Conformité des machines
La conformité contrôle la configuration de sécurité de chaque machine équipée de l’agent TechWatchAlert : comptes et mots de passe, SSH, pare-feu, journalisation, chiffrement du disque, services inutiles, protections du système… Chaque machine reçoit un score sur 100 et une note de A à E, et, pour chaque point qui ne va pas, l’écran dit ce qui a été constaté, pourquoi c’est important et comment corriger.
Ce qui est contrôlé
Section intitulée « Ce qui est contrôlé »Systèmes couverts
Section intitulée « Systèmes couverts »| Famille | Versions |
|---|---|
| Red Hat Enterprise Linux et dérivés (Rocky Linux, AlmaLinux, Oracle Linux, CentOS Stream) | 8, 9, 10 |
| Debian | 11, 12 |
| Ubuntu | 20.04, 22.04, 24.04 |
| Windows | 10, 11 |
| Windows Server | 2016, 2019, 2022, 2025 |
| macOS | 13, 14, 15, 26 |
Sur un système qui n’est pas dans cette liste, l’onglet Conformité de la fiche l’indique ; rien n’est noté.
Les règles
Section intitulée « Les règles »Chaque système a son jeu de règles, regroupées en sections : comptes et mots de passe, authentification (verrouillage, sudo), SSH, réseau, pare-feu, journalisation, audit système, systèmes de fichiers (partitions, options de montage, permissions), services, noyau, démarrage (chargeur, Secure Boot), mises à jour, chiffrement, accès à distance (RDP, partage), session et bureau (verrouillage de l’écran), protection du système (antivirus, SELinux, AppArmor, SIP, Gatekeeper) et synchronisation de l’heure.
Une règle a une sévérité (critique, haute, moyenne, faible), un niveau (1 ou 2) et vise un profil :
- serveur ou poste de travail : le profil vient de l’environnement de la machine dans son contexte métier (Poste → poste ; production, préproduction, test, développement → serveur), sinon de l’édition du système (Windows Server → serveur ; Windows client et macOS → poste). Une machine Linux sans indication prend le profil par défaut des réglages.
- Niveau 1 — socle : les réglages essentiels, sans effet notable sur l’usage. C’est le niveau par défaut, recommandé pour toutes les machines.
- Niveau 2 — renforcé : ajoute des contrôles plus stricts (défense en profondeur), qui peuvent gêner certains usages. Pour les machines sensibles.
Une règle peut ne pas s’appliquer à une machine (un service qui n’est pas installé, une fonction absente de cette version) : elle est alors non applicable et ne compte pas.
- Automatiquement : le premier audit démarre au premier contact d’un agent en version 1.2 ou plus, puis toutes les 24 heures, et à nouveau dès que les règles ou les réglages changent.
- À la demande : Relancer l’audit sur la fiche de la machine (rôle Analyste ou plus). L’agent le prend à son prochain contact, en général dans la minute ; un audit dure quelques secondes.
Un agent plus ancien que 1.2 n’est pas audité : mettez-le à jour (voir Mise à jour de l’agent).
Lire le score et la note
Section intitulée « Lire le score et la note »Chaque règle évaluée est conforme ou non conforme. Le score est la part des règles conformes, pondérée par la sévérité :
| Sévérité | Poids |
|---|---|
| Critique | 10 |
| Haute | 5 |
| Moyenne | 3 |
| Faible | 1 |
Score = 100 × poids des règles conformes ÷ poids des règles conformes et non conformes, arrondi à l’entier. Une règle critique non conforme pèse donc dix fois plus qu’une règle faible. Ne comptent pas : les règles non applicables, celles en erreur (vérification impossible, par exemple un outil absent de la machine) et celles en exception.
| Note | Score |
|---|---|
| A | 90 et plus |
| B | 80 à 89 |
| C | 70 à 79 |
| D | 50 à 69 |
| E | moins de 50 |
Chaque section a aussi son score, calculé de la même façon : il montre où porter l’effort.
Une baisse de 10 points ou plus d’un audit au suivant est inscrite dans l’Historique de la machine.
L’onglet Conformité de la fiche
Section intitulée « L’onglet Conformité de la fiche »Sur la fiche d’une machine, l’onglet Conformité montre :
- le score et la note, la date du dernier audit, le système, le profil et le niveau ;
- les compteurs : non conformes, conformes, non applicables, erreurs, exceptions (un clic filtre la liste) ;
- Relancer l’audit ; quand il n’est pas possible, la raison est écrite à côté (pas d’agent, agent trop ancien, système non couvert, audit déjà en cours, rôle insuffisant) ;
- le score par section : un clic sur une section filtre la liste ;
- la liste des règles, une ligne par règle : sévérité, titre, section, référence CIS, statut. Les non conformes viennent d’abord, de la plus grave à la moins grave, puis les erreurs, les conformes, les non applicables et les exceptions. Filtres : statut, sévérité, section, et recherche (titre, constat, référence).
