Découvrez comment les violations de données surviennent et comment les utilisateurs peuvent mieux s'en protéger dans Elasticsearch.

Si vous travaillez dans le domaine technologique, vous avez déjà probablement rencontré l'expression «&nbsp;intrusion dans le serveur&nbsp;». Si vous travaillez dans un autre domaine, vous avez certainement eu vent de violations de serveur ou de données et de failles de sécurité ayant permis à des utilisateurs malveillants d'accéder à des données privées et personnelles. Parmi ces données, des coordonnées de carte bancaire, des numéros de sécurité sociale et d'autres informations que vous préféreriez garder pour vous-même et que vous n'avez pas envie de voir traîner sur le dark web.
Un logiciel, quel qu'il soit, peut être confronté à une violation ou une attaque. Cela s'applique notamment à Elasticsearch, un projet logiciel open source développé par Elastic. Il y a eu des exemples de données qui n'était pas stockées de façon sécurisée dans Elasticsearch et qui ont fuité, ont été perdues, ou volées.
<h2>Comment éviter une intrusion sur le serveur Elasticsearch</h2>Dans cet article, nous allons voir comment les violations de données surviennent et comment les utilisateurs peuvent mieux s'en protéger dans Elasticsearch. Commençons par quelques informations de base. Si vous préférez, toutefois, vous pouvez accéder directement à la section&nbsp;:&nbsp;<a href="#secure-elasticsearch">Comment sécuriser Elasticsearch&nbsp;?</a><h2>Qu'est-ce qu'Elasticsearch&nbsp;?</h2>Elasticsearch est un moteur d'analyse et de recherche open source, ainsi qu'un datastore. Avec plusieurs centaines de millions de téléchargements, c'est un moteur extrêmement populaire. Sa vitesse, son scaling et sa pertinence de recherche sont des atouts précieux. Mais s'il est aussi populaire, c'est aussi en grande partie grâce à sa facilité d'utilisation, sa capacité à prendre en charge tout type de données (textuelles, numériques, géospatiales, etc.), son ensemble robuste de fonctionnalités et le fait que n'importe qui puisse suggérer un correctif à un bug ou une amélioration (étant donné qu'il s'agit d'un moteur <a href="/fr/about/why-open-source">open source</a>).
Pour illustrer ce propos, imaginez que vous disposiez d'une feuille de calcul ayant des milliards de ligne, et que vous soyez toujours capable de rechercher un élément et d'effectuer un calcul en une fraction de seconde. C'est ainsi que fonctionne Elasticsearch. Et il est très bon dans ce qu'il fait&nbsp;! C'est pourquoi <a href="/fr/customers">un grand nombre d'entreprises utilisent Elasticsearch</a> pour différentes raisons, que ce soit pour <a href="/fr/customers/netshoes">booster la recherche sur leurs sites d'e-commerce</a>, pour <a href="/fr/elasticon/2015/sf/unlocking-interplanetary-datasets-with-real-time-search">analyser les données envoyées depuis des rovers sur Mars</a> ou encore pour <a href="/fr/elasticon/conf/2018/sf/lyfts-wild-ride-from-amazon-es-to-self-managed-elasticsearch">s'assurer qu'un covoiturage arrivera à l'heure</a>.
