Explorer l'inventaire
L'inventaire consolide en une seule liste ce que disent toutes les sources connectées (CMDB, virtualisation, annuaire, supervision, collecteur…). Chaque serveur n'apparaît qu'une fois, quelle que soit le nombre de sources qui le connaissent.
| Page | Contenu |
|---|---|
Serveurs (/servers/) |
Le parc consolidé |
Fiche serveur (/servers/<id>) |
Tout ce qu'InfraRiver sait d'un serveur |
Logiciels (/software/) |
Les logiciels installés sur le parc |
Comptes (/vue-accounts/) |
Les identités observées (locales, annuaire, cloud) |
Groupes (/vue-accounts/groups) |
Les groupes Active Directory |
Travailler avec les listes
Toutes les pages d'inventaire se manipulent de la même façon.
Filtres par colonne — une ligne de filtres sous l'en-tête : saisie libre ou liste de valeurs selon la colonne.
Recherche — le champ « Recherche » de la liste cherche dans tous les champs d'un serveur :
- nom, adresse IP et MAC (toutes les interfaces), FQDN ; une adresse qu'aucune source n'a fournie est affichée « — » (jamais
0.0.0.0) ; - système et versions, noyau, architecture, hyperviseur ;
- rôle, environnement, site, description, sources, zone d'exposition ;
- logiciels installés ;
- équipes, applications et responsables.
Filtre avancé — pour les requêtes que les filtres de colonne ne savent pas exprimer. On compose des groupes de conditions (ET à l'intérieur d'un groupe, OU entre les groupes) avec les opérateurs :
| Type de champ | Opérateurs |
|---|---|
| Texte | est égal à, est différent de, contient, ne contient pas, commence par, se termine par |
| Nombre | =, ≠, >, ≥, <, ≤ |
| Liste de valeurs (environnement, statut, criticités, crown jewel), relations (équipe, application, responsable) | est égal à, est différent de |
| Date (dernier patch, prochain patch, dernière collecte, créé le, modifié le) | il y a plus de N jours, dans les N derniers jours, dans les N prochains jours, le (date), avant le (date), après le (date), sans date, avec une date |
Cliquer sur Appliquer sans aucune condition remplie n'a pas d'effet : le message « Ajoutez au moins une condition. » s'affiche à côté du bouton.
Critères qui croisent les autres inventaires — le filtre avancé sait aussi poser une condition sur ce qu'un serveur porte ailleurs dans InfraRiver :
| Champ | Sens |
|---|---|
| Logiciel installé | un paquet dont le nom contient le texte, toutes sources confondues (« apache », « httpd » et « apache2 » sont équivalents) |
| Sévérité d'une CVE ouverte | au moins une CVE ouverte de cette sévérité (critique, haute, moyenne, basse) — « différent de » = aucune |
| CVE ouverte exploitée (KEV) | oui / non |
| CVE ouverte (identifiant) | une CVE ouverte dont l'identifiant correspond |
| Nombre de CVE ouvertes | comparaison numérique |
| Tickets ITSM ouverts | nombre de tickets ouverts ou en cours |
| Certificat expirant dans moins de (jours) | un certificat déployé sur le serveur expire dans moins de N jours (un certificat déjà expiré compte) |
| Fenêtre de patching récurrente | le serveur a (oui) ou n'a pas (non) de fenêtre active |
| Comptes administrateurs rattachés | nombre de comptes ayant des droits sudo ou administrateur local sur le serveur |
| Comptes rattachés (tous types) | nombre de comptes liés au serveur (accès, rôles, sudo…) |
| Compte rattaché (nom) | un compte rattaché dont le nom correspond — réservé à qui peut lire les noms de comptes |
Ces champs ne s'affichent que si votre rôle permet de lire l'inventaire concerné (vulnérabilités, certificats, patching, comptes), et la liste reste limitée à votre périmètre.
Exemple : logiciel contient httpd ET CVE ouverte exploitée = oui ET environnement = prod.
Exemple : (environnement = prod ET criticité = critical) OU (nom commence par db-).
Exemple : dernier patch il y a plus de 30 jours, OU dernier patch sans date (serveurs jamais patchés).
Les opérateurs « sans date » et « avec une date » n'ont pas de valeur à saisir. Les opérateurs en jours comptent à partir de maintenant, en heure UTC (celle qui est affichée et enregistrée) : « il y a plus de 30 jours » exclut les serveurs dont la date n'est pas renseignée, d'où l'intérêt de l'associer à « sans date » dans un second groupe.
Colonnes — le sélecteur de colonnes affiche ou masque chaque colonne ; l'ordre se change par glisser-déposer. Le choix est mémorisé dans votre navigateur.
