--- title: "Outils de sécurité" description: "Outils intégrés d'analyse de sécurité et de gestion des vulnérabilités pour la validation de la conformité PCI DSS." version: "fr" --- > Index de la documentation > Index complet de la documentation : https://docs.kliper.dev/fr/llms.txt > Utilisez ce fichier pour découvrir toutes les pages disponibles. # Outils de sécurité Kliper inclut une suite d'outils de sécurité intégrés, regroupés en **Outils d'évaluation** et **Renseignement sur les menaces**, qui permettent aux évaluateurs de valider les contrôles techniques directement depuis le plan de travail d'évaluation. Chaque outil cible une exigence PCI DSS précise, produit des constatations structurées et peut remplir automatiquement les réponses d'évaluation en un clic. | Outil | Exigence PCI | Finalité | |---|---|---| | **Scanner de ports et services** | 1.2.1 | Scanner des cibles avec nmap ou importer des résultats XML pour inventorier les ports et services ouverts | | **Vérificateur SSL/TLS** | 4.2.1 | Valider les notes de certificat, les protocoles et les suites de chiffrement | | **Recherche CVE + EPSS** | 6.3 | Rechercher dans la NVD les vulnérabilités connues avec scores de probabilité d'exploitation | | **Import de scan ASV** | 11.3.2 | Téléverser et analyser les résultats de scan Qualys/Tenable/Rapid7 | | **Gestion des correctifs** | 6.3.3 | Téléverser des rapports CSV WSUS/SCCM/Qualys pour vérifier la conformité des correctifs | | **Validateur d'audit des journaux** | 10.2 | Téléverser des échantillons de journaux pour vérifier la présence des champs de piste d'audit requis | | **Revue des accès** | 7.2.1, 7.2.5, 8.6.1 | Téléverser des exports AD/Azure AD/AWS IAM pour détecter les problèmes de contrôle d'accès | | **Analyseur de tests d'intrusion** | 11.4 | Téléverser et analyser des rapports Burp Suite, Nessus ou ZAP | | **En-têtes et DNS** | 2.2.5 | Vérifier les en-têtes de sécurité HTTP et les enregistrements DNS | | **Moniteur de scripts des pages de paiement** | 11.6.1 | Scanner en direct les pages de paiement ou importer des inventaires de scripts pour vérifier les contrôles SRI et CSP | | **Analyseur de règles de pare-feu** | 1.2.5, 1.3.1, 1.3.2 | Téléverser des exports de règles de pare-feu pour détecter les règles any-any, les protocoles obsolètes et les CIDR trop larges | | **Analyseur de politique de mots de passe** | 8.3.6, 8.3.7, 8.3.9 | Téléverser des exports de politique AD GPO, Azure AD, AWS IAM ou CSV et les vérifier par rapport aux exigences PCI de mots de passe | | **Suivi CISA KEV** | 6.3, 11.3 | Suivre le catalogue CISA des vulnérabilités exploitées connues avec recherche, filtre rançongiciel et ventilation par fournisseur | | **Scanner de secrets** | 6.2, 6.3 | Scanner les dépôts Git publics à la recherche de secrets, clés d'API et identifiants divulgués avec Gitleaks | | **Moniteur de fuites d'identifiants** | 8.3, 8.6 | Vérifier des domaines et des sociétés dans la base de violations Have I Been Pwned | | **Briefing sur les menaces** | 6.3, 11.3 | Renseignement agrégé sur les menaces depuis les sources NVD, CISA KEV, EPSS et HIBP | | **Vérificateur de déploiement antimalware** | 5.2.1, 5.3.1, 5.3.2 | Téléverser des rapports de protection des terminaux pour vérifier le déploiement des agents, la fraîcheur des signatures et la protection en temps réel | | **Analyseur de rapports FIM** | 11.5.1, 11.5.2 | Téléverser des rapports de surveillance d'intégrité des fichiers pour identifier les modifications non autorisées de fichiers système critiques | | **Posture cloud** | — | Revue de la posture de sécurité cloud *(espace réservé Enterprise, pas encore disponible)* | | **OSINT dark web** | — | Surveillance de l'exposition sur le dark web *(espace réservé Enterprise, pas encore disponible)* | | **Tableau de bord de remédiation** | — | Vue agrégée de toutes les constatations de tous les outils | > **Note** > > **Disponible dans votre langue.** Toute l'interface des Outils de sécurité (noms des outils, panneaux de téléversement, filtres, en-têtes de tableau et états vides) suit votre [préférence de langue](/fr/operations/personal-settings#langue) en anglais, français, espagnol et allemand. > > La **sortie** des scans reste en anglais par conception : les constatations, descriptions de CVE et noms de fournisseurs ou de protocoles (Qualys, Nessus, TLS 1.2, Heartbleed) sont cités mot pour mot depuis la source afin de correspondre aux preuves que vous joignez à une exigence. ## Accéder aux Outils de sécurité Il y a deux façons d'atteindre les outils, selon la manière dont vous voulez travailler. ### Depuis l'espace de travail (page globale) Ouvrez **Outils de sécurité** dans la barre latérale principale pour lancer des scans sur tout votre espace de travail, indépendamment de toute évaluation. La page utilise une **coquille ciblée** : la barre latérale devient la liste des outils (Outils d'évaluation + Renseignement sur les menaces) avec un lien **Retour à l'espace de travail**, vous avez donc une seule colonne de navigation épurée et le contenu de l'outil remplit la page. Les scans lancés ici sont **au niveau de l'organisation** ; rattachez un scan terminé à une exigence de n'importe quelle évaluation avec **Lier à une exigence** (voir [Lier des scans à une exigence](#lier-des-scans-à-une-exigence)). ### Depuis une évaluation 1. **Ouvrir votre évaluation** Accédez à une évaluation depuis le Hub d'engagement ou la page Évaluations. 