Sécurité

Intégrée dès la conception, à chaque couche de l'infrastructure

Aucune mesure de sécurité n'est ajoutée après coup. La segmentation réseau, le moindre privilège, le chiffrement et la journalisation sont présents dès le premier lot.

Réseau

✅ Segmentation VLAN — 5 VLANs isolés (serveurs, postes, admin, supervision, sauvegardes)

✅ Règles pare-feu — Moindre privilège entre chaque VLAN

✅ VPN WireGuard — Accès distant sécurisé au laboratoire

✅ Aucun port entrant — Le client initie la connexion (sortant)

Authentification et accès

✅ Active Directory — OU par métier, GPO, délégation, PowerShell

✅ SSH durci — Clés uniquement, port non standard, AllowUsers, fail2ban

✅ 2FA/TOTP — Zabbix, OPNsense, Tailscale, console ITsentinelle

🔜 MFA domaine — ADFS/NPS RADIUS pour Active Directory (fin de projet)

Infrastructure

✅ HTTPS/TLS — ACM (AWS) puis Let's Encrypt (VPS)

✅ Durcissement Linux — nftables, unattended-upgrades, audit Lynis

✅ Politiques Windows — GPO mots de passe, verrouillage, UAC, AppLocker

✅ Gestion des secrets — GitHub Secrets, variables d'environnement, rotation

API et données

✅ Authentification — JWT + clé API machine

✅ Rate limiting — Middleware FastAPI

✅ Sens unique — Le laboratoire pousse, AWS ne pénètre jamais le réseau local

✅ Données sélectionnées — Métriques uniquement, pas de secrets ni logs bruts

✅ File d'attente locale — SQLite offline en cas de coupure internet

Sauvegardes

✅ Proxmox Backup Server — VLAN 50 isolé

✅ Rétention — 7 jours + 4 semaines + 6 mois

✅ Restauration testée — VM Linux, Windows, base Zabbix

✅ PRA documenté — Compilation des runbooks de restauration déjà testés

Audit et conformité

✅ Lynis — Audit de durcissement Linux, score et plan d'amélioration

✅ Runbooks — Testés et horodatés, un par lot

🔜 Patch management Windows — WSUS + GPO (roadmap)