Filtres sauvegardés — l'icône de sauvegarde enregistre les filtres et le tri en cours sous un nom, pour les rappeler en un clic.
Export — le bouton Exporter produit la liste telle que filtrée.
La liste des serveurs
Colonnes principales : nom d'hôte, IP, système et version, environnement, criticité, statut, état de patch, sources, dates du dernier et du prochain patch.
Mon périmètre restreint la liste aux serveurs dont vous êtes responsable, ou rattachés à vos équipes et applications. On peut aussi filtrer par équipe, par application ou par responsable.
| Statut | Sens |
|---|---|
| OK / Warning / Critical | État remonté par la supervision |
| Maintenance | Serveur en maintenance déclarée |
| Unknown | Aucune source ne renseigne son état |
| État de patch | Sens |
|---|---|
| À jour | Aucun patch en attente |
| En attente | Mises à jour non liées à la sécurité en attente |
| Obsolète | Au moins une mise à jour de sécurité en attente |
| Redémarrage requis | Patchs appliqués, redémarrage du serveur nécessaire |
| Inconnu | Aucune source ne renseigne son état de patch |
Colonne Sources
Elle indique quels connecteurs connaissent ce serveur (glpi, vcenter,
rapid7…). Un serveur connu d'une seule source est souvent le signe d'une lacune de
couverture — c'est précisément ce que CrossRiver détecte.
Son filtre est une liste à cases à cocher, comme les filtres de colonne d'un tableur :
cochez une ou plusieurs sources (le serveur doit être connu d'au moins l'une d'elles), cherchez
dans la liste, « Tout sélectionner » ou « Effacer », puis OK (un clic à l'extérieur applique
aussi, Échap abandonne). Même filtre sur la colonne Source des logiciels et des comptes.
Décrire un filtre avec l'IA
Si l'assistant IA est disponible pour vous, le champ ✦ Décrire le filtre… (à côté de « Filtre avancé ») transforme une phrase en filtre : « serveurs de production non patchés depuis 60 jours ».
Le filtre est appliqué, puis écrit en clair par InfraRiver (jamais par l'IA) dans un bandeau : les conditions retenues, les conditions écartées et leur motif, et un bouton Annuler qui rend la vue précédente.
Les conditions sont vérifiées par InfraRiver : un champ ou une valeur inconnus ne sont jamais ignorés en silence.
La fiche serveur
Elle agrège tout ce que les autres modules savent du serveur :
| Section | Contenu |
|---|---|
| Identité réseau, interfaces | Nom, FQDN, adresses, interfaces |
| Système d'exploitation, matériel | OS et version, noyau, ressources |
| Organisation, propriétaires | Site, environnement, criticité, responsables |
| Équipes, applications | Rattachements (et donc responsables à contacter) |
| Patching, fenêtres de patching | État de patch, créneaux planifiés — voir Planifier le patching |
| Vulnérabilités (CVE) | CVE ouvertes du serveur — voir Gérer les vulnérabilités |
| Posture Linux | Comptes, sudo, SUID, services — voir Posture Linux |
| Cycle de vie | Fin de support de l'OS et des logiciels — voir Fin de support |
| Tickets ITSM | Tickets rattachés au serveur dans votre ITSM. Un badge (Incident, Demande…) indique le type du ticket quand le connecteur a su le déterminer ; les tickets non classés n'ont pas de badge |
| Métadonnées | Champs complémentaires remontés par les sources |
Le bouton 🔔 S'abonner permet d'être prévenu des patchs de ce serveur (voir S'abonner à un serveur).
Modifier un serveur
Éditer permet de corriger les champs de référence : nom, IP, FQDN, description, environnement, site, criticité, visibilité et zone d'exposition.
| Zone d'exposition | Sens |
|---|---|
| Exposé Internet | Joignable depuis Internet |
| DMZ | Zone démilitarisée |
| Interne | Réseau interne |
| Enclavé | Zone cloisonnée |
| Air-gap (isolé) | Sans lien réseau avec l'extérieur |
| — Non qualifiée — | Inconnue : traitée par prudence comme exposée |
La zone d'exposition est distincte de l'environnement (prod, préprod…) : l'un dit à quoi sert le serveur, l'autre d'où il est joignable. Elle se renseigne fiche par fiche (elle ne fait pas partie de la configuration en masse).