<h2>Qui est Elastic&nbsp;? Est-ce que vous détenez mes données&nbsp;?</h2>Elastic est l'entreprise qui développe Elasticsearch, ainsi que d'autres produits de la Suite&nbsp;Elastic (Kibana, Beats, Logstash, etc.). Et Elasticsearch constitue la colonne vertébrale d'un grand nombre de solutions, parmi lesquelles <a href="/fr/enterprise-search">Search</a>, <a href="/fr/observability">Observability</a>, <a href="/fr/security">Security</a>, et bien plus encore.
Et pour répondre à votre question de façon courte, non, nous ne détenons pas vos données. Nous développons Elasticsearch, que d'autres entreprises exécutent ensuite en local ou dans une infrastructure cloud.&nbsp;
Pour répondre de manière un peu plus détaillée, peut-être. Certaines entreprises utilisent <a href="/fr/cloud">Elastic&nbsp;Cloud</a>, notre offre Elasticsearch gérée. C'est à nous qu'il incombe d'assurer la maintenance des données que nos clients placent dans Elastic&nbsp;Cloud, et notamment de les sécuriser. C'est pourquoi l'ensemble de nos <a href="/fr/elasticsearch/service">déploiements d'Elasticsearch&nbsp;Service</a> sont <a href="/fr/cloud/security">sécurisés par défaut</a>.
<h2>Où Elasticsearch conserve-t-il ses données&nbsp;?</h2>Étant donné qu'Elasticsearch est open source (ce qui signifie que n'importe qui peut le télécharger et l'installer gratuitement), il peut être installé presque partout. Certaines entreprises le téléchargent et l'installent sur leurs propres serveurs internes, tandis que d'autres l'installent dans le cloud (sur le fournisseur de leur choix). Certaines entreprises de services cloud proposent également des versions gérées d'Elasticsearch, ce qui signifient qu'elles hébergent et administrent des clusters Elasticsearch (c'est comme ça que nous les appelons) pour des clients.&nbsp;
À vrai dire, Elastic propose également sa propre version gérée d'<a href="/fr/elasticsearch/service">Elasticsearch&nbsp;Service</a> sur Elastic&nbsp;Cloud. Avec cette version, nous proposons des services de gestion complets (y compris la sécurité par défaut) et nous vous permettons de choisir un fournisseur cloud parmi ceux que nous avons sélectionnés pour l'infrastructure.
<h2>Comment une violation peut-elle se produire sur les serveurs Elasticsearch&nbsp;?</h2>Il existe bien des façons de compromettre des datastores, que ce soit par des mots de passe volés ou par des actes de malveillance de pirates ou d'employés mécontents. Dans le cas d'Elasticsearch, le scénario de violation le plus courant vient de la mauvaise sécurisation d'un cluster sur Internet, car n'importe qui peut se connecter et accéder aux données sans avoir besoin d'un nom d'utilisateur ni d'un mot de passe. Ces clusters non sécurisés sont souvent identifiés par des chercheurs en sécurité, qui publient alors leurs conclusions, et c'est ainsi que tout le monde sait que les données sont accessibles sur Internet.
Lorsqu'un cluster Elasticsearch est bien sécurisé, il n'est pas plus exposé au risque de violation que n'importe quelle autre base de données. Et c'est pour cette raison que nous fournissons les fonctionnalités (gratuites et par défaut) nécessaires pour <a href="/fr/what-is/elastic-stack-security">sécuriser un cluster Elasticsearch</a> à quiconque télécharge et utilise la Suite&nbsp;Elastic. Voyons quelques actions que les utilisateurs d'Elasticsearch peuvent exécuter pour être sûrs qu'ils utilisent ces fonctionnalités et garantissent la sécurité de leurs clusters.
