La sécurité d'un site Web n'est pas toujours au coeur des
préoccupations des propriétaires de sites Web. Elle devrait l'être, au moins
dès que l'on gère les données des visiteurs ou des clients du site ou encore
des données susceptibles d'utilisation illicite.
Les ressources qui suivent sont techniques et plutôt orientées
Administrateurs système, Administrateurs réseaux, Webmasters.
Cet article est une liste de contrôle, qui ne prétend pas à
l'exhaustivité. Nous visons les vulnérabilités, la prévention des
intrusions et la sécurité Web, la sécurité des réseaux,
l'architecture sécurité, les modules Qmail et Sendmail, les CGI.
Eviter les failles de sécurité
Pour éviter les failles de sécurité, il faut les
connaître. La première étape consiste donc à identifier les risques.
La seconde étape consiste à anticiper les risques possibles dans un contexte
donné. Par contexte, nous entendons tout à la fois le contexte technique et
l'environnement commercial et concurrentiel.
Sources de connaissance sur les vulnérabilités
Top 20 des vulnérabilités serveurs et réseaux du SANS
Institute. Et beaucoup d'autres ressources de qualité, notamment des publications à
télécharger, des news et des formations. Anglais.
Base de données permettant de rechercher une
vulnérabilité par logiciel et système d'exploitation, un conseil et aussi de
soumettre une contribution. Anglais.
ModSecurity est un moteur libre de détection d'intrusion
et de prévention pour les applications Web. Il opère comme un module Apache Web
server ; la fonction de ModSecurity est d'améliorer la sécurité des
applications Web, de les protéger des virus et attaques connus et inconnus. ModSecurity est
disponible sous deux licences. Il est librement accessible pour les utilisations courantes avec une
licence GNU General Public Licence. Il est aussi possible de l'obtenir avec une licence commerciale
adéquate pour une distribution intégrée dans une application commerciale.
Anglais.
Architecture sécurité : le site securit offre
d'excellentes informations techniques pour les professionnels : architecture
sécurité, sécurité des services, sécurité des
systèmes d'exploitation, sécurité des réseaux, PKI et cryptographie,
organisation et législation. Français.
Monitoring de sites Web pour contrôler que le site est accessible et et que ses
performances sont bonnes depuis différentes régions du monde. Les prolbèmes
peuvent être notifiés par e-mail, téléphone, SMS, AIM, Yahoo!, MSN, ICQ,
Pager. Outils de contrôle en ligne. Rapports périodiques et interface de
contrôle. Essai gratuit 30 jours.
