Machines hors ligne (air-gap)

Certaines machines ne doivent jamais joindre Internet : réseau industriel, système d’information d’un opérateur d’importance vitale, plateau technique d’un hôpital. L’agent TechWatchAlert y fonctionne en mode hors ligne : il collecte sur place, sans aucun accès au réseau, et vous transférez ses fichiers à la main (clé USB, sas de transfert, diode). TechWatchAlert les reçoit comme s’ils venaient de l’agent en ligne : inventaire, logiciels surveillés dans la stack, mises à jour manquantes, conformité.

Note

Le mode hors ligne fait partie de l’agent (version 1.4.0 ou plus) : il est ouvert aux mêmes offres, dans la même limite de machines. Une machine hors ligne compte comme une machine avec agent.

Comment ça marche

• Aucune connexion. Sur la machine, l’agent n’appelle jamais TechWatchAlert et n’installe aucun service : vous lancez ses commandes quand vous le décidez.
• Collecte chiffrée et signée. Chaque collecte est chiffrée pour la clé de votre organisation (X25519, HKDF-SHA256, ChaCha20-Poly1305) : seul TechWatchAlert peut la lire, pas le support de transfert ni le relais. Elle est signée par la clé de l’agent, créée sur la machine à l’enrôlement, horodatée et numérotée : une collecte modifiée, rejouée ou destinée à une autre organisation est refusée.
• Catalogue signé. Les règles de conformité descendent dans un fichier signé par TechWatchAlert ; l’agent le vérifie avant chaque audit et refuse un catalogue plus ancien que celui en place.
• Rien ne descend d’autre. Aucune action à distance (installation de mises à jour, script, redémarrage) n’est envoyée à une machine hors ligne : les déploiements et les actions l’écartent, avec la raison « machines hors ligne ».

Mettre en place

1. Dans Parc › Agents, vue Hors ligne, un administrateur du projet télécharge un fichier d’enrôlement : un nom, une durée de validité (90 jours par défaut), un nombre d’utilisations au plus, et si vous le souhaitez un groupe d’arrivée. Un même fichier peut enrôler plusieurs machines.

   Attention

   Le fichier d’enrôlement contient un jeton d’enrôlement : transférez-le comme un secret et supprimez-le après usage. Il n’est délivré qu’une fois ; le jeton apparaît dans la vue Jetons, où il se révoque. Un jeton révoqué n’arrête pas les machines déjà enrôlées.

2. Si vous suivez la conformité, téléchargez aussi le catalogue de conformité (même vue) : les règles de votre niveau, pour tous les systèmes. Il est valable un an ; téléchargez-en un nouveau après avoir changé les réglages de conformité.

3. Copiez l’agent (vue Installer, Télécharger l’agent) et les deux fichiers sur la machine. En administrateur (Windows) ou avec sudo (Linux, macOS), importez le fichier d’enrôlement en donnant l’empreinte affichée dans la console :

   Linux et macOS

   sudo techwatchalert-agent hors-ligne enroler --fichier enrolement.twa --empreinte <empreinte>
   sudo techwatchalert-agent hors-ligne catalogue --fichier catalogue.twa

   Windows

   techwatchalert-agent.exe hors-ligne enroler --fichier enrolement.twa --empreinte <empreinte>
   techwatchalert-agent.exe hors-ligne catalogue --fichier catalogue.twa

   L’agent refuse un fichier dont l’empreinte ne correspond pas : c’est ce qui garantit que les collectes seront chiffrées pour votre organisation et non pour un tiers.

4. Lancez une collecte, vers une clé USB ou un dossier de transfert :

   sudo techwatchalert-agent hors-ligne collecter --sortie /media/usb/

   L’agent écrit un fichier .twa (inventaire complet, mises à jour manquantes, audit de conformité) et n’écrase jamais un fichier existant. Avec un miroir interne des dépôts de paquets, --actualiser rafraîchit d’abord leurs métadonnées.

5. Dans Parc › Agents › Hors ligne, Importer des collectes : choisissez le fichier. TechWatchAlert dit, pour chaque collecte, si elle est importée ou pourquoi elle est refusée. La machine apparaît dans le parc avec l’état Hors ligne et la date de son dernier import.