Criticité business et criticité sécurité
Chaque serveur porte deux criticités, sur la même échelle (critical, high, medium, low) :
| Criticité | Question posée | Exemples |
|---|---|---|
| Business | Que perd-on si ce serveur est indisponible ? | Chaîne de facturation, base ERP, portail clients |
| Sécurité | Que perd-on s'il est compromis ? | Contrôleur de domaine, PKI, serveur de secrets, serveur rebond (au moins aussi sensible que ce qu'il atteint) |
Elles se renseignent sur la fiche du serveur, en masse (cartes séparées), et s'affichent en deux colonnes de l'inventaire, avec chacune son filtre, son tri et sa colonne dans l'export. La criticité sécurité vaut « moyenne » par défaut ; InfraRiver ne la propose jamais, elle se saisit à la main. Chaque changement est tracé dans le journal d'audit.
La case Crown jewel désigne à la main les serveurs qu'un attaquant cherche à atteindre (contrôleur de domaine, base sensible, coffre de secrets). Elle est décochée par défaut, indépendante des deux criticités, et dispose elle aussi de sa colonne, de son filtre Oui/Non et de sa colonne d'export.
Criticité et zone d'exposition pilotent la priorisation
La criticité (critical, high, medium, low) et la zone d'exposition alimentent directement les verdicts SSVC. Les renseigner est le premier levier pour une priorisation juste.
Visibilité
| Visibilité | Qui voit le serveur |
|---|---|
| Public | Tous les utilisateurs |
| Privé | Ses propriétaires et les membres de ses équipes et applications |
| Sur demande | Accès sur demande, avec approbation d'un responsable |
Configuration en masse
Pour un premier déploiement, qualifier les serveurs un par un n'est pas réaliste. Cochez les serveurs dans la liste, puis Configuration en masse :
- définir l'environnement, la criticité ou la visibilité ;
- ajouter à des équipes ou en retirer ;
- ajouter à des applications ;
- assigner des responsables.
Chaque action est optionnelle : seules celles cochées sont appliquées. La combinaison filtre avancé → tout sélectionner → configuration en masse qualifie un parc entier en quelques minutes.
Logiciels
Inventaire → Logiciels liste les logiciels installés sur tout le parc, regroupés par
nom, version, éditeur et source, avec le nombre de serveurs concernés. Un clic ouvre
le détail : la liste des serveurs qui portent cette version.
Synonymes. Chercher « apache » trouve aussi les paquets httpd, apache2 et « Apache HTTP Server » (et inversement) ;
« postgres » trouve postgresql, « java » trouve openjdk, jre et jdk, « sql server » trouve mssql.
La même table s'applique à la recherche de la page, au filtre de la colonne Nom, au filtre avancé, au champ « Logiciel installé » du filtre des serveurs, à la recherche de serveurs et à l'assistant IA. « apache » désigne le serveur web, pas Apache Tomcat ni Apache Kafka (autres produits, cherchez-les par leur nom).
Les administrateurs complètent la table dans Administration → Synonymes de logiciels : un groupe contient au moins deux noms équivalents ; chaque ajout ou suppression est inscrit au journal d'audit.
La colonne de signature indique l'origine du paquet, un indicateur de confiance utile en audit :
| Signature | Sens |
|---|---|
| Clé éditeur du système | Paquet officiel de la distribution |
| Clé EPEL / Fedora | Dépôt communautaire reconnu |
| Clé tierce connue | Dépôt tiers identifié |
| Autre clé | Clé non reconnue — à examiner |
| Aucune signature | Paquet installé hors dépôt signé — à examiner |
Comptes et groupes
Inventaire → Comptes liste les identités observées sur le parc : comptes Linux locaux
(collecteur), comptes Active Directory, comptes cloud (Entra ID), comptes gérés par un
coffre (CyberArk). Chaque compte indique sa source, sa portée (serveur, domaine…), son
type, et s'il est privilégié, géré (coffre) ou rattaché à l'infrastructure.
La fiche d'un compte explique pourquoi il est là : l'historique des
rattachements observés (membre de tel groupe, règle sudo sur tel serveur…), avec la
source et la preuve de chacun. Les comptes apparentés dans d'autres sources sont
proposés en lien, jamais fusionnés.
Aucun résultat ne veut pas dire aucun accès
L'inventaire prouve des rattachements observés. L'absence d'un compte dans la liste ne démontre pas l'absence d'accès — seulement qu'aucune source connectée ne l'a vu.
Droits d'accès — la donnée est sensible, l'accès est découpé par famille :
| Permission | Donne accès à |
|---|---|
accounts.read_linux |
Comptes Linux / Unix |
accounts.read_windows |
Comptes Windows, Active Directory, cloud |
accounts.read_all |
Tout, y compris les comptes applicatifs, de service, de coffre |
Un compte hors de vos droits reste affiché, masqué, avec la permission nécessaire — jamais retiré de la liste. Chaque consultation de ces pages est inscrite au journal d'audit.
La page Groupes liste les groupes Active Directory et leurs membres.