<h2 id="secure-elasticsearch">Comment sécuriser Elasticsearch&nbsp;?</h2>Nous intégrons les <a href="/fr/blog/security-for-elasticsearch-is-now-free">fonctionnalités de sécurité Elasticsearch</a> dans notre distribution gratuite par défaut (niveau <a href="/fr/subscriptions">Basic</a>), ce qui signifie que n'importe quel utilisateur peut configurer la sécurité de son cluster Elasticsearch pour éviter les fuites de données involontaires. Avant d'aborder ces fonctionnalités plus en détail, voyons d'abord comment déterminer si votre cluster est déjà sécurisé ou non.
<h3>Comment vérifier si mon cluster Elasticsearch est sécurisé ou non&nbsp;?</h3>Si vous êtes un utilisateur ou un administrateur d'Elasticsearch, vous pouvez effectuer au préalable quelques actions pour déterminer si la sécurité est activée et qu'elle fonctionne.&nbsp;
Le plus simple est d'interroger l'API des paramètres. Si vous émettez la requête suivante&nbsp;:
<pre class="prettyprint">GET _xpack/usage?filter_path=security
</pre>Vous obtiendrez un résultat similaire à celui ci-dessous si la sécurité est désactivée&nbsp;:
<pre class="prettyprint">{ 
 "security" : { 
 "available" : true, 
 "enabled" : false, // Si la sécurité est désactivée, le paramètre indiqué est "false" 
 "ssl" : { 
 "http" : { 
 "enabled" : false 
 }, 
 "transport" : { 
 "enabled" : false 
 } 
 } 
 } 
}
</pre>Ou le résultat suivant si la sécurité fonctionne correctement&nbsp;:
<pre class="prettyprint">{ 
 "security" : { 
 "available" : true, 
 "enabled" : true, // Lorsque la sécurité est activée, le paramètre indiqué est "true"
 "realms" : { ... }, 
 "roles" : { ... }, 
 "role_mapping" : { ... }, 
 "ssl" : { 
 "http" : { 
 "enabled" : true 
 }, 
 "transport" : { 
 "enabled" : true 
 } 
 }, 
 "token_service" : { ... }, 
 "api_key_service" : { ... }, 
 "audit" : { ... }, 
 "ipfilter" : { ... }, 
 "anonymous" : { ... } 
 } 
}
</pre>Comme vous pouvez le constater, les résultats sont assez différents. Selon la version et le niveau de licence que vous avez déployés, ces résultats peuvent varier légèrement.
<h3>Comment m'assurer que mon cluster Elasticsearch est sécurisé&nbsp;?</h3>Voici les deux actions que vous pouvez réaliser pour faire en sorte qu'aucune personne extérieure ne puisse accéder à vos clusters Elasticsearch&nbsp;:
<ol>
	<li>Activer l'authentification, afin que personne ne puisse accéder sans s'authentifier dans Elasticsearch.</li>
	<li>Activer le chiffrement TLS, afin que personne ne puisse espionner les données Elasticsearch circulant sur votre réseau.</li>
</ol>Nous disposons d'un grand nombre de ressources disponibles (répertoriées à la fin de l'article) qui expliquent comment sécuriser Elasticsearch, et notamment, comment mettre en œuvre facilement les deux recommandations indiquées ci-dessus. Néanmoins, le plus rapide est de consulter notre article de blog <a href="/fr/blog/getting-started-with-elasticsearch-security">Prise en main de la sécurité Elasticsearch (TLS et RBAC)</a> et la vidéo qui l'accompagne, Sécurisation d'Elasticsearch en 7&nbsp;minutes.
