Bonnes pratiques de scan de vulnérabilités
Bonnes pratiques pour exécuter des scans de vulnérabilités sur les environnements VergeOS, y compris les cibles de scan recommandées, les considérations d’architecture et les recommandations de conformité.
Vue d’ensemble
Cet article explique comment aborder le scan de la plateforme VergeOS, à quoi s’attendre dans les résultats de scan et comment démontrer la conformité des correctifs lors des audits. Pour les charges de travail exécutées dans des VM et des tenants, appliquez les politiques de scan standard de votre organisation.
Prérequis
Accès administratif à l’interface web de VergeOS
Maîtrise de l’outil de scan des vulnérabilités de votre organisation (par ex. Nessus, Qualys, Rapid7)
Compréhension des concepts réseau de VergeOS
architecture de sécurité de VergeOS
Avant de configurer les scans, il est utile de comprendre en quoi VergeOS diffère d’un hyperviseur traditionnel ou d’un serveur Linux :
Système de fichiers en superposition en lecture seule — VergeOS exécute un noyau spécialisé avec une superposition en lecture seule. Les paquets ou modifications non autorisés ne sont pas persistants et peuvent provoquer une instabilité du système. Cela réduit considérablement la surface d’attaque par rapport aux systèmes d’exploitation généralistes.
Aucune gestion de paquets traditionnelle — Il n’existe pas de gestionnaire de paquets
apt,yumou similaire. Tous les correctifs sont fournis via le système de mise à jour intégré.SSH désactivé par défaut — L’accès SSH n’est pas nécessaire pour le fonctionnement normal. L’interface web fournit un accès administratif complet, et les diagnostics des nœuds sont disponibles directement depuis l’interface.
Surface externe minimale — Seule l’adresse IP de gestion (interface web) est censée être accessible de l’extérieur. Les NIC des nœuds gèrent le trafic du tissu interne (vSAN et communication entre nœuds) sur le réseau principal et ne sont pas exposées aux réseaux externes dans un déploiement standard.
Cibles de scan recommandées
Adresse IP de gestion (interface web)
L’adresse IP de gestion est la seule surface accessible de l’extérieur dans un environnement VergeOS correctement déployé. Scanner cette adresse fournit des résultats pour :
l’application web et l’API de VergeOS
la configuration du certificat TLS
tout service réseau exposé
Commencez ici
Pour la plupart des exigences de conformité, le scan de l’adresse IP de gestion suffit à démontrer l’évaluation des vulnérabilités de l’hyperviseur.
Adresses IP des nœuds individuels
Les adresses IP des nœuds sont utilisées pour le trafic interne du tissu et ne sont pas accessibles de l’extérieur dans un déploiement standard. Les scanner est inutile.
Qu’en est-il des réseaux des tenants et des VM ?
Le scan de vulnérabilités des charges de travail exécutées à l’intérieur de VM et des tenants est distinct du scan de la plateforme VergeOS elle-même. Les VM sont des systèmes d’exploitation standard et doivent être scannées selon vos politiques habituelles. VergeOS fournit une microsegmentation réseau pour isoler les charges de travail au niveau du réseau.
Configuration de votre scanner
Utilisez une politique de scan réseau sans authentification (par ex. Nessus « Basic Network Scan » ou équivalent). Évitez les politiques d’audit spécifiques à Linux — elles reposent sur l’énumération des paquets via SSH et produiront des résultats trompeurs ou vides sur VergeOS.
Paramètres de scanner recommandés :
Type de scan : Scan réseau à distance sans authentification
Cible : Adresse IP de gestion (HTTPS sur le port 443)
Désactiver : Plugins d’audit de correctifs Linux/Unix avec authentification, vérifications de sécurité locales
Activer : Vérifications d’applications web, audit TLS/SSL, détection des services
Résultats de scan typiques pour une adresse IP de gestion VergeOS :
Identification du système d’exploitation : inconnue ou non concluante
Ports ouverts : 443/tcp (HTTPS)
Résultats : éléments informatifs liés au serveur web et à la configuration TLS
Si vos résultats ressemblent à cela, le scan fonctionne correctement. VergeOS a délibérément une surface d’attaque minimale. Si votre auditeur exige des preuves supplémentaires au-delà des résultats de scan, voir lignes directrices sur les correctifs et les mises à jour ci-dessous.
Fréquence des scans
Alignez la fréquence des scans sur les exigences de votre cadre de conformité (par ex. trimestrielle pour PCI-DSS, mensuelle pour une politique interne). Comme VergeOS expose une surface d’attaque minimale, il est peu probable que les résultats de scan changent entre les mises à jour de la plateforme — planifiez les scans après l’application des mises à jour pour capturer l’état actuel.