Recommencez les étapes 4 et 5 au rythme qui vous convient (chaque semaine, chaque mois). Une collecte de plus de 30 jours est refusée : elle décrirait une machine qui a changé depuis.

Plusieurs machines : le relais

Une machine de la zone isolée peut servir de relais : elle réunit les collectes de plusieurs machines en un seul lot, sans pouvoir les lire (elle n’a pas la clé de l’organisation). Elle n’a pas besoin d’être enrôlée.

techwatchalert-agent hors-ligne regrouper --sortie lot.twa /media/usb/

Le relais vérifie chaque collecte, écarte les fichiers illisibles et les doublons, et range le lot par machine et par numéro. Importez le lot comme une collecte.

Par l’API publique

Avec une clé d’API qui porte la portée hors-ligne (cochée explicitement : une clé sans restriction n’importe rien), une chaîne de transfert automatisée dépose le fichier tel quel :

curl -X POST "https://app.techwatchalert.com/api/v1/organizations/$ORG_ID/projects/$PROJECT_ID/hors-ligne/imports?fichier=lot.twa" \
  -H "Authorization: Bearer $TWA_API_KEY" --data-binary @lot.twa

La même portée permet de télécharger le catalogue signé (GET …/hors-ligne/catalogue). Détail : référence de l’API.

Ce que vous voyez

• Parc › Agents : l’état Hors ligne, la mention Par fichier et la date du dernier import. Le filtre Hors ligne regroupe ces machines avec les agents qui ne contactent plus TechWatchAlert.
• Fiche de la machine : inventaire, logiciels, vulnérabilités, mises à jour manquantes et conformité, datés de la collecte ; l’historique note chaque import.
• Santé de la surveillance : une machine hors ligne n’est pas comptée comme un agent muet tant qu’elle est importée régulièrement ; elle le devient après 35 jours sans import.
• Historique des imports (vue Hors ligne) : chaque fichier importé, par qui, par l’interface ou l’API, et le sort de chaque collecte.

Pourquoi une collecte est refusée

Raison	Que faire
Collecte déjà importée, ou plus ancienne que la dernière	Rien : la collecte la plus récente est déjà là.
Collecte trop ancienne	Refaites une collecte sur la machine.
Autre projet ou autre organisation	Importez le fichier dans le bon projet.
Chiffrée pour une autre clé	Ré-enrôlez la machine avec un fichier d’enrôlement récent.
Signature invalide, déchiffrement impossible	Le fichier a été altéré pendant le transfert : refaites une collecte.
Jeton inconnu, expiré, révoqué ou épuisé	Première collecte d’une machine, ou machine réinstallée : générez un nouveau fichier d’enrôlement et ré-importez-le sur la machine.
Agent révoqué	Ré-enrôlez la machine avec --nouvelle-cle.
Limite de machines atteinte	Libérez une place ou passez à une offre supérieure.

Sur la machine

• techwatchalert-agent hors-ligne etat : projet, empreinte, catalogue en place, dernière collecte et son numéro.
• techwatchalert-agent hors-ligne enroler --fichier … --nouvelle-cle : nouvelle clé d’agent (machine clonée, clé compromise) ; la collecte suivante demande un jeton valide.
• techwatchalert-agent hors-ligne desenroler : efface la clé de l’agent, le jeton, le catalogue et l’état. La machine reste dans le parc jusqu’à sa révocation.

La clé de l’agent et le jeton sont rangés hors de portée des utilisateurs non administrateurs, comme le secret de l’agent en ligne.

Limites

• Les mises à jour se déploient par vos moyens habituels dans la zone isolée ; TechWatchAlert vous dit lesquelles manquent et sur quelles machines.
• La mise à jour de l’agent se fait à la main (nouveau binaire).
• Le profil de conformité d’une machine hors ligne (poste ou serveur) suit son système (Windows Server, poste Windows, macOS) et, pour Linux, le profil par défaut des réglages de conformité.

Agent et gestion des postesL'agent en ligne : installation, mises à jour, déploiements.