Un clic sur une règle ouvre son détail :
- Ce qui a été constaté : ce que l’agent a observé sur la machine (par exemple
PermitRootLogin yes), sans aucun secret (jamais de mot de passe ni d’empreinte de mot de passe) ; - Pourquoi c’est important ;
- Comment corriger : les étapes, les commandes à copier une à une ou d’un coup, et pour Windows le chemin de la stratégie de groupe ;
- l’impact possible de la correction, quand il y en a un ;
- les références : numéros de recommandation CIS par version du système, identifiants DISA STIG, NIST SP 800-53, CIS Controls v8.
Après une correction, Relancer l’audit met le score à jour sans attendre le prochain passage.
Exceptions
Section intitulée « Exceptions »Une règle peut ne pas convenir à une machine : un routeur interne doit transférer les paquets, un ancien protocole reste nécessaire le temps d’une migration. Mettre en exception (dans le détail de la règle) l’écarte du score, sans effacer le résultat mesuré, qui reste visible.
- Ouvrez la règle et choisissez Mettre en exception.
- Indiquez la raison (obligatoire) : la mesure compensatoire, le besoin métier ou le risque accepté.
- Choisissez la portée : cette machine, ou toute l’organisation (toutes les machines de tous ses projets).
- Si vous le souhaitez, une date d’expiration : à cette date, la règle compte de nouveau dans le score.
L’auteur et la date de chaque exception sont conservés. Retirer l’exception remet la règle dans le score, avec son dernier résultat. La liste de toutes les exceptions, en vigueur ou échues, est dans Parc › Conformité › Exceptions.
La vue Parc › Conformité
Section intitulée « La vue Parc › Conformité »Parc › Conformité rassemble tout le parc :
- les chiffres clés : score moyen, répartition des notes de A à E, machines auditées, machines sans audit (dont celles dont l’agent est à mettre à jour) ;
- les règles les plus en échec : les règles non conformes sur le plus de machines, ce qu’il faut corriger en premier ;
- Par règle : pour chaque règle, le nombre de machines en échec, en erreur, conformes et en exception, filtrable par section, sévérité et système. Un clic ouvre la règle avec la liste des machines en échec et leur constat ; une exception pour toute l’organisation se pose d’ici ;
- Par machine : score, note, non conformes, date du dernier audit et version de l’agent ; un clic ouvre l’onglet Conformité de la fiche ;
- Exceptions : toutes les exceptions, leur portée, leur raison, leur échéance ;
- Réglages : niveau 1 ou 2, profil par défaut des machines Linux.
La liste du Parc a aussi une colonne Conformité (score et note), triable : les machines les moins conformes d’abord.
Exporter (CSV) télécharge une ligne par machine et par règle du dernier audit : machine, plateforme, score, note, date de l’audit, règle, titre, section, sévérité, statut, constat, référence CIS.
| Action | Rôle |
|---|---|
| Voir la conformité, exporter | Tout membre du projet |
| Relancer l’audit | Analyste ou plus |
| Exception sur une machine | Admin du projet |
| Exception pour toute l’organisation, réglages (niveau, profil) | Admin du projet et administrateur de l’organisation |
Les réglages et les exceptions d’organisation valent pour tous les projets de l’organisation (pour un projet personnel : pour ce projet).
Sécurité et confidentialité
Section intitulée « Sécurité et confidentialité »- L’agent lit des fichiers de configuration, des paramètres du système et la sortie de quelques commandes de consultation connues à l’avance ; il n’exécute aucune commande libre et ne change aucun réglage.
- La liste des règles à vérifier lui parvient dans une tâche signée par TechWatchAlert, comme tous ses ordres.
- Ce qui remonte est le statut de chaque règle et un constat court, sans secret.
Références CIS et STIG
Section intitulée « Références CIS et STIG »Les règles sont écrites par TechWatchAlert à partir de sources ouvertes : guides DISA STIG, projets ComplianceAsCode et macOS Security Compliance Project, recommandations de sécurité de Microsoft. Quand ces sources l’indiquent, la règle cite le numéro de la recommandation CIS correspondante (par exemple « Référence CIS 5.1.20 » pour RHEL 9), pour faire le lien avec un CIS Benchmark que votre organisation utiliserait déjà. Ces références sont données à titre indicatif : TechWatchAlert n’est pas affilié au Center for Internet Security, et la conformité ne vaut pas certification.