2. **Ouvrir l'onglet Outils de sécurité** Dans le plan de travail d'évaluation, ouvrez le menu déroulant **Sécurité** de la barre de navigation supérieure et sélectionnez **Outils de sécurité**. Le panneau s'ouvre avec une barre latérale listant les outils disponibles, regroupés en **Outils d'évaluation** et **Renseignement sur les menaces**. 3. **Sélectionner un outil** Cliquez sur un outil dans la barre latérale gauche pour passer de l'un à l'autre. Chaque outil fonctionne indépendamment ; les résultats d'un outil n'affectent pas un autre. > **Tip** > > Utilisez la **page globale** comme une usine à scans (lancez et gérez les scans de tous vos clients en un seul endroit) et l'**onglet dans l'évaluation** lorsque vous travaillez activement une exigence et voulez appliquer en un clic. > **Note** > > **Espaces réservés Enterprise.** Quatre outils (**Scanner de ports**, **En-têtes et DNS**, **Posture cloud** et **OSINT dark web**) apparaissent actuellement dans la barre latérale comme espaces réservés **Enterprise** et ne sont **pas encore activés pour aucun plan**. Le Scanner de ports et En-têtes et DNS sont entièrement construits (les parcours ci-dessous s'appliquent dès leur activation) ; Posture cloud et OSINT dark web sont des noms réservés sans implémentation pour l'instant. Tout le reste est disponible sur tous les plans payants. ## Lier des scans à une exigence Chaque outil fondé sur un scan correspond à une exigence PCI DSS canonique (la colonne **Exigence PCI** du tableau ci-dessus). Appliquer un scan terminé le rattache à une évaluation comme preuve et **remplit automatiquement la réponse de procédure de test de cette exigence** avec une justification structurée : note ou synthèse des constatations, cible du scan et verdict conforme / non conforme. La façon d'appliquer dépend de l'endroit où vous travaillez : - **Dans une évaluation** : un résultat terminé affiche un bouton **Appliquer à l'exig. X**. Un clic l'applique à cette exigence sur l'évaluation dans laquelle vous êtes. - **Sur la page globale** : un résultat terminé affiche **Lier à une exigence**. Cela ouvre un sélecteur où vous choisissez le **client → évaluation** ; l'exigence cible est fixe par outil. Le scan est alors appliqué à cette évaluation. > **Note** > > La liaison est appliquée côté serveur. Vous ne pouvez appliquer un scan qu'à une évaluation **de votre espace de travail à laquelle vous avez accès** : les admins et managers peuvent appliquer à n'importe quelle évaluation ; les évaluateurs et relecteurs QA doivent être collaborateurs de l'évaluation cible. Un scan ne peut jamais passer dans une autre organisation. > **Tip** > > L'exigence à laquelle chaque outil s'applique est fixe (par exemple, SSL/TLS correspond toujours à l'**exig. 4.2.1**). Lancez le scan une fois sur la page globale, puis liez-le à la bonne évaluation quand vous êtes prêt ; inutile de le relancer par évaluation. --- ## Choisir depuis la bibliothèque de preuves Chaque outil d'analyse de fichiers (Gestion des correctifs, ASV, FIM, Pare-feu, Revue des accès, Audit des journaux, Tests d'intrusion et les autres) peut prendre son entrée dans un fichier **déjà présent dans la plateforme** au lieu d'un nouveau téléversement local. Sous la zone de dépôt, cliquez sur **ou choisir dans la bibliothèque de preuves**. 1. **Parcourir une évaluation** Le sélecteur liste **chaque évaluation de votre espace de travail**. Ouvrez-en une pour voir ses fichiers, ou recherchez par nom de fichier. La liste est filtrée sur les types de fichiers acceptés par cet outil. 