Les CIS Benchmarks sont des guides de configuration sécurisée publiés par le Center for Internet Security, élaborés par consensus d’experts. Ils couvrent les systèmes d’exploitation —Amazon Linux, Ubuntu, RHEL, Windows— avec des centaines de recommandations concrètes : permissions de fichiers, paramètres du noyau, politiques de mots de passe, services à désactiver ou configuration de l’audit.
Appliquer le durcissement à l’AMI —et non à chaque serveur déjà déployé— est le plus efficace : vous durcissez une fois et chaque instance naît sécurisée. C’est l’approche « sécurisé par défaut » qu’exigent des référentiels comme ISO 27001, SOC 2, PCI DSS ou les cadres nationaux de sécurité.
Niveaux L1 et L2 : jusqu’où serrer
CIS définit des profils par niveau. Bien choisir évite de casser des applications par excès de zèle.
| Profil | Objectif | Quand l’utiliser |
|---|---|---|
| Level 1 (L1) | Sécurité essentielle sans impact fonctionnel notable | Point de départ pour la plupart des charges |
| Level 2 (L2) | Défense en profondeur pour environnements sensibles | Données réglementées, risque élevé ; peut demander des ajustements |
| STIG | Exigences du département de la Défense américain | Contrats gouvernementaux ou de défense |
Profils de durcissement CIS et leur champ d’application.
Comment automatiser le durcissement dans l’image
Le durcissement manuel ne passe pas à l’échelle et n’est pas auditable. Voici les trois voies les plus utilisées pour l’intégrer au pipeline de construction :
- EC2 Image Builder avec composants CIS : AWS propose une intégration avec des niveaux CIS gérés qui appliquent et valident le benchmark pendant le build, avec l’option d’images CIS Hardened sur le Marketplace.
- Ansible avec un rôle de durcissement : réutilisez des rôles basés sur CIS pour Linux dans un provisioner Packer ; c’est portable entre clouds.
- Vos propres scripts idempotents : pour des cas précis, avec l’avantage du contrôle total et l’inconvénient de la maintenance.
Contrôles à fort impact qui ne doivent pas manquer
S’il fallait prioriser, ces contrôles CIS apportent la plus grande réduction de risque au moindre coût :
- Désactiver l’accès direct de root par SSH et forcer l’accès par clé, jamais par mot de passe.
- Supprimer les paquets et services inutiles pour réduire la surface d’attaque.
- Configurer le pare-feu de l’hôte (firewalld ou nftables) avec refus par défaut.
- Activer l’audit (
auditd) et la journalisation centralisée des événements. - Appliquer des paramètres noyau sûrs (
sysctl) contre l’usurpation et les attaques réseau. - Politiques strictes de mots de passe et verrouillage de comptes.
- Permissions correctes sur les fichiers critiques :
/etc/passwd,/etc/shadowet les répertoires de démarrage.
Valider que le durcissement a bien été appliqué
Durcir sans vérifier est un acte de foi. Intégrez une phase de validation automatisée qui note l’image face au benchmark et fait échouer le build si le seuil n’est pas atteint.
- CIS-CAT, InSpec ou OpenSCAP analysent l’instance fraîchement cuite et produisent un rapport de conformité.
- Seuil d’acceptation : définissez par exemple « ≥ 95 % des contrôles L1 réussis » comme porte de qualité.
- Preuve pour l’audit : conservez le rapport comme artefact du build ; il vaudra de l’or à votre prochain audit SOC 2 ou ISO.
L’équilibre : sécuriser sans casser l’application
L’erreur classique est d’appliquer L2 à l’aveugle et de découvrir que l’application ne démarre plus. La stratégie sensée : partir de L1, mesurer, puis monter des contrôles L2 de façon sélective en testant sur un environnement de pré-production. Documentez chaque exception justifiée ; un contrôle désactivé avec une raison consignée est acceptable en audit, un contrôle désactivé en silence ne l’est pas.
Questions fréquentes
Le durcissement CIS ralentit-il mes instances ?
L’impact du profil L1 sur les performances est quasi nul. Certains contrôles d’audit intensifs de L2 peuvent ajouter de la charge, c’est pourquoi on les applique sélectivement et on les mesure.
Dois-je acheter les images CIS Hardened ou puis-je le faire moi-même ?
Vous pouvez durcir vous-même avec Ansible, OpenSCAP ou les composants d’EC2 Image Builder. Les images CIS Hardened du Marketplace font gagner du temps et incluent la validation, mais ne sont pas indispensables.
Le durcissement suffit-il pour être conforme ISO 27001 ou PCI DSS ?
Le durcissement est un contrôle technique important, mais la conformité couvre aussi des processus, des politiques et des preuves. Durcir vos AMI vous en rapproche beaucoup, sans remplacer le reste du cadre de conformité.
Chez imaxe.cloud, nous partons d’images durcies selon les bonnes pratiques du secteur pour que vous déployiez sur une base sûre.