<div class="video embed-container" style="height: 319.725px;">
	<img class="vidyard-player-embed" src="https://play.vidyard.com/aiXTSUt4aR3hfesxsFynaw.jpg" data-uuid="aiXTSUt4aR3hfesxsFynaw" data-v="4" data-type="inline" style="width: 100%; margin: auto; display: block;">
</div>Nous avons aussi un bouton simple pour tout ça dans <a href="/fr/elasticsearch/service">Elasticsearch&nbsp;Service</a> sur Elastic&nbsp;Cloud. Lorsque vous utilisez Elasticsearch&nbsp;Service, vous pouvez être sûr que la sécurité y est automatiquement configurée pour chaque cluster.
<h2>La sécurité est l'affaire de tous</h2>Si vous avez des questions, nous sommes à votre disposition. Il y a de nombreuses façons de prendre part à la <a href="/fr/community/">communauté Elastic</a>, telles que les <a href="https://discuss.elastic.co">forums</a>, les événements locaux et de <a href="/guide">nombreuses documentations</a> (très nombreuses&nbsp;!). Nous cherchons également à simplifier davantage la sécurisation d'Elasticsearch. Surveillez nos blogs pour connaître les nouveautés à venir et ce que nous vous préparons pour l'avenir. Si vous êtes fan de Spiderman, la réplique suivante vous dira forcément quelque chose&nbsp;: «&nbsp;Un grand pouvoir implique de grandes responsabilités&nbsp;». Et c'est vrai pour Elastic et pour quiconque utilise Elasticsearch pour stocker des données.
<h2>Pour aller plus loin sur la sécurisation d'Elasticsearch</h2>Articles de blog
<ul>
	<li><a href="/fr/blog/getting-started-with-elasticsearch-security">Prise en main de la sécurité Elasticsearch (TLS et RBAC)</a></li>
	<li><a href="/fr/blog/tips-to-secure-elasticsearch-clusters-for-free-with-encryption-users-and-more">Chiffrement, sécurisation des données utilisateur et plus encore&nbsp;: nos conseils pour sécuriser gratuitement vos clusters Elasticsearch</a></li>
	<li><a href="/fr/blog/configuring-ssl-tls-and-https-to-secure-elasticsearch-kibana-beats-and-logstash">Configurer SSL, TLS et HTTPS pour sécuriser Elasticsearch, Kibana, Beats et Logstash</a></li>
</ul>Vidéos
<ul>
	<li><a href="/fr/webinars/elasticsearch-security-best-practices-to-keep-your-data-safe">Sécurité d'Elasticsearch&nbsp;: bonnes pratiques pour préserver vos données</a></li>
	<li><a href="/fr/webinars/kibana-security-access-management-spaces-and-feature-controls">Sécurité de Kibana&nbsp;: gestion des accès, espaces et commandes des fonctionnalités</a></li>
</ul>Documentation
<ul>
	<li><a href="/guide/en/elasticsearch/reference/7.6/elasticsearch-security.html">Paramètres de sécurité dans Elasticsearch</a></li>
	<li><a href="/guide/en/elasticsearch/reference/7.6/configuring-security.html">Configuration de la sécurité dans Elasticsearch</a></li>
</ul>Formation
<ul>
	<li><a href="/fr/training/specializations/elastic-stack-management/fundamentals-of-securing-elasticsearch">Formation sur la sécurisation d'Elasticsearch</a></li>
	<li><a href="/fr/training/specializations/elastic-stack-management/advanced-techniques-for-securing-elasticsearch">Techniques avancées pour la sécurisation d'Elasticsearch</a></li>
</ul>