2. **Choisir un fichier** Cliquez sur un fichier. Son contenu est récupéré depuis le stockage et transmis directement à l'outil ; aucun nouveau téléversement de votre côté. 3. **Il s'importe en une étape** Comme un fichier de la bibliothèque est un fichier que vous avez déjà décidé d'utiliser, le choisir **lance l'import immédiatement** : l'outil l'analyse et ajoute le résultat. (La plupart des outils analysent un nouveau téléversement local de la même façon dès que vous le choisissez ; **Tests d'intrusion** et **ASV** vous laissent d'abord définir les détails du test, puis cliquer sur **Téléverser et analyser**.) > **Caution** > > Le sélecteur filtre par **extension** de fichier, pas par contenu ; assurez-vous donc que le fichier correspond à l'outil. Un CSV de gestion des correctifs donné à l'outil de tests d'intrusion sera analysé, mais ses lignes ne seront pas des constatations de test d'intrusion significatives. Choisissez le fichier qui appartient à l'outil. > **Note** > > Comme le sélecteur parcourt **toutes** vos évaluations, il fonctionne de la même façon sur la page globale des Outils de sécurité et dans une évaluation ; aucun contexte d'évaluation courante n'est nécessaire. L'accès reste limité à l'espace de travail et aux permissions. --- ## Scanner de ports et services > **Caution** > > Le Scanner de ports et services apparaît actuellement comme espace réservé **Enterprise** et n'est pas encore activé. Le parcours ci-dessous décrit son comportement une fois activé. Le Scanner de ports et services inventorie les ports ouverts et les services en cours d'exécution sur des hôtes cibles. Il prend en charge le scan nmap en direct depuis Kliper et l'import de fichiers de sortie XML nmap existants. ### Lancer un scan en direct 1. **Passer en mode scan en direct** Dans l'onglet Scanner de ports, assurez-vous que l'interrupteur **Scan en direct** est sélectionné (par défaut). 2. **Saisir une cible** Tapez une adresse IP, un nom d'hôte ou une plage CIDR cible (par ex. `192.168.1.0/24`) dans le champ de saisie. 3. **Cliquer sur Démarrer le scan** Le scan s'exécute côté serveur avec nmap et la détection de version des services (`-sV -sS --open`). Les scans se terminent généralement en 30 à 120 secondes selon la plage cible. 4. **Examiner les résultats** La carte de résultat affiche : | Champ | Description | |---|---| | **Hôtes** | Nombre d'hôtes actifs découverts | | **Ports ouverts** | Nombre total de ports ouverts sur tous les hôtes | | **Problèmes PCI** | Nombre de ports/services risqués signalés | | **Conformité PCI** | Badge PASS ou FAIL | Dépliez la carte pour voir chaque port ouvert avec hôte, numéro de port, protocole, nom du service, version et niveau de risque. 5. **Appliquer à l'exigence** Cliquez sur **Appliquer à l'exig. 1.2.1** pour remplir automatiquement la réponse d'évaluation avec un résumé des ports ouverts, des services risqués et du statut de conformité. ### Importer du XML nmap Passez sur l'interrupteur **Importer XML**, puis sélectionnez un fichier de sortie XML nmap. L'analyseur extrait les mêmes données d'hôte, de port, de service et de version qu'un scan en direct. ### Détection des ports risqués Le scanner signale ces ports et services couramment risqués : | Port | Service | Risque | |---|---|---| | 21 | FTP | Transfert de fichiers non chiffré | | 23 | Telnet | Accès distant non chiffré | | 445 | SMB | Partage de fichiers ; vecteur d'attaque courant | | 3306 | MySQL | Base de données exposée en externe | | 3389 | RDP | Bureau à distance ; cible de force brute | | 5432 | PostgreSQL | Base de données exposée en externe | | 6379 | Redis | Stockage en mémoire ; souvent sans authentification | > **Caution** > > Les scans en direct nécessitent que nmap soit installé sur le serveur Kliper. Ne scannez que les cibles pour lesquelles vous êtes autorisé. Un scan de ports non autorisé peut enfreindre des politiques réseau ou des lois. --- ## Découverte d'actifs La Découverte d'actifs trouve les hôtes exposés en externe sur un domaine et vérifie lesquels répondent encore. Vous lui donnez un domaine racine ; elle énumère les sous-domaines depuis des sources publiques, résout chacun et le sonde. La valeur réside dans les hôtes dont vous ignoriez l'existence : une machine de préproduction oubliée, un sous-domaine marketing, un service que quelqu'un a monté et jamais démantelé. Elle appuie l'**exigence PCI DSS 11.3.1** (scan de vulnérabilités externe des systèmes dans le périmètre) en faisant remonter un périmètre que vous auriez pu manquer. ### Lancer une découverte 1. **Saisir un domaine racine** Tapez un domaine nu comme `example.com` : pas de `https://`, pas de chemin. Les sous-domaines sont énumérés depuis des sources publiques. 2. **Confirmer l'autorisation** Cochez **« Je confirme que je possède cette cible ou que j'ai une autorisation écrite de la scanner. »** Le bouton **Découvrir** reste désactivé tant que vous ne l'avez pas fait. 3. **Laisser tourner** La découverte s'exécute côté serveur et continue si vous quittez la page. À la fin, vous recevez un toast avec le nombre d'hôtes, et la série apparaît dans la liste ci-dessous. ### Lire les résultats Chaque hôte découvert porte l'un de trois états : | État | Signification | Pourquoi c'est important | |---|---|---| | **Actif** | Se résout et répond | Dans le périmètre et joignable ; confirmez qu'il vous appartient | | **Orphelin** | L'enregistrement DNS existe, mais rien ne répond à l'adresse | Un risque de prise de contrôle de sous-domaine : le nom pointe vers un endroit que vous ne contrôlez peut-être plus | | **Sans DNS** | Énuméré mais ne se résout pas | Historique ou interne uniquement ; généralement informatif | Les enregistrements orphelins sont listés en premier : un nom pointant vers une adresse où personne ne répond est la constatation sur laquelle agir, pas les hôtes sains. --- ## Scanner de vulnérabilités Le Scanner de vulnérabilités exécute [nuclei](https://github.com/projectdiscovery/nuclei) sur une URL : un large jeu de modèles communautaires qui vérifie les CVE connues, les panneaux exposés, les mauvaises configurations et les identifiants par défaut. ### Lancer un scan 1. **Saisir une URL** Une URL complète avec son schéma, par ex. `https://example.com`. 