30,997
edits
Informations sécurité: Difference between revisions
Jump to navigation
Jump to search
m
→Remonter une faille de sécurité
Tag: 2017 source edit |
|||
| Line 16: | Line 16: | ||
=[[File:securite.png]] Alertes de sécurité= | =[[File:securite.png]] Alertes de sécurité= | ||
Le projet a mis en place un processus de notification temps réel pour les alertes officielles sur les vulnérabilités de sécurité connues sur le projet Dolibarr (agrégation des CVE officielles publiées avec les Private Vulnerability Disclosure, et issues/tickets estampillés sécurité du projet). Vous pouvez: | Le projet a mis en place un processus de notification temps réel pour les alertes officielles sur les vulnérabilités de sécurité connues sur le projet Dolibarr (agrégation des CVE officielles publiées avec les Private Vulnerability Disclosure, et issues/tickets estampillés sécurité du projet). Vous pouvez: | ||
* Si vous souhaitez également recevoir des alertes de sécurité non encore connues de l'équipe projet, et publiées dans la base de données internationale CVE (très rare, les vulnérabilités étant en général remontées au projet avant d'être publié en CVE et donc déjà remontées via la méthode précédente), vous pouvez souscrire à un service d'alerte CVE. Par exemple https://opencve.io | *Consulter la section "'''Dernières alertes de sécurité'''" disponible sur cette page https://cti.dolibarr.org#securityalerts, | ||
*Ou vous abonner au flux RSS sur https://cti.dolibarr.org/index-security.rss (par exemple avec l'application Android [https://f-droid.org/packages/com.nononsenseapps.feeder/ Feeder] ) si vous avez besoin de recevoir ou de consulter les alertes en temps réel sur votre smartphone. | |||
*Si vous souhaitez également recevoir des alertes de sécurité non encore connues de l'équipe projet, et publiées dans la base de données internationale CVE (très rare, les vulnérabilités étant en général remontées au projet avant d'être publié en CVE et donc déjà remontées via la méthode précédente), vous pouvez souscrire à un service d'alerte CVE. Par exemple https://opencve.io | |||
=[[File:art.png]] Fonctionnalités de sécurité= | =[[File:art.png]] Fonctionnalités de sécurité= | ||
| Line 80: | Line 81: | ||
Notez qu'il reste préférable d'ajouter aussi la protection côté serveur Web en désactivant l'option Apache | Notez qu'il reste préférable d'ajouter aussi la protection côté serveur Web en désactivant l'option Apache | ||
< | <syntaxhighlight lang="ini"> | ||
AcceptPathInfo Off | AcceptPathInfo Off | ||
</ | </syntaxhighlight> | ||
| Line 106: | Line 107: | ||
*Aucun traçage de mot de passe dans les logs (ni techniques ni fonctionnelles) <sup>[*7]</sup>. | *Aucun traçage de mot de passe dans les logs (ni techniques ni fonctionnelles) <sup>[*7]</sup>. | ||
*Système d'audit interne pour journaliser de manière permanente les événements en rapport avec l'administration utilisateurs et les connexions en succès ou en échec. | *Système d'audit interne pour journaliser de manière permanente les événements en rapport avec l'administration utilisateurs et les connexions en succès ou en échec. | ||
*Possibilité de tracer un enregistrement en fichier log (Le module Debug Log doit être activé avec au moins le niveau 5 - LOG_NOTICE) après un succès ou un échec de connexion ainsi vous pouvez ajouter des règles fail2ban ou crowdsec pour bloquer les '''brute force attacks'''. Vous pouvez vérifier les enregistrements avec la syntax : | *Possibilité de tracer un enregistrement en fichier log (Le module Debug Log doit être activé avec au moins le niveau 5 - LOG_NOTICE) après un succès ou un échec de connexion ainsi vous pouvez ajouter des règles fail2ban ou crowdsec pour bloquer les '''brute force attacks'''. Vous pouvez vérifier les enregistrements avec la syntax : | ||
"YYYY-MM-DD HH:MM:SS (ERROR|NOTICE|INFO|DEBUG) IP functions_dolibarr::check_user_password_.* Authentication KO" | "YYYY-MM-DD HH:MM:SS (ERROR|NOTICE|INFO|DEBUG) IP functions_dolibarr::check_user_password_.* Authentication KO" | ||
Des exemples de règles fail2ban son fournis avec le projet. | Des exemples de règles fail2ban son fournis avec le projet. | ||
| Line 128: | Line 130: | ||
'''DOS (Deny Of Service) et modération Brute force''' | '''DOS (Deny Of Service) et modération Brute force''' | ||
* Fonction intégrées AntiDOS via des quota par IP sur les actions publiques. | *Fonction intégrées AntiDOS via des quota par IP sur les actions publiques. | ||
* Le projet fournit des exemples de règles fail2ban pour bloquer les tentatives de force brute ou les accès abusifs sur la page de connexion, la page de mot de passe oublié et sur toutes les pages publiques. Voir https://github.com/Dolibarr/dolibarr/tree/develop/dev/setup/fail2ban | *Le projet fournit des exemples de règles fail2ban pour bloquer les tentatives de force brute ou les accès abusifs sur la page de connexion, la page de mot de passe oublié et sur toutes les pages publiques. Voir https://github.com/Dolibarr/dolibarr/tree/develop/dev/setup/fail2ban | ||
| Line 137: | Line 139: | ||
Dolibarr passe avec succès le niveau de conformité Sécurité et Bonnes Pratiques définies par l'OpenSourceSSF : https://bestpractices.coreinfrastructure.org/projects/5521 | Dolibarr passe avec succès le niveau de conformité Sécurité et Bonnes Pratiques définies par l'OpenSourceSSF : https://bestpractices.coreinfrastructure.org/projects/5521 | ||
= [[File:art.png]] Remonter une faille de sécurité = | =[[File:art.png]] Remonter une faille de sécurité= | ||
Le projet publie sa politique de remontée de vulnérabilité via le fichier standard suivant: https://github.com/Dolibarr/dolibarr/blob/develop/SECURITY.md | Le projet publie sa politique de remontée de vulnérabilité via le fichier standard suivant: https://github.com/Dolibarr/dolibarr/blob/develop/SECURITY.md | ||
Les corrections de sécurité sont en général traitées (commité dans le code source) en moins de 15 jours. La | Les corrections de sécurité sont en général traitées (commité dans le code source) en moins de 15 jours. La remontée aux utilisateurs se fait en automatique dans l'heure qui suit le commit via le flus RSS dédié https://cti.dolibarr.org/index-security.rss) | ||
=[[File:Www.png|39px|link=]] Ouvrir l'accès à sa machine / son serveur local vers internet= | =[[File:Www.png|39px|link=]] Ouvrir l'accès à sa machine / son serveur local vers internet= | ||