Cybersécurité pour PME et ETI : protéger vos applications, serveurs et cloud au quotidien

Une vulnérabilité publiée reçoit un identifiant CVE (Common Vulnerabilities and Exposures) et devient connue des défenseurs comme des attaquants. Le temps qui sépare sa publication de l’application du correctif est la période pendant laquelle vos systèmes restent exposés.

Nous tenons l’inventaire des composants de vos environnements (système d’exploitation, serveurs web, bases de données, CMS et frameworks, dépendances applicatives) et suivons les vulnérabilités qui les concernent. Chaque correctif est priorisé selon la gravité de la faille et l’exposition du composant, puis appliqué avec une sauvegarde préalable et un retour arrière prévu.

• Inventaire des composants et de leurs versions
• Veille CVE sur les composants que vous utilisez
• Correctifs priorisés selon la gravité et l’exposition
• Sauvegarde préalable et retour arrière prévu

Le pare-feu réseau limite les ports et les adresses autorisés à joindre vos serveurs. Le pare-feu applicatif (WAF, Web Application Firewall) inspecte les requêtes HTTP et bloque les motifs d’attaque connus, comme les injections SQL ou les tentatives répétées sur les formulaires de connexion. Les deux se complètent : l’un ferme les portes inutiles, l’autre surveille celles qui doivent rester ouvertes.

Nous configurons et administrons les règles de vos pare-feu et de votre WAF, ajustons le filtrage pour ne pas bloquer vos clients et revoyons les règles quand vos applications évoluent. Une règle qui n’a plus de raison d’être est retirée.

• Ports et adresses autorisés au plus juste
• WAF devant vos sites et vos API
• Limitation des tentatives de connexion
• Règles revues à chaque évolution

Un serveur installé avec ses réglages par défaut expose plus de services, de comptes et de droits qu’il n’en faut. Le durcissement consiste à retirer ce qui ne sert pas et à resserrer le reste : services inutiles désactivés, accès d’administration restreints, échanges chiffrés, journaux activés.

Dans le cloud, la sécurité dépend aussi de la configuration : un espace de stockage ouvert au public, une clé d’accès oubliée dans un dépôt de code ou un compte d’administration utilisé au quotidien suffisent à créer une brèche. Nous revoyons et corrigeons la configuration de vos comptes AWS ou Azure : identités et rôles, réseaux, stockage et journaux d’activité.

• Services et comptes inutiles retirés
• Accès d’administration restreints et tracés
• Comptes AWS et Azure revus : identités, réseaux, stockage
• Journaux d’activité activés et conservés

Un mot de passe volé ou réutilisé peut suffire à ouvrir une console d’administration. La double authentification (MFA) ajoute une seconde preuve. Les passkeys et les clés de sécurité FIDO2 vont plus loin : liées au site sur lequel elles ont été créées, elles ne peuvent pas être utilisées sur une fausse page de connexion, ce qui les rend résistantes à l’hameçonnage.

Nous mettons en place des comptes nominatifs, des droits limités au besoin de chacun, la MFA sur les accès sensibles et, lorsque vos outils le permettent, les passkeys ou les clés FIDO2. Les accès des anciens collaborateurs et des prestataires sont revus et retirés.

• Comptes nominatifs, sans identifiants partagés
• Droits limités au besoin réel
• MFA, passkeys et clés FIDO2
• Revue des accès et retrait des comptes inutiles

Une sauvegarde n’a de valeur que si elle se restaure. Face à un rançongiciel, une sauvegarde accessible depuis le même réseau peut être chiffrée en même temps que les données qu’elle protège : la copie doit être tenue à l’écart, et la restauration vérifiée.

Nous définissons avec vous les objectifs de reprise, le RPO (la perte de données acceptable) et le RTO (la durée d’interruption acceptable), mettons en place des copies hors du site principal, testons les restaurations et documentons le plan de reprise d’activité.

• RPO et RTO définis avec vous
• Copies hors du site principal
• Tests de restauration réguliers
• Plan de reprise d’activité documenté

L’OWASP Top 10 recense les risques de sécurité les plus critiques des applications web : contrôle d’accès défaillant, injections, mauvaise configuration, composants vulnérables, authentification fragile. Ces failles se trouvent dans le code et dans sa configuration, là où un scanner externe ne voit pas toujours.

Notre audit porte sur le code source, les dépendances et la configuration de l’application et de son serveur, au regard de l’OWASP Top 10. Il aboutit à une liste de failles classées par gravité, avec les corrections proposées. Ce n’est pas un test d’intrusion : si votre contexte exige un pentest réalisé par un prestataire qualifié PASSI, nous vous le disons.

• Revue du code et des contrôles d’accès
• Dépendances et composants vulnérables
• Configuration de l’application et du serveur
• Failles classées par gravité, corrections proposées

Notre SOC, opéré par les équipes d’AXELITES, surveille vos serveurs, vos postes et vos applications 24 h/24 et 7 j/7 : disponibilité, erreurs, journaux, certificats et comportements suspects. Nous déployons et exploitons aussi des solutions EDR et XDR managées, qui détectent les menaces sur les postes et les serveurs et relient les signaux entre eux. L’intervention sur incident a lieu aux heures ouvrées : nous isolons le système touché, corrigeons, restaurons si nécessaire et analysons la cause pour qu’il ne se reproduise pas.

Nous ne proposons pas de test d’intrusion qualifié PASSI ni d’accompagnement à la certification ISO 27001 ou à la conformité NIS2. Si votre organisation en a besoin, ces services relèvent de prestataires qualifiés ou spécialisés : nous préférons vous le dire dès le premier échange.

• SOC interne et surveillance 24/7
• EDR et XDR managés
• Intervention aux heures ouvrées : isolement, correction, restauration
• Analyse de cause après chaque incident