2. **Confirmer l'autorisation** La même attestation que pour la Découverte d'actifs conditionne le bouton **Scanner**. 3. **Laisser tourner** nuclei exécute un large jeu de modèles, un scan prend donc **plusieurs minutes** et continue si vous quittez la page. Revenez sur l'outil pour voir le résultat. ### Lire les résultats Les constatations se répartissent en deux groupes : - **Exploitables** : constatations d'une gravité qui mérite un tri. - **Informatives** : avis à faible signal (empreintes technologiques, en-têtes présents mais bénins). Ils sont masqués derrière un interrupteur **« Masquer les constatations informatives »** pour que l'ensemble exploitable se distingue. --- ## Autorisation de scan et santé du scanner Les trois outils qui sortent toucher une cible réelle (Découverte d'actifs, Scanner de vulnérabilités et Scanner de ports une fois activé) partagent deux garde-fous. **Attestation d'autorisation.** Avant qu'un scan actif ne s'exécute, vous devez cocher **« Je confirme que je possède cette cible ou que j'ai une autorisation écrite de la scanner. »** Le bouton de lancement est désactivé tant que vous ne l'avez pas fait, et la case se réinitialise après chaque exécution. C'est un point de friction délibéré : le scan actif d'une cible que vous ne contrôlez pas peut enfreindre une politique réseau ou la loi. **Bandeau de statut du scanner.** La Découverte d'actifs et le Scanner de vulnérabilités s'exécutent sur un hôte de scan dédié. Si cet hôte est injoignable, un bandeau indique *« L'hôte de scan est injoignable, les scans échoueront donc jusqu'à son retour. Il s'agit de notre infrastructure, pas de votre cible. »* ; un scan échoué n'est ainsi jamais pris pour un problème du site que vous évaluez. --- ## Vérificateur SSL/TLS Le Vérificateur SSL/TLS valide la configuration de certificat d'un domaine et lui attribue une note en lettre (de A à F). Il utilise SSL Labs pour une analyse détaillée avec un repli TLS direct lorsque SSL Labs est indisponible. ### Lancer une vérification 1. **Saisir le domaine** Tapez le nom de domaine (par ex. `example.com`) dans le champ de saisie. N'incluez pas `https://` ; le vérificateur l'ajoute automatiquement. 2. **Cliquer sur Lancer la vérification** La vérification s'exécute côté serveur. L'analyse SSL Labs peut prendre 30 à 60 secondes ; si SSL Labs est surchargé, le système se replie sur une vérification de connexion TLS directe qui se termine en moins de 5 secondes. 3. **Examiner les résultats** La carte de résultat affiche : | Champ | Description | |---|---| | **Note** | Badge de note en lettre (A+, A, B, C, D, F) coloré du vert au rouge | | **Conformité PCI** | Badge PASS ou FAIL ; FAIL si la note est inférieure à B, TLS < 1.2 ou chiffrements faibles détectés | | **Émetteur du certificat** | L'autorité de certification (par ex. Let's Encrypt, DigiCert) | | **Valide jusqu'au** | Date d'expiration du certificat | | **Protocole** | Versions TLS prises en charge | | **Suite de chiffrement** | Suites de chiffrement actives | | **Problèmes PCI** | Problèmes précis affectant la conformité PCI (par ex. « TLS 1.0 activé », « Suites de chiffrement faibles ») | 4. **Appliquer à l'exigence** Cliquez sur **Appliquer à l'exig. 4.2.1** pour remplir automatiquement la réponse d'évaluation avec un résumé structuré des résultats, incluant la note, le statut de conformité et les problèmes identifiés. ### Historique des vérifications Les vérifications précédentes sont listées sous le formulaire de saisie avec le domaine, la note, la date et le statut PCI. Dépliez une vérification précédente pour voir ses résultats complets ou la réappliquer à l'évaluation. > **Note** > > Les résultats SSL Labs sont mis en cache par SSL Labs lui-même. Si vous avez besoin d'une analyse fraîche, attendez quelques minutes entre deux vérifications du même domaine. --- ## Recherche de vulnérabilités CVE L'outil de recherche CVE interroge la National Vulnerability Database (NVD) du NIST pour les vulnérabilités connues affectant un produit logiciel et une version précis. Les résultats sont mis en cache localement pour réduire les appels d'API et améliorer les temps de réponse. ### Rechercher des vulnérabilités 1. **Saisir le produit et la version** Tapez le nom du produit logiciel (par ex. `Apache HTTP Server`) et la version (par ex. `2.4.49`) dans les champs de saisie. 