Entretien et securite d'un site TYPO3
-
Upload
christian-ricard -
Category
Technology
-
view
451 -
download
1
Transcript of Entretien et securite d'un site TYPO3
Entretien et sécurité d'un site TYPO3
Christian RicardDirecteur informatique
Créée en 2002 – 10 ans cette année 20 employés Nouvelle division de Libéo Spécialiste TYPO3
Département Web
Équipe hautement qualifiée et efficace 6 ressources “Certified TYPO3 Integrator” Accessibilité – Ergonomie – Services conseils Implication international Développement PHP, TYPO3, Magento, ... Informatique décisionnelle (BI) avec Pentaho
Sommaire
- Mise en contexte
- Environnement de développement
- Développement Web
- Mise en production
- Récupération et sécurité serveur
- Outils de surveillance post-production
Aucune solution sécuritaire à 100%
Entretien et sécurité
La sécurité d'un système d'information peut être comparée à une chaîne de maillons plus ou moins résistants. Elle est alors caractérisée par le niveau de sécurité du maillon le plus faible.
Ainsi, la sécurité du système d'information doit être abordée dans un contexte global.
Wikipédia « Sécurité des systèmes d'information »
Cas vécus
Attaque robotisée &Piratage informatique
TYPO3 moins vulnérable ?
Open source vs Solution fermée
Sécurité par l'obscurité
Surveillance permanente
Moins de failles de sécurité
Processus efficace
Intervention rapide
Veille
TYPO3-announce
http://lists.typo3.org
Veille
Bulletin de sécurité
Bulletins de sécurité
Niveaux de sévérité
- Critique- Haut- Moyen- Bas
Statistique 2011
31 alertes de sécurité
5 alertes pour le noyau(1 critique, 1 haut, 3 moyens)
Extensions
Responsabilité des développeurs
Documentation
Mises à jour
MineurMajeur
LTS
4.5.164.7.1
LTS
Mineur
Majeur
Veille
TYPO3-announce
http://lists.typo3.org
2011
Deux mises à jour majeures4.5 lts et 4.6
Là où tout commence
Environnement de développement
Environnement sécuritaire
Inaccessible de l'externe
Mots de passe (Différents, complexes et modifiés régulièrement)
Développement sécuritaire
Une question de connaissance
Informations confidentielles
Vol d'identité
Injection SQL
Injection de code
Contournement d'autorisation
Cross Site Scripting (XSS)
Cross site Request Forgery (XSRF)
API TYPO3
Intval
FullQuoteStr
Prepared statment
Méthodes TYPO3
Enlever les extensions(PHPMyAdmin, QuixPlorer, KickStarter, …)
Production
Mots de passe sécuritaire(Différents, complexes et modifiés régulièrement)
Compte admin, Install Tool, compte édimestre
Authentification et sécurité
TYPO3 supporte de nombreux protocoles et de multiples mécanismes d'authentification
– https / SSL
– Active Directory / LDAP
– OpenID
– RSA Auth
– Salted Password
Gestion des droits
Édimestre
Administration contrôlée
Récupération
Historique TYPO3
GIT
Sauvegarde
Serveur sécuritaire
Système d'exploitation
ApacheMySQLPHPAutres librairies
Veille technologique
IMPORTANTE
Serveur&
TYPO3
Outils de surveillance
CactiOutil de performance réseau et serveur
Serveur
Solution de surveillance
Serveur
NessusAudit de sécurité
Serveur
Surveillance sécurité automatisée
TYPO3
Rapport d'état
TYPO3
Username
Alerte instantanée
TYPO3
Merci !
@C_Ricard@Infoglobe
http://typo3.org/http://typo3-fr.org/
blogue.infoglobe.ca
Questions ?