussi susceptible de créer des problèmes sur le plan du personnel, surtout chez les petites entreprises dont le service des TI pourrait compter seulement une poignée d’employés. Une solution à ce problème est d’externaliser ce genre de tâches en les confiant à un fournisseur ou à un partenaire externe. De cette façon, votre personnel interne peut se concentrer sur les tâches essentielles à votre mission.
Préserver la sécurité des applications
De nombreuses applications, surtout celles ayant des éléments basés sur le Web et des éléments de collaboration, possèdent leurs propres modèles de sécurité. Parce qu’il se peut que les applications elles-mêmes aient des privilèges de sécurité rehaussés en fonction des besoins de l’application, permettre d’accéder aux applications et à leurs ressources sans autorisation risque de compromettre la sécurité des serveurs d’hébergement.
Des applications en particulier, comme les serveurs Web, seront dotées de leurs propres procédures de sécurité qu’il faudra suivre. L’installation et la gestion adéquates des applications préviendront le genre d’erreurs commises par les utilisateurs et qui peuvent compromettre la sécurité.
Fermer toutes les fonctions non essentielles au serveur
Les serveurs n’ont pas besoin de navigateur Web, alors que pourtant, ils en ont souvent. Désactivez-les ou, selon le type de système d’exploitation, désinstallez-les complètement. Si vous utilisez une version de Windows Server pour les services de fichiers et d’impression, très peu de fonctionnalités supplémentaires ont besoin d’être installées.
Renseignez-vous bien et désactivez toutes les fonctionnalités n’ayant aucune utilité pour les opérations que vous souhaitez mener. Chaque fonctionnalité de plus ayant un accès ou une accessibilité à distance donne un autre angle d’attaque potentiel.
Mot de la fin
De certaines façons, assurer la sécurité des serveurs limite simplement les possibilités d’accès, tant pour le personnel que pour les étrangers, les virus et les maliciels. Fixer des limites strictes peut grandement aider à maintenir la sécurité de l’environnement informatique.
Ayez une vue d’ensemble de la sécurité de vos systèmes : envisagez d’externaliser l’évaluation de la sécurité de vos TI.
Déterminez le degré d’efficacité de vos mesures de protection en laissant nos experts analyser vos dispositifs de sécurité. Ricoh offre quatre types d’évaluation de la sécurité, à savoir l’évaluation des vulnérabilités et les tests de pénétration, d’applications Web et de piratage psychologique.
Planifiez l’évaluation de l’état de santé de vos TI dès aujourd’hui!