2. **Cliquer sur Rechercher** Le système interroge l'API NVD. Les résultats reviennent généralement en 2 à 5 secondes, ou instantanément si la combinaison produit/version a déjà été recherchée (mise en cache 7 jours). 3. **Examiner les CVE** Chaque résultat CVE affiche : | Champ | Description | |---|---| | **Identifiant CVE** | L'identifiant unique (par ex. CVE-2021-41773) | | **Gravité** | Badge coloré : Critique (rouge), Élevée (orange), Moyenne (jaune), Faible (bleu) | | **Score CVSS** | Score numérique de 0,0 à 10,0 | | **Description** | Résumé de la vulnérabilité | | **Publiée le** | Date de publication de la CVE | 4. **Appliquer à l'exigence** Cliquez sur **Appliquer à l'exig. 6.3** pour remplir automatiquement la réponse d'évaluation avec un résumé des CVE découvertes, incluant les comptes par gravité et les scores CVSS. ### Historique des recherches Toutes les recherches précédentes sont affichées sous le formulaire avec le produit, la version, le nombre de CVE et la date. Dépliez une recherche précédente pour revoir ses résultats ou la réappliquer à l'évaluation. > **Tip** > > De bons candidats à la recherche CVE : les serveurs web (Apache, Nginx), les bases de données (MySQL, PostgreSQL), les frameworks (Node.js, Spring) et les bibliothèques (OpenSSL, jQuery, Log4j). --- ## Gestion des correctifs L'outil de Gestion des correctifs analyse des exports CSV de systèmes de gestion des correctifs (WSUS, SCCM, Qualys et formats génériques) pour vérifier que les correctifs de sécurité sont appliqués dans les délais PCI DSS. ### Téléverser un rapport de correctifs 1. **Sélectionner le fichier CSV** Cliquez sur **Téléverser un CSV** et sélectionnez un fichier `.csv` exporté depuis votre outil de gestion des correctifs. 2. **Détection automatique du fournisseur** Le système détecte automatiquement le format du fournisseur d'après les en-têtes de colonnes du CSV : | Fournisseur | Méthode de détection | Colonnes clés | |---|---|---| | **WSUS** | En-tête `UpdateTitle` ou `KBArticle` | UpdateTitle, KBArticle, MsrcSeverity, ReleaseDate, Status | | **SCCM** | En-tête `CI_UniqueID` ou `ComplianceState` | Title, ArticleID, Severity, ComplianceState | | **Qualys** | En-têtes `QID` et `Patch` | QID, Title, Severity, Status | | **Générique** | Repli | Correspondance de colonnes au mieux pour le nom du correctif, la gravité, le statut, les dates | 3. **Examiner les résultats** La carte de résultat affiche : | Champ | Description | |---|---| | **Total des correctifs** | Nombre de correctifs dans le rapport | | **Critiques manquants** | Nombre de correctifs critiques non installés | | **Élevés manquants** | Nombre de correctifs de gravité élevée non installés | | **En retard (>30 j)** | Correctifs non installés dans les 30 jours suivant leur publication | | **Fournisseur** | Fournisseur de gestion des correctifs détecté | | **Conformité PCI** | PASS si aucun correctif critique/élevé n'est en retard de plus de 30 jours | Dépliez la carte pour voir chaque correctif avec nom, article KB, gravité, date de publication, statut d'installation et jours de retard. 4. **Appliquer à l'exigence** Cliquez sur **Appliquer à l'exig. 6.3.3** pour remplir automatiquement la réponse d'évaluation avec le statut de conformité des correctifs, les comptes de correctifs manquants et les détails de retard. > **Note** > > L'exigence PCI DSS 6.3.3 impose que les correctifs de sécurité critiques et de gravité élevée soient installés dans le mois suivant leur publication. L'outil signale tout correctif dépassant ce seuil de 30 jours. --- ## Validateur d'audit des journaux Le Validateur d'audit des journaux analyse des échantillons de journaux pour vérifier que les six champs de piste d'audit de l'exigence PCI DSS 10.2 sont présents. Il prend en charge syslog (RFC 3164 et 5424), XML d'événements Windows, CSV d'événements Windows, JSON lines et les formats CSV génériques. ### Téléverser un échantillon de journaux 1. **Sélectionner le fichier de journaux** Cliquez sur **Téléverser un fichier de journaux** et sélectionnez un fichier de journaux (`.log`, `.txt`, `.json`, `.csv` ou `.xml`). 