blog-security-breach-red-lock-banner.jpg

blog-security-breach-red-lock-thumb.jpg

Securing Elasticsearch: How to prevent an Elasticsearch server breach

Comment éviter une intrusion sur le serveur Elasticsearch

Depuis le lancement des versions&nbsp;6.8 et&nbsp;7.1 de la Suite Elastic, de nombreuses fonctionnalités de sécurité Elasticsearch sont accessibles à tous&nbsp;: nous avons en effet choisi de les intégrer <a href="/fr/blog/security-for-elasticsearch-is-now-free">gratuitement à la distribution par défaut</a>. Nous sommes vraiment ravis de partager cette bonne nouvelle. Reste à mettre à jour notre documentation et nos conseils relatifs à la sécurisation de la Suite&nbsp;Elastic. Car le temps où un serveur proxy suffisait à sécuriser la Suite est bel et bien révolu&nbsp;!



J'ai donc revisité bon nombre de nos anciens articles de blog axés sur la sécurité, et l'objectif est maintenant de mettre à jour nos conseils, de démystifier certaines idées, d'en souligner de nouvelles, et de veiller à ce que vous puissiez sécuriser votre Suite mieux que jamais.



C'est pourquoi vous ne trouverez ici aucun lien vers les anciens articles. Certains d'entre-eux donnent en effet des conseils qui ne sont plus valables aujourd'hui, et que nous considérons même comme dangereux, compte tenu de l'évolution de la Suite Elastic au fil des ans. (Conclusion, méfiez-vous des conseils de sécurité fournis dans les anciens articles de blog&nbsp;: les choses changent très vite.) Nous allons diriger tous ces anciens liens vers cette page. Toutefois, si, sur d'autres sites, vous rencontrez des versions mises en cache de ces articles, nous vous invitons à les diriger vers cette nouvelle page.



<h2>Chiffrement&nbsp;TLS
</h2>
Le chiffrement&nbsp;TLS fait maintenant partie des fonctionnalités de sécurité gratuites d'Elasticsearch et Kibana, que nous avons intégrées à la distribution par défaut. L'objectif est de chiffrer les communications réseau. Nous chiffrons donc les communications entre les nœuds de votre cluster, entre les clients et le cluster, ainsi que les connexions de Kibana aux utilisateurs.



Nous utilisons aussi des certificats TLS, qui nous permettent de contrôler si un nœud est autorisé à rejoindre un cluster. Sans TLS, n'importe qui peut ajouter un nœud à un cluster. Bien que cela puisse être exploité par un attaquant aux intentions malveillantes, dans les faits, il arrive bien plus souvent qu'un nœud rejoigne le mauvais cluster par accident. TLS permet d'éviter ce genre de problèmes, car sans le certificat adéquat, il est impossible que le nœud rejoigne le cluster.



Avant les versions&nbsp;6.8 et&nbsp;7.1, si vous aviez une licence <a href="/fr/subscriptions">Basic</a> et que vous vouliez utiliser le chiffrement TLS avec la Suite&nbsp;Elastic, il fallait s'en remettre à un proxy quelconque, ce qui augmentait considérablement les tâches de configuration. Or, la configuration de TLS est déjà assez difficile en soi, même sans proxy à configurer entre les nœuds et les clients. Ajouter un proxy, c'est compliquer sensiblement un problème déjà difficile. C'est pourquoi nous avons choisi d'intégrer la prise en charge TLS directement dans la Suite&nbsp;Elastic.



Côté configuration, nous vous proposons une <a href="/guide/en/elastic-stack-overview/7.1/ssl-tls.html">documentation conséquente, qui vous explique comment configurer TLS</a>. Si vous avez déjà travaillé avec TLS, vous savez que la configuration des certificats n'est jamais chose aisée. Pour simplifier les choses, nous vous proposons donc des outils intégrés qui vous aident à générer des <a href="/guide/en/elasticsearch/reference/7.1/configuring-tls.html#node-certificates">certificats et des autorités de certification à l'échelle du cluster</a>. &nbsp;Je vous invite à garder un œil sur ce blog&nbsp;: nous y publierons des articles qui aborderont en détail les bonnes pratiques de configuration TLS pour tous les composants de la Suite&nbsp;Elastic. Mais pour vous lancer sans attendre, le plus simple est de consulter l'article de blog intitulé <a href="/fr/blog/getting-started-with-elasticsearch-security">Prise en main de la sécurité Elasticsearch</a>, ou encore de jeter un œil à notre <a href="/fr/blog/introducing-elastic-cloud-on-kubernetes-the-elasticsearch-operator-and-beyond">Kubernetes Operator</a> officiel.



<h2>Authentification
</h2>
Avec les versions&nbsp;6.8 et&nbsp;7.1, l'authentification native est accessible à tous. Son objectif est de permettre aux clients de s'identifier pour accéder à la Suite&nbsp;Elastic. Il s'agit souvent du nom d'utilisateur et du mot de passe que vous utilisez pour vous connecter à un système. Mais laisser un cluster plein de données ouvert aux quatre vents n'est généralement pas une bonne idée. C'est d'autant plus dangereux si le cluster est directement connecté à Internet, où n'importe qui peut se connecter sans mot de passe.



