Agent et gestion des postes

L’agent TechWatchAlert s’installe sur les postes et les serveurs (Windows, Linux, macOS). Il remonte en continu l’inventaire de la machine et ses mises à jour manquantes, et exécute ce que vous décidez depuis le Parc : installer des mises à jour, redémarrer, installer ou désinstaller un logiciel, lancer un script. Les déploiements suivent des politiques en anneaux : un groupe pilote d’abord, le reste du parc ensuite, une fois les mises à jour validées.

Comment ça marche

L’agent appelle le serveur toutes les minutes ; le serveur ne se connecte jamais à la machine et aucun port n’est ouvert sur le poste.
Chaque ordre envoyé à l’agent est signé par TechWatchAlert. L’agent n’exécute rien d’autre : un attaquant qui intercepte le trafic ou vole la configuration de l’agent ne peut pas lui faire exécuter de commande.
La machine rejoint le parc dès l’installation, avec son inventaire complet. Ses logiciels reconnus entrent dans la stack et sont surveillés comme les autres : les alertes disent quelles machines sont exposées.

Installer l’agent

Dans Parc › Agents, créez un jeton d’enrôlement : un nom (« Siège », « Serveurs de production »), une durée de validité, un nombre d’utilisations au plus, et si vous le souhaitez un groupe et des étiquettes posés sur les machines enrôlées. Le jeton n’est affiché qu’une fois : copiez la commande tout de suite.
Lancez la commande proposée pour le système de la machine, en administrateur (Windows) ou avec sudo (Linux, macOS). Elle télécharge l’agent depuis TechWatchAlert, vérifie son empreinte SHA-256, l’enrôle et l’installe comme service (service Windows, unité systemd, LaunchDaemon macOS).
La machine apparaît dans le parc en quelques secondes, avec la pastille Agent en ligne.

La commande contient l’empreinte de la clé de signature du serveur : l’agent refuse de s’enrôler auprès d’un serveur qui ne la présente pas.

Télécharger l’agent

Parc › Agents › Télécharger l’agent propose les binaires de la dernière version (Windows x64 et ARM64, Linux x86-64 et ARM64, macOS Intel et Apple Silicon), avec leur empreinte SHA-256 : pratique pour un déploiement par GPO, Intune, un MDM ou un script.

Mise à jour de l’agent

Quand une nouvelle version de l’agent est publiée, les agents se mettent à jour d’eux-mêmes, sans retoucher les machines :

chaque agent télécharge la nouvelle version depuis TechWatchAlert, vérifie son empreinte, s’assure qu’elle fonctionne sur la machine, puis remplace l’ancienne et redémarre ;
si la nouvelle version ne parvient pas à joindre TechWatchAlert, l’ancienne version revient seule et le motif s’affiche dans les tâches de la machine ;
le déploiement est progressif : quelques agents à la fois, jamais tout le parc d’un coup.

Parc › Agents signale les agents en retard (« Mise à jour disponible ») et permet de les mettre à jour à la main, un par un ou tous d’un coup. La mise à jour automatique se coupe dans les réglages des agents.

Révoquer un jeton empêche tout nouvel enrôlement ; les agents déjà installés continuent. Révoquer un agent (liste des agents, ou fiche de la machine) l’arrête à son prochain contact ; la machine reste au parc avec son historique.

Mises à jour manquantes

L’agent recherche les mises à jour manquantes au moins une fois par jour, et à la demande :

Système	Sources
Windows	Windows Update (sécurité, critiques, cumulatives, pilotes…) et winget (logiciels tiers)
Linux	apt (Debian, Ubuntu ; sécurité distinguée), dnf / yum (Red Hat et dérivées, avis de sécurité), zypper
macOS	softwareupdate (système), Homebrew

Parc › Mises à jour regroupe toutes les mises à jour manquantes du parc : combien de machines attendent chacune, sa catégorie, sa sévérité, les CVE corrigées, si elle demande un redémarrage, et la décision du projet :

Approuvée : les politiques qui exigent une approbation peuvent la déployer ;
Refusée : elle ne part jamais, quelle que soit la politique ;
En attente : pas encore de décision.

Une mise à jour peut aussi être déployée maintenant, sur tout le parc, un groupe ou quelques machines, avec une fenêtre de maintenance et une règle de redémarrage.

Politiques de mise à jour (anneaux)

Parc › Déploiements automatise les mises à jour. Une politique dit :

sur quelles machines : tout le parc, ou des groupes ;
quelles mises à jour : sources, catégories, sévérités ; seulement les approuvées, ou toutes ; un délai après leur publication (attendre quelques jours qu’un correctif soit éprouvé) ; des exclusions ;
quand : chaque jour, certains jours de la semaine, certains jours du mois, ou le n-ième jour de semaine du mois (par exemple le lendemain du Patch Tuesday, deuxième mardi), à une heure locale ;
la fenêtre de maintenance : passé ce délai, ce qui n’a pas pu être installé attend la prochaine exécution ;
le redémarrage : jamais, seulement si nécessaire, ou toujours, avec un délai, un message à l’utilisateur et un report maximal.

Une politique peut suivre une politique précédente (anneau) : elle ne déploie que les mises à jour que l’anneau précédent a installées sans aucun échec depuis au moins n jours. Exemple : « Pilote » (10 postes de l’équipe informatique, le lendemain du Patch Tuesday), puis « Postes » (tout le parc, 3 jours après validation par le pilote), puis « Serveurs » (le week-end suivant, fenêtre de 4 h).

Aperçu montre ce que la politique déploierait maintenant, et pourquoi le reste est écarté (non approuvée, trop récente, non validée par l’anneau précédent, déjà en cours…). Exécuter maintenant lance la politique sans attendre sa planification. L’historique des exécutions montre, par machine, ce qui a été installé ou a échoué.

Groupes

Un groupe statique contient les machines choisies. Un groupe dynamique se recalcule à chaque usage, selon des conditions : système, nom, étiquette, criticité, environnement, source, état. Exemple : « système est Windows » et « étiquette parmi pci, hds ».

Actions à distance

Depuis la fiche d’une machine (menu Actions), ou sur plusieurs machines à la fois :

Action	Rôle
Inventaire maintenant, rechercher les mises à jour	Analyste
Installer des mises à jour, installer ou désinstaller un logiciel (winget, apt, dnf, Homebrew), redémarrer, désinscrire l’agent	Admin
Exécuter un script	Admin, et scripts autorisés dans les réglages du parc

L’onglet Tâches de la machine suit chaque action : en attente, envoyée, en cours, réussie, partielle, en échec, expirée ou annulée, avec la sortie et les erreurs.

Scripts

Parc › Scripts garde les scripts du projet (PowerShell, bash, sh, zsh, Python). Ils s’exécutent en SYSTEM (Windows) ou root (Linux, macOS), avec une durée maximale. L’exécution de scripts est désactivée par défaut : un administrateur l’active dans les réglages du parc. Une machine peut aussi l’interdire localement, à l’installation (--sans-scripts) : le serveur ne peut pas la rallumer.

Sécurité

HTTPS seulement, certificat vérifié ; aucun port ouvert sur la machine.
Ordres signés (Ed25519), adressés à un agent précis, datés et à usage unique.
Secret de l’agent rangé hors de portée des utilisateurs (fichier réservé à root, ou chiffré pour la machine sous Windows) ; le serveur n’en garde qu’une empreinte.
Chaque action est tracée au journal d’audit de l’organisation.

ParcMachines, score de risque, vulnérabilités par machine.