2. **Détection automatique du format** Le système détecte automatiquement le format des journaux : | Format | Méthode de détection | |---|---| | **Syslog (RFC 3164)** | Lignes commençant par le motif d'horodatage `Mon DD HH:MM:SS` | | **Syslog (RFC 5424)** | Lignes commençant par `version` et des horodatages ISO 8601 | | **XML d'événements Windows** | Contient des balises `` ou `` | | **CSV d'événements Windows** | CSV avec colonnes `EventID` et `Source`/`Level` | | **JSON Lines** | Lignes commençant par `{` et analysables comme JSON valide | | **CSV générique** | CSV avec valeurs séparées par des virgules et une ligne d'en-tête | 3. **Examiner les résultats** La carte de résultat affiche un **score de complétude des champs** (par ex. 5/6) et vérifie chacun des six champs de piste d'audit PCI requis : | Champ requis | Référence PCI | Ce qu'il recherche | |---|---|---| | **Identification de l'utilisateur** | 10.2.1 | Nom d'utilisateur, UID, nom de compte, acteur | | **Type d'événement / action** | 10.2.1 | Identifiant d'événement, action, catégorie, facilité | | **Date et heure** | 10.2.1 | Horodatages au format ISO 8601, syslog ou epoch | | **Succès / échec** | 10.2.1 | Codes de statut, mots-clés success/failure/denied | | **Origine de l'événement** | 10.2.1 | IP source, adresse client, nom d'hôte | | **Ressource affectée** | 10.2.1 | Objet cible, destination, chemin de fichier, point de terminaison | Chaque champ affiche un **niveau de confiance** (élevé, moyen, faible ou aucun) et des exemples de valeurs extraites du journal. 4. **Appliquer à l'exigence** Cliquez sur **Appliquer à l'exig. 10.2** pour remplir automatiquement la réponse d'évaluation avec le format des journaux, la complétude des champs, les niveaux de confiance et la détermination de conformité. > **Tip** > > Téléversez un échantillon représentatif de 50 à 500 entrées de journal plutôt que des archives complètes. Le validateur échantillonne jusqu'à 500 entrées pour l'analyse ; les fichiers plus gros sont analysés mais seules les 500 premières entrées sont évaluées pour la détection des champs. --- ## Revue des accès L'outil de Revue des accès analyse des exports de comptes utilisateur de fournisseurs d'identité pour détecter les comptes inactifs, les comptes partagés/génériques, les privilèges excessifs et l'absence de MFA ; autant d'exigences clés des exigences PCI DSS 7 et 8. ### Téléverser un export d'utilisateurs 1. **Sélectionner le fichier CSV** Cliquez sur **Téléverser un CSV** et sélectionnez un fichier `.csv` exporté depuis votre service d'annuaire ou fournisseur d'identité. 2. **Détection automatique de la source** Le système détecte automatiquement le fournisseur d'identité : | Source | Méthode de détection | Colonnes clés | |---|---|---| | **Active Directory** | En-tête `SamAccountName` ou `LastLogonDate` | SamAccountName, Enabled, LastLogonDate, PasswordLastSet, MemberOf | | **Azure AD** | En-tête `UserPrincipalName` ou `AccountEnabled` | UserPrincipalName, AccountEnabled, LastSignInDateTime, AssignedRoles, MFAStatus | | **AWS IAM** | En-têtes `arn` et `password_last_used` | user, arn, password_enabled, password_last_used, mfa_active | | **Générique** | Repli | Correspondance de colonnes au mieux pour nom d'utilisateur, statut, dernière connexion, groupes, MFA | 3. **Examiner les résultats** La carte de résultat affiche des statistiques de synthèse et une détermination de conformité PCI : | Indicateur | Description | |---|---| | **Total des comptes** | Nombre de comptes utilisateur dans l'export | | **Inactifs (>90 j)** | Comptes activés sans connexion depuis plus de 90 jours (enfreint l'exig. 8.1.4) | | **Comptes partagés** | Comptes génériques/partagés comme `admin`, `test`, `service` (enfreint l'exig. 8.5) | | **Accès élevé** | Comptes avec des rôles admin/privilégiés (à revoir selon l'exig. 7.2.1) | | **Sans MFA** | Comptes sans authentification multifacteur (enfreint l'exig. 8.4.2) | Dépliez la carte pour voir un tableau détaillé des constatations avec chaque compte signalé, le type de constatation, le niveau de risque, la date de dernière connexion, le statut MFA et le statut admin. 4. **Appliquer aux exigences** Cliquez sur **Appliquer aux exig. 7.2 et 8.6** pour remplir automatiquement trois réponses d'évaluation en même temps : | Exigence | Ce qui est rempli | |---|---| | **7.2.1** | Privilèges d'accès attribués selon la classification et la fonction du poste | | **7.2.5** | Privilèges d'accès revus au moins semestriellement | | **8.6.1** | Comptes système ou d'application gérés selon le moindre privilège | ### Types de constatations et niveaux de risque | Constatation | Niveau de risque | Référence PCI | |---|---|---| | **Pas de MFA sur un compte admin** | Critique | 8.4.2 | | **Compte inactif (>90 jours)** | Élevé | 8.1.4 | | **Compte partagé/générique** | Élevé | 8.5 | | **Pas de MFA (non admin)** | Élevé | 8.4.2 | | **Privilège excessif** | Moyen | 7.2.1 | | **Mot de passe expiré (>90 jours)** | Moyen | 8.3.9 | > **Caution** > > L'outil de Revue des accès signale des problèmes potentiels par correspondance de motifs (par ex. noms d'utilisateur contenant « admin », « shared », « service »). Vérifiez toujours manuellement les comptes signalés ; certains comptes de service peuvent être légitimes et correctement gérés. --- ## Import de scan ASV L'outil d'Import de scan ASV analyse des exports CSV de fournisseurs de scan agréés (Qualys, Tenable (Nessus) et Rapid7) et les convertit en constatations structurées avec détermination de conformité PCI. ### Téléverser un scan 1. **Renseigner les détails du scan** Saisissez les métadonnées du scan : - **Date du scan** : quand le scan a été réalisé - **Trimestre** : le trimestre PCI couvert par ce scan (par ex. T1 2026) - **Fournisseur** : sélectionnez Qualys, Tenable, Rapid7 ou Générique (détecté automatiquement si laissé sur Auto) 2. **Sélectionner le fichier CSV** Cliquez sur le champ de fichier pour sélectionner un fichier `.csv` exporté depuis votre outil de scan ASV. 3. **Cliquer sur Téléverser et analyser** Le système détecte le format du fournisseur d'après les en-têtes de colonnes du CSV et analyse chaque ligne en une constatation normalisée avec hôte, port, gravité, score CVSS et conseils de remédiation. 4. **Examiner les résultats** La carte de résultat affiche : - Badge **PASS / FAIL** : FAIL si une constatation a un score CVSS >= 4.0 - **Nombre d'hôtes** : nombre d'hôtes uniques scannés - **Nombre de vulnérabilités** : nombre total de constatations - **Ventilation par gravité** : compteurs en badge pour Critique, Élevée, Moyenne, Faible, Info 5. **Appliquer à l'exigence** Cliquez sur **Appliquer à l'exig. 11.3.2** pour remplir automatiquement la réponse d'évaluation avec le résumé du scan, le statut de conformité, le nombre d'hôtes et la ventilation par gravité. ### Formats de fournisseurs pris en charge | Fournisseur | Méthode de détection | Colonnes clés | |---|---|---| | **Qualys** | L'en-tête de colonne contient `QID` | IP, DNS, QID, Title, Severity, CVSS, Port, Protocol, CVE ID, PCI Vuln | | **Tenable (Nessus)** | L'en-tête de colonne contient `Plugin ID` | Plugin ID, CVE, CVSS, Risk, Host, Port, Name, Synopsis, Solution | | **Rapid7** | L'en-tête de colonne contient `Vulnerability ID` | Vulnerability ID, Asset IP, Asset Names, Severity, CVSS Score, Title | | **CSV générique** | Format de repli | Correspondance de colonnes au mieux ; recherche host, port, severity, cvss, title, description | ### Gérer les constatations Dépliez un résultat de scan pour voir toutes les constatations. Chaque ligne de constatation affiche : - **Badge de gravité** : coloré (Critique, Élevée, Moyenne, Faible, Info) - **Titre** : nom de la vulnérabilité - **Hôte et port** : actif affecté - **Score CVSS** : score de risque numérique - **Statut de remédiation** : liste déroulante pour marquer Ouvert, En cours, Corrigé ou Risque accepté - **Faux positif** : interrupteur pour signaler les faux positifs (exclus du calcul de conformité) Utilisez la liste déroulante de filtre par gravité pour vous concentrer sur des niveaux précis. > **Caution** > > PCI DSS exige que toutes les vulnérabilités avec un score CVSS de 4.0 ou plus soient résolues pour qu'un scan ASV soit réussi. Les constatations marquées Faux positif sont exclues de ce calcul, mais l'évaluateur doit documenter la justification. --- ## Analyseur de tests d'intrusion L'Analyseur de tests d'intrusion importe les résultats des outils de test d'intrusion courants et normalise les constatations dans un format unifié. Il prend en charge trois formats majeurs et un repli CSV générique. ### Téléverser des résultats de test 1. **Renseigner les détails du test** Saisissez les métadonnées du test d'intrusion : - **Type de test** : Externe, Interne ou Segmentation - **Date du test** : quand le test a été réalisé - **Nom du testeur** : la personne ou le cabinet qui a mené le test - **Outil** : sélectionnez Burp Suite, Nessus, OWASP ZAP ou Générique (laissez sur Détection automatique pour une détection automatique du format) 2. **Sélectionner le fichier de rapport** Cliquez sur le champ de fichier pour sélectionner un fichier `.xml` ou `.csv` exporté depuis l'outil de test d'intrusion. 3. **Cliquer sur Téléverser et analyser** Le système détecte automatiquement le format du fichier : | Format | Détection | |---|---| | **Burp Suite XML** | Fichier `.xml` avec l'élément racine `` | | **OWASP ZAP XML** | Fichier `.xml` avec l'élément racine `` | | **Nessus CSV** | Fichier `.csv` avec l'en-tête de colonne `Plugin ID` | | **CSV générique** | Fichier `.csv` ; correspondance de colonnes au mieux | Les constatations sont extraites et normalisées avec gravité, confiance, hôte, port, références CVE/CWE et conseils de remédiation. 