Aller au contenu

Glossaire de la sécurité

Chaque terme est donné deux fois : sa définition générale, puis ce qu'il désigne dans ce parc. La seconde colonne compte autant que la première — un même mot recouvre parfois deux choses sans rapport (le « SCA » de l'analyse de dépendances n'est pas le « SCA » du SIEM), et c'est là que naissent les malentendus.

Les termes sont rangés par grande fonction, dans l'ordre où une attaque les rencontre : prévenir, connaître ses faiblesses, détecter, répondre, survivre, prouver.

Prévenir — empêcher d'entrer

Terme Définition Dans ce parc
Périmètre, bordure Le premier composant qui reçoit le trafic venu d'Internet. Un proxy de bordure hébergé sur le NAS de stockage, derrière le NAT du routeur. Ce n'est pas l'hôte conteneurs.
Proxy inverse Serveur qui reçoit les requêtes, termine le TLS et les relaie vers le bon service interne. Deux étages : la bordure, puis un proxy interne (Caddy) qui route vers les conteneurs.
TLS, certificat Chiffrement du transport ; le certificat prouve l'identité du site. Émis par ACME ; une sonde relève les certificats réellement servis, pas ceux présents sur disque.
DNS-01 Défi ACME où l'on prouve la maîtrise d'un domaine en publiant un enregistrement DNS temporaire. Permet d'émettre un certificat pour un service qui n'est pas exposé à Internet.
Bouncer Composant qui applique une décision de blocage prise ailleurs. CrowdSec décide, un module intégré au proxy interne applique (réponse 403).
L3 / L7 Couche réseau (adresses, paquets) / couche application (HTTP). Un blocage L3 coupe la connexion, un blocage L7 refuse la requête. Le blocage des attaquants web se fait en L7 : c'est la seule couche où l'adresse réelle du client est connue.
Fail-open / fail-closed Comportement d'une protection quand elle tombe : tout laisser passer (open) ou tout refuser (closed). Chaque couche a un mode de panne. Il se choisit et s'écrit — un mode de panne par défaut est une décision que personne n'a prise.
SSO Une seule authentification pour tous les services. Authentik, fournisseur d'identité unique.
OIDC Protocole standard de délégation d'identité : l'application reçoit un jeton signé et sait qui est connecté. Le branchement par défaut de tout nouveau service.
forward_auth Le proxy demande au fournisseur d'identité « a-t-il le droit ? » avant de laisser passer. L'application, elle, ne sait pas qui est là. Dernier recours, pour un service sans notion de compte. Jamais combiné avec OIDC.
MFA Second facteur (code à usage unique, clé matérielle) en plus du mot de passe. Exigé sur les comptes à privilèges, et mesuré par une sonde plutôt que supposé.
Moindre privilège Chaque compte n'a que les droits dont il a besoin. Jetons de service limités à leur usage ; une application sans politique d'accès explicite est considérée comme ouverte à tout compte authentifié, donc à corriger.
Coffre de secrets Stockage centralisé et chiffré des mots de passe, jetons et clés. Auto-hébergé ; une valeur lue en sort par un tube, jamais par la ligne de commande.
SOPS + age SOPS chiffre les valeurs d'un fichier de configuration ; age fournit l'algorithme et la paire de clés. Les variables d'environnement des stacks sont versionnées chiffrées et déchiffrées en mémoire au démarrage.
Chaîne d'approvisionnement Tout ce qu'on n'a pas écrit mais qu'on exécute : images, paquets, dépendances. Couverte par la quarantaine de versions, le scan des images et les SBOM.
Quarantaine de versions Refuser toute version de paquet publiée depuis moins de N jours. Sept jours, sur les trois gestionnaires de paquets JavaScript — chacun avec son unité (jours, minutes, secondes).
SBOM Software Bill of Materials : l'inventaire de tous les composants d'un logiciel. Un SBOM par image en service, régénéré chaque semaine.
CycloneDX Format standard (OWASP) de SBOM. Produit par Trivy.
Durcissement Réduire la surface d'attaque d'un système : services inutiles, permissions, options. Évalué en continu par le SIEM contre les benchmarks CIS.
Benchmark CIS Référentiel public de configurations sûres, par système d'exploitation. Politiques d'évaluation de configuration du SIEM.

Connaître ses faiblesses — vulnérabilités

Terme Définition Dans ce parc
CVE Identifiant public d'une vulnérabilité connue. Recherchées dans les images (Trivy), sur les hôtes (SIEM) et dans l'inventaire des versions déployées (OpenCVE).
CVSS, sévérité Note de gravité théorique d'une CVE. Point de départ du tri, jamais son point d'arrivée.
EPSS Probabilité qu'une CVE soit exploitée dans les 30 jours (publiée par le FIRST). Entre dans le score de risque.
KEV Catalogue de la CISA des CVE effectivement exploitées. Fait sauter une CVE en tête de file. Une CVE du KEV peut avoir un EPSS faible : les deux ne se remplacent pas.
Exposition Joignabilité d'un service : public avec sa seule authentification applicative, public derrière le fournisseur d'identité, ou interne. Troisième axe du score, avec la sévérité et l'exploitation.
SAST Analyse statique du code source à la recherche de défauts. Semgrep, sur les dépôts.
SCA (dépendances) Software Composition Analysis : les CVE des bibliothèques qu'un projet embarque. Trivy en mode système de fichiers. Rien à voir avec le SCA du SIEM ci-dessous.
Mauvaise configuration IaC Défaut dans un fichier d'infrastructure (fichier de composition, YAML). Trivy, même passe que les dépendances.
Triage Décider du sort d'une trouvaille : ouverte, ignorée, reportée, faux positif. Chaque décision est inscrite, avec son auteur, dans un journal d'audit.