Auparavant, on conseillait l'utilisation d'un serveur Nginx et l'activation de la basic&nbsp;auth (authentification de base) entre le client et le cluster. Réussir cette configuration pouvait s'avérer incroyablement difficile. Chaque nœud pouvant servir des requêtes externes, si on oubliait de désactiver un nœud, n'importe qui pouvait se connecter au cluster sans s'authentifier.



Désormais, vous pouvez utiliser gratuitement l'authentification de domaine <a href="/guide/en/elastic-stack-overview/7.1/native-realm.html">native</a> et <a href="/guide/en/elastic-stack-overview/7.1/file-realm.html">basée sur fichiers</a> (file realms). Le file&nbsp;realm stocke les informations utilisateur dans un fichier présent sur chaque nœud. Vous devez veiller à la bonne synchronisation de ces fichiers sur l'ensemble des nœuds. Le domaine natif est quant à lui plus rationalisé et effectue à peu près ce qu'on attend de lui&nbsp;: les données utilisateur sont stockées dans un index du cluster auquel chaque nœud a accès. Vous ajoutez les noms d'utilisateur et les mots de passe via une API&nbsp;REST, et ces comptes peuvent alors se connecter. Pour en savoir plus, consultez l'article de blog <a href="/fr/blog/getting-started-with-elasticsearch-security">Prise en main de la sécurité Elasticsearch</a>.



Si vous avez besoin d'une méthode d'authentification plus complexe (LDAP, Active&nbsp;Directory, SAML ou autre), <a href="/fr/cloud/">nous proposons un service cloud (SaaS)</a> qui intègre directement certaines de ces méthodes, de même que d'autres fonctionnalités commerciales. Vous pouvez aussi nous <a href="/fr/subscriptions">contacter</a> pour discuter de nos solutions sur&nbsp;site. Pour découvrir les différentes options d'authentification que nous proposons, n'hésitez pas à consulter la <a href="/guide/en/elastic-stack-overview/7.1/setting-up-authentication.html">documentation consacrée à l'authentification</a>.



<h2>Autorisation
</h2>
L'autorisation et l'authentification sont souvent inséparables. Il en va de même dans la Suite Elastic. Nous avons développé un système extrêmement flexible, capable de définir les règles d'autorisation du cluster et des index, mais aussi de descendre jusqu'au niveau des <a href="/guide/en/elastic-stack-overview/7.1/document-level-security.html">documents</a> et des <a href="/guide/en/elastic-stack-overview/7.1/field-level-security.html">champs</a>. Nous avons même mis au point ce que nous appelons un <a href="/guide/en/elastic-stack-overview/7.1/custom-roles-authorization.html">moteur d'autorisation</a>, qui vous permet de développer votre propre plug-in d'autorisation.



Donner des conseils dans ce domaine n'a jamais été chose aisée. On a pu suggérer par le passé d'utiliser un proxy comme Nginx et d'écrire des règles de filtrage assez complexes, puis de tenter d'exploiter les alias filtrés pour parvenir à quelque chose qui se rapproche d'une autorisation. Nous déconseillons vivement l'utilisation de ces méthodes d'autorisation. Il ne s'agit pas de fonctionnalités de sécurité, elles risquent de ne pas produire l'effet escompté et sont incroyablement difficiles à maintenir. Ces solutions ne donneront plus les résultats attendus, car au fil du temps, le nombre d'API Elasticsearch a explosé. Les moyens d'accéder aux index et aux données qu'ils contiennent pour les interroger sont nombreux. Mais il n'existe aucun moyen de garantir que vous avez réussi à bloquer chaque requête ou à en limiter l'accès. La deuxième raison découle de la première&nbsp;: le nombre de points de terminaison à protéger est énorme et il ne cesse de croître. Veiller à ce que ces filtres restent à jour représenterait un travail colossal.



