Posture Linux
La posture, c'est qui peut faire quoi sur chaque serveur Linux : comptes, droits
sudo, clés SSH autorisées, binaires SUID, services en écoute, montages réseau. Elle
est collectée en lecture seule par InfraRiver Collector
(module posture) et alimente PathFinder.
Page : Analyse → Posture Linux (/posture/). Le détail par serveur est dans la
section Posture Linux de sa fiche.
Aucune posture collectée ?
La page affiche alors la marche à suivre : déployer un collecteur et configurer son jeton d'ingestion — voir Installer le collecteur.
La vue du parc
Indicateurs
| Indicateur | Signification |
|---|---|
| Total | Serveurs dont la posture a été collectée |
| Sudo root | Serveurs où un compte peut tout faire en root sans mot de passe (NOPASSWD ALL) |
| SUID risk | Serveurs portant des binaires SUID/SGID non standard |
| Clés partagées | Nombre de groupes de serveurs partageant une même clé SSH autorisée (hors clés de déploiement) |
| Stale | Serveurs dont la dernière collecte est trop ancienne |
| Seuils | Délai au-delà duquel une collecte est stale (7 jours par défaut) puis purgée (30 jours) |
Une ligne par serveur : environnement, date de dernière collecte, sudo root,
SUID à risque, clés partagées, état de fraîcheur, et exposition — le nombre de
services effectivement joignables depuis le réseau.
La liste se filtre, se trie, se sauvegarde et s'exporte (Excel) comme toutes les pages d'inventaire — voir Travailler avec les listes.
Clusters de clés partagées
Le panneau Clusters de clés partagées regroupe les serveurs qui acceptent la même clé SSH. Une clé présente sur 40 serveurs, c'est un compte compromis qui donne 40 serveurs : c'est le premier chemin de pivot que PathFinder exploite.
Les clés de déploiement (outils d'automatisation) sont signalées à part : leur présence sur de nombreux serveurs est attendue, pas une anomalie.
Les trois vérifications d'une revue de posture
- Sudo root : chaque
NOPASSWD ALLdoit être justifié. - Clés partagées : une clé humaine sur plusieurs serveurs doit être remplacée par des clés individuelles.
- Stale : un serveur non collecté depuis longtemps est un angle mort, pas un serveur sain.
Le détail d'un serveur
La section Posture Linux de la fiche serveur détaille :
| Bloc | Contenu |
|---|---|
| Comptes | Comptes locaux : shell (interactif ou non), groupes, présence d'un mot de passe, dernière connexion |
| Sudo | Chaque règle : qui, en tant que qui (run_as), quelles commandes, avec ou sans mot de passe (NOPASSWD signalé) |
| Clés SSH | Clés autorisées par compte : type, empreinte, options, présence d'une passphrase côté client quand elle est connue |
| SUID / capabilities | Binaires à privilèges, marqués standard ou non-standard |
| Services en écoute | Port, protocole, adresse d'écoute, processus — et exposition réelle |
| Montages | Montages réseau (NFS, CIFS) : hôte et partage distants, point de montage |
| Tâches planifiées | Scripts planifiés : propriétaire, chemin, permissions |
L'exposition réelle d'un service ne se limite pas au port ouvert : elle tient compte du pare-feu de l'hôte.
| Exposition | Sens |
|---|---|
| Ouvert | Joignable depuis le réseau |
| Filtré | Écoute, mais bloqué par le pare-feu local |
| Fermé | Écoute uniquement en local |
| Inconnu | Pas assez d'information pour conclure |
Ce qui n'est jamais collecté
Le hash des mots de passe (seulement sa présence), le contenu des scripts planifiés (seulement leur chemin et leurs droits), les clés privées, l'historique shell, les secrets applicatifs. La collecte se fait avec un compte dédié, jamais root.