Détecter — voir ce qui se passe

Terme Définition Dans ce parc
SIEM Plateforme qui collecte, corrèle et alerte sur les journaux de tout le parc. Wazuh : un manager, un agent sur chaque machine.
EDR / XDR Détection et réponse sur les postes (endpoints), étendue à plusieurs sources. Les agents Wazuh, et leur réponse automatique.
FIM File Integrity Monitoring : alerte quand un fichier surveillé change. Module d'intégrité de Wazuh.
SCA (SIEM) Security Configuration Assessment : évaluation de la configuration contre un référentiel. Benchmarks CIS appliqués par Wazuh.
Rootcheck Recherche de rootkits, de fichiers et de ports cachés. Module de Wazuh — ce qui rend superflus les outils dédiés du même genre.
osquery Interroger l'état d'une machine en SQL : processus, services, tâches planifiées. Branché dans le SIEM, pas à côté : un seul inventaire à réconcilier.
Persistance Mécanisme qu'un attaquant pose pour survivre à un redémarrage : tâche planifiée, service, clé SSH autorisée. Énumérée par osquery sur Linux, par KnockKnock sur le poste de travail macOS.
IDS / NDR Détection d'intrusion réseau : des signatures appliquées au trafic qui passe. Suricata, placé au point où le trafic converge.
Signature Motif connu d'attaque, dans un flux ou dans un fichier. Jeux de règles ouverts, rafraîchis sans intervention.
Appel système Demande qu'un programme adresse au noyau : ouvrir un fichier, lancer un processus, ouvrir une connexion. Ce qu'observe la détection à l'exécution.
eBPF Mécanisme du noyau Linux qui permet d'observer les appels système sans charger de module. La sonde « modern eBPF » de Falco : rien à compiler, rien à recompiler après une mise à jour du noyau.
Sécurité à l'exécution Détecter un comportement anormal pendant qu'un programme tourne. Falco : un shell ouvert dans un conteneur, une lecture de fichier sensible, une écriture dans une tâche planifiée.
YARA Langage de règles pour reconnaître des fichiers malveillants par leur contenu. Plusieurs milliers de règles publiques, plus une règle témoin maison.
Antivirus à signatures Reconnaît un fichier malveillant déjà connu. Un moteur ClamAV central, interrogé par le réseau.
Analyse statique profonde Déplier un fichier (archive dans l'archive, document, objet embarqué) et analyser chaque morceau, sans jamais l'exécuter. Strelka.
Bac à sable Exécuter un fichier suspect dans un environnement jetable pour observer ce qu'il fait. Écarté par décision : le volume de fichiers ne le justifie pas. Il reviendra le jour où un échantillon réel passera les deux moteurs.
IOC Indicator of Compromise : adresse, domaine ou empreinte connus pour être malveillants. Trois listes (adresses, domaines, empreintes) consultées en temps réel par le SIEM.
Renseignement sur la menace Flux d'IOC et de contexte sur les attaquants. Consommé, pas produit : listes publiques et blocage communautaire de CrowdSec.
Liste CDB Liste clé → valeur que les règles Wazuh consultent au moment où l'événement arrive. Rafraîchie par une tâche planifiée, surveillée pour sa fraîcheur.
Faux positif Alerte sur un comportement légitime. Traité par une exception nommée, jamais par la désactivation d'une règle entière.
Bruit Le volume d'alertes qu'un détecteur produit sur un parc sain. Mesuré avant d'armer une notification.
Témoin fonctionnel, canari Élément connu injecté exprès pour vérifier qu'un détecteur détecte encore. Règle YARA canari, fichier EICAR, shell dans un conteneur jetable, requête d'investigation sur toute la flotte.
EICAR Fichier de test inoffensif, standardisé, que tout antivirus doit reconnaître. Témoin quotidien du moteur antivirus.