Scans avec authentification vs sans authentification
Les scans sans authentification sur l’adresse IP de gestion sont l’approche recommandée. Ces scans identifient les services exposés et les vulnérabilités connues sans nécessiter d’accès au niveau de l’hôte.
Les scans avec authentification nécessitent un accès SSH, lequel est désactivé par défaut dans VergeOS. Activer SSH pour un scan de routine est déconseillé.
Si votre cadre de conformité exige spécifiquement un scan avec authentification :
Activez SSH uniquement pendant la durée du scan.
Restreignez l’accès SSH à l’adresse IP source du scanner à l’aide de règles de pare-feu.
Désactivez SSH immédiatement après la fin du scan.
Documentez l’accès temporaire dans vos dossiers de conformité.
Voir Activation de l’accès SSH système pour la procédure complète.
lignes directrices sur les correctifs et les mises à jour
Les nœuds VergeOS sont corrigés via le système de mise à jour intégré, et non via la gestion traditionnelle des paquets du système d’exploitation. Il s’agit d’une distinction importante pour les workflows de conformité et de remédiation des vulnérabilités.
Accédez à Système > Mises à jour pour vérifier les mises à jour disponibles.
Consultez les notes de version pour les correctifs de sécurité et les remédiations des CVE inclus dans chaque version.
Suivez le guide de mise à jour VergeOS pour connaître les meilleures pratiques lors de l’application des mises à jour.
Pour les environnements isolés d’Internet, voir Mise à jour d’un système VergeOS avec une licence Airgap pour l’application de correctifs hors ligne.
Démonstration de la conformité des correctifs
À des fins d’audit, les éléments de preuve suivants peuvent démontrer que votre environnement VergeOS est corrigé et à jour :
Numéro de version actuel — visible sur le tableau de bord principal et dans Système > Mises à jour
Notes de version — chaque version de VergeOS documente les correctifs de sécurité (par ex. CVE-2024-6387 a été traité dans la version 4.12)
Historique des mises à jour — le tableau de bord du serveur de mise à jour indique quand les mises à jour ont été appliquées
Enregistrements de snapshots — VergeOS peut créer automatiquement des snapshots système avant les mises à jour, fournissant un point de restauration documenté
Réponse aux CVE signalées par le scanner
Lorsqu’un scanner signale une CVE sur l’interface de gestion :
Vérifiez le notes de version afin de déterminer si la CVE a été corrigée dans la version actuelle ou dans une version plus récente de VergeOS.
Si une mise à jour corrigeant la CVE est disponible, appliquez-la via Système > Mises à jour.
Si la CVE n’est corrigée dans aucune version disponible, contactez le support VergeOS pour signaler le constat et demander des conseils.
Exemple de formulation de conformité
Lorsque vous documentez la posture de sécurité de votre hyperviseur pour les auditeurs, vous pouvez adapter ce qui suit :
« VergeOS est un système d’exploitation hyperconvergé conçu spécifiquement et renforcé, avec un système de fichiers en superposition en lecture seule et une surface d’attaque externe minimale. La plateforme n’utilise pas la gestion traditionnelle des paquets du système d’exploitation ; tous les correctifs de sécurité sont fournis via des mises à jour gérées par l’éditeur et appliquées au moyen du système de mise à jour intégré. La version actuelle [X.Y.Z] a été appliquée le [date]. Les notes de version documentant les remédiations des CVE pour chaque version sont disponibles à docs.verge.io/release-notes."
Dépannage
Problèmes courants
Problème : Le scanner ne peut pas identifier le système d’exploitation
Solution : VergeOS est un système d’exploitation personnalisé et peut ne pas être identifié par les scanners standards. Mentionnez-le dans votre documentation de conformité comme une plateforme renforcée conçue spécifiquement.
Problème : Le scan avec authentification nécessite SSH, mais celui-ci est désactivé
Solution : Voir la Scans avec authentification vs sans authentification section ci-dessus. Activez SSH temporairement et avec des restrictions d’adresse IP si nécessaire.
Ressources supplémentaires
Nouvelle configuration système — Configuration initiale de sécurité et de fiabilité pour les nouveaux déploiements
Mise à jour d’un système VergeOS avec une licence Airgap — Application de correctifs hors ligne pour les environnements isolés d’Internet
Alarmes système — Surveillance proactive des configurations vulnérables
Authentification multifacteur — TOTP et 2FA par e-mail pour l’accès administratif
Microsegmentation réseau — Isolation réseau zero trust entre les charges de travail
Retour
Mis à jour
Ce contenu vous a-t-il été utile ?