Mais tout cela est de l'histoire ancienne. Les versions&nbsp;6.8 et&nbsp;7.1 vous donnent maintenant accès à une multitude de fonctionnalités d'autorisation. Elles sont trop nombreuses pour être présentées dans cet article, mais la <a href="/guide/en/elastic-stack-overview/7.1/security-privileges.html">documentation consacrée à la sécurité de la Suite&nbsp;Elastic</a> explique à merveille l'ensemble des privilèges existants. Dans de prochains articles de blog, nous examinerons de près certaines des solutions que vous pouvez mettre en place grâce à notre modèle d'autorisation.



Comme pour l'authentification, nous proposons des fonctionnalités d'autorisation encore plus avancées, qui peuvent être appliquées à des documents ou à des champs individuels. Vous avez la possibilité de développer vos propres plug-ins d'authentification et d'autorisation, et même logger les événements de sécurité sur le cluster. Vous pouvez accéder à ces fonctionnalités via notre <a href="/fr/pricing">service cloud</a> ou nous <a href="/fr/subscriptions">contacter</a> pour discuter des possibilités de déploiement sur site.



<h2>Placer la Suite derrière un VPN et/ou un pare-feu
</h2>
Nous avons longtemps suggéré de placer la Suite&nbsp;Elastic derrière un VPN ou un pare-feu. Dans bien des cas, l'idée était que sans TLS ni authentification, il pouvait être difficile de protéger un cluster au moyen d'un unique proxy, et qu'il était donc plus simple de bloquer l'accès à tout le monde, plutôt que de configurer correctement chaque élément.



Mais même armé de TLS et de l'authentification, certains préfèrent ne pas se séparer de leur pare-feu ou de leur VPN, et on ne peut qu'approuver. La meilleure sécurité est une sécurité multicouches. Et il se trouve qu'aujourd'hui, le VPN et le pare-feu ne sont plus l'unique couche.



<h2>Scripts limités
</h2>
Il y a longtemps, nous avions publié un article de blog au sujet de la limitation des scripts dans Elasticsearch. Mais avec le langage de script <a href="/guide/en/elasticsearch/reference/7.1/modules-scripting-painless.html">Painless</a>, il est devenu beaucoup plus difficile d'arrêter un cluster, même avec des scripts malveillants. Cela n'est cependant pas impossible. C'est pourquoi nous partageons nos bonnes pratiques et nos réflexions à ce sujet dans notre <a href="/guide/en/elasticsearch/reference/7.1/modules-scripting-security.html">documentation consacrée à la sécurité des scripts</a>. Toutefois, en matière de sécurité, nous vous recommandons toujours d'étudier votre environnement et de prendre les mesures les plus adaptées à votre situation. La sécurité est plus efficace quand on dispose de plusieurs couches. Il n'existe donc pas une seule, mais plusieurs "meilleures solutions".



<h2>Isolation
</h2>
Nous avons plus d'une fois abordé l'isolation des nœuds et des clusters pour des raisons de sécurité. Conteneurs, pare-feu, filtrage IP... Les solutions sont multiples.

Ce conseil est toujours d'actualité et toujours aussi judicieux&nbsp;: isolez tout ce que vous pouvez isoler. Ces dernières années, nous avons beaucoup œuvré à vous faciliter la tâche. L'isolation est désormais plus simple que jamais. Vous pouvez utiliser nos images de<a href="https://www.docker.elastic.co/">conteneur</a> officielles, publiées sur le hub&nbsp;Docker. Vous pouvez aussi capitaliser sur<a href="/fr/cloud/elasticsearch-service">Elasticsearch&nbsp;Service,</a> et nous vous déchargeons des tâches les plus complexes. Et nous venons d'annoncer notre <a href="/fr/blog/introducing-elastic-cloud-on-kubernetes-the-elasticsearch-operator-and-beyond">Kubernetes Operator</a> officiel, que vous pouvez d'ores et déjà essayer.



<h2>Sauvegardez vos index (notamment .kibana, qui est facilement modifiable)
</h2>


Sauvegarder ses données est toujours aussi essentiel. Aucune solution de sécurité ne