Répondre — agir

Terme Définition Dans ce parc
Répartiteur d'alertes Point unique où tous les émetteurs postent, et qui duplique vers les destinations. Un service dédié ; deux messageries en sortie, un repli direct si le répartiteur se tait.
Hystérésis Seuils distincts pour ouvrir et fermer une alerte, pour qu'elle ne clignote pas. Obligatoire pour toute notification récurrente.
Réponse automatique Action déclenchée par une règle de détection : bloquer une source, redémarrer un service, isoler. Réponse active de Wazuh, liée à des identifiants de règle précis.
Timeout (d'un blocage) Durée au bout de laquelle un blocage automatique se lève seul. Systématique : un blocage permanent sur faux positif est une panne qu'on s'inflige.
SOAR Orchestration et automatisation de la réponse. Le répartiteur et le moteur de workflows existants ; pas de troisième orchestrateur.
DFIR Digital Forensics and Incident Response : enquêter pendant et après un incident. Velociraptor.
Investigation à chaud Interroger les machines pendant l'incident, sur une question qu'on n'avait pas prévue. Velociraptor, client sur chaque machine.
VQL Langage de requête de Velociraptor. Requêtes consignées dans un runbook.
Hunt Une même requête lancée sur toute une flotte à la fois. Sert aussi de témoin : autant de réponses que de postes, sinon quelque chose se tait.
Incident important (NIS2) Incident causant une perturbation grave ou un dommage considérable (art. 23 §3). Tenu dans un registre dédié, avec ses échéances calculées.

Survivre — continuité

Terme Définition Dans ce parc
RPO Recovery Point Objective : la perte de données maximale acceptée, soit l'âge de la dernière sauvegarde utilisable. Mesuré lors d'un exercice, pas déduit de la planification.
RTO Recovery Time Objective : la durée de remise en service. Chronométré jusqu'à ce que l'application réponde.
Immuabilité, append-only Une sauvegarde qu'on ne peut ni modifier ni supprimer depuis l'hôte sauvegardé. Vérifiée en tentant réellement la suppression avec les accès de l'hôte, et en attendant un refus.
Verrouillage d'objet Immuabilité imposée par le stockage objet lui-même, pour une durée donnée. Une des formes possibles de l'immuabilité hors site.
Rançongiciel Logiciel qui chiffre les données, et les sauvegardes s'il les atteint. Il produit des sauvegardes fraîches — d'un contenu chiffré.
Exercice de restauration Restauration réelle, chronométrée, sur une machine neuve. Consigné dans un registre ; une sonde échoue s'il date de plus de 90 jours.
Clé maîtresse La clé dont dépendent toutes les autres. La clé age qui déchiffre tous les secrets des stacks.
Copie hors-ligne Copie qui ne touche aucun réseau : papier, support débranché. Pour la clé maîtresse, vérifiable sans jamais l'afficher.

Prouver — conformité

Terme Définition Dans ce parc
NIS2 Directive (UE) 2022/2555 : mesures de cybersécurité obligatoires pour les entités essentielles et importantes. Appliquée volontairement, comme grille de mesure : un parc personnel n'est pas une entité NIS2.
Article 21 §2 Les dix mesures minimales de NIS2, notées de a) à j). Chaque contrôle du catalogue y est rattaché.
Article 23 Notification des incidents importants : alerte précoce sous 24 h, notification sous 72 h, rapport final sous un mois. Échéances calculées par le registre d'incidents.
SOC 2 Rapport d'un auditeur agréé (CPA) sur les contrôles d'une organisation. Type I : à une date ; Type II : sur une période. Aucun outil n'est « certifié SOC 2 » ; un outil peut produire le dossier de preuves qu'un auditeur demanderait.
TSC Trust Services Criteria : les critères de SOC 2 — sécurité, disponibilité, confidentialité… Chaque contrôle y est rattaché, comme à NIS2.
Contrôle Mesure de sécurité dont on peut prouver qu'elle fonctionne. Une trentaine, identifiés et versionnés dans un catalogue.
Référentiel de contrôles communs Un contrôle posé une fois, rattaché à plusieurs référentiels à la fois. Un seul catalogue sert NIS2 et SOC 2.
Preuve Mesure datée qui démontre qu'un contrôle fonctionne. Le verdict d'une sonde, ou une attestation.
Sonde Script qui mesure un fait et rend pass, fail ou indeterminate. Une par fait mesuré, lancées toutes les six heures.
Indéterminé Verdict d'une sonde qui n'a pas pu mesurer. Une cible injoignable rend indeterminate, jamais pass.
Attestation Déclaration humaine datée, pour ce qu'aucune sonde ne peut mesurer : gouvernance, formation, fournisseurs. Réservée à une session authentifiée, et elle expire.
Statut dérivé Un état calculé à partir des preuves, jamais saisi. « Effectif », « en échec » ou « non vérifié », recalculé à chaque lecture.
Registre chaîné Journal où chaque entrée contient l'empreinte de la précédente : toute modification casse la chaîne. Toutes les preuves y entrent, en ajout seul.
Ancre Empreinte de tête du registre, publiée hors de la machine qui le tient. Versionnée chaque jour dans git, sur deux dépôts distants : elle révèle une troncature que la chaîne seule ne voit pas.
Vérification inverse Faire échouer un contrôle exprès pour prouver qu'il peut échouer. Exigée de chaque sonde avant son admission.
Dossier d'audit Export complet : catalogue, statuts, preuves, incidents, méthode. Produit à la demande, en un fichier.

À lire ensuite

Dernière vérification de cette page : 2026-09-11