4. **Examiner les résultats** La carte de résultat affiche : - Badge **PASS / FAIL** : FAIL s'il existe des constatations Critiques ou Élevées - **Outil détecté** : quel analyseur a été utilisé (Burp, Nessus, ZAP, Générique) - **Type de test** : Externe, Interne ou Segmentation - **Ventilation par gravité** : compteurs en badge pour Élevée, Moyenne, Faible 5. **Appliquer à l'exigence** Cliquez sur **Appliquer à l'exig. 11.4** pour remplir automatiquement la réponse d'évaluation. Le remplissage automatique fait correspondre le type de test à la bonne sous-exigence : | Type de test | Sous-exigence cible | |---|---| | Externe | 11.4.3 (tests d'intrusion externes) | | Interne | 11.4.2 (tests d'intrusion internes) | | Segmentation | 11.4.5 (tests d'intrusion de segmentation) | ### Gérer les constatations Dépliez un résultat pour voir toutes les constatations avec filtre par gravité et pagination. Chaque constatation affiche : - **Badge de gravité** : Élevée (orange), Moyenne (jaune), Faible (bleu) - **Titre** : nom de la vulnérabilité - **Hôte** : URL ou IP cible - **Confiance** : Certaine, Ferme ou Provisoire - **Statut de remédiation** : liste déroulante pour suivre l'avancement de la correction - **Détail dépliable** : description complète et remédiation recommandée (cliquez sur la ligne de la constatation) > **Note** > > Les constatations informatives sont analysées et stockées mais exclues de la détermination PASS/FAIL et des compteurs de gravité. Seules les constatations Critiques, Élevées, Moyennes et Faibles affectent le statut de conformité. --- ## Vérificateur d'en-têtes HTTP et DNS > **Caution** > > Le Vérificateur d'en-têtes et DNS apparaît actuellement comme espace réservé **Enterprise** et n'est pas encore activé. Le parcours ci-dessous décrit son comportement une fois activé. Le Vérificateur d'en-têtes et DNS valide les en-têtes de sécurité HTTP et les enregistrements DNS de sécurité d'un domaine, attribue une note en lettre (de A à F) et identifie les lacunes de configuration pertinentes pour PCI. Toutes les vérifications s'exécutent côté serveur avec les fonctions intégrées de Node.js ; aucune dépendance à une API externe. ### Lancer une vérification 1. **Saisir le domaine** Tapez le nom de domaine (par ex. `example.com`) dans le champ de saisie. 2. **Cliquer sur Lancer la vérification** Le système effectue deux vérifications en parallèle : 1. **En-têtes HTTP** : effectue une requête HTTPS vers le domaine et évalue les en-têtes de réponse 2. **Enregistrements DNS** : interroge le DNS pour les enregistrements SPF, DMARC et CAA 3. **Examiner les résultats** La carte de résultat affiche un badge de note et une liste détaillée de toutes les vérifications. 4. **Appliquer à l'exigence** Cliquez sur **Appliquer à l'exig. 2.2.5** pour remplir automatiquement la réponse d'évaluation avec la note, le résumé du statut des en-têtes, les constatations DNS et le statut de conformité PCI. ### En-têtes de sécurité HTTP | En-tête | Valeur attendue | Statut si absent | |---|---|---| | **Strict-Transport-Security (HSTS)** | Présent avec `max-age` >= 31 536 000 | Échec | | **Content-Security-Policy (CSP)** | Présent (avertissement s'il contient `unsafe-inline` ou `unsafe-eval`) | Échec | | **X-Content-Type-Options** | `nosniff` | Échec | | **X-Frame-Options** | `DENY` ou `SAMEORIGIN` | Échec | | **Referrer-Policy** | Présent | Avertissement | | **Permissions-Policy** | Présent | Avertissement | | **Cache-Control** | Contient `no-store` ou `no-cache` | Avertissement | ### Enregistrements DNS de sécurité | Enregistrement | Ce qui est vérifié | Statut si absent | |---|---|---| | **SPF** | Enregistrement TXT commençant par `v=spf1` | Avertissement | | **DMARC** | Enregistrement TXT à `_dmarc.{domain}` | Avertissement | | **CAA** | Enregistrements d'autorisation d'autorité de certification | Avertissement | ### Notation La note globale est calculée à partir de la répartition réussite/avertissement/échec : | Note | Condition | |---|---| | **A** | Toutes les vérifications réussissent | | **B** | Toutes les vérifications réussissent ou avertissent (aucun échec) | | **C** | 1 à 2 vérifications échouées | | **D** | 3 vérifications échouées ou plus | | **F** | Échecs critiques (HSTS manquant ou CSP manquante) | ### Conformité PCI La vérification est marquée **Échec PCI** si l'un de ces en-têtes critiques est absent : - Strict-Transport-Security (HSTS) - Content-Security-Policy (CSP) - X-Frame-Options > **Tip** > > Pour les sous-domaines, les enregistrements DNS comme SPF et DMARC sont généralement configurés sur le domaine racine. L'absence de SPF/DMARC sur un sous-domaine est rapportée comme un avertissement, pas un échec. --- ## Moniteur de scripts des pages de paiement Le Moniteur de scripts des pages de paiement traite l'exigence PCI DSS 4.0.1 11.6.1, une exigence toute nouvelle qui impose la surveillance et la vérification d'intégrité de tous les scripts chargés sur les pages de paiement. L'outil prend en charge deux modes : le scan en direct d'une URL et l'import d'un inventaire de scripts CSV. ### Scanner en direct une page de paiement 1. **Saisir l'URL de la page de paiement** Tapez l'URL complète de la page de paiement (par ex. `https://shop.example.com/checkout`) dans le champ URL. 2. **Cliquer sur Scanner l'URL** Le système récupère la page côté serveur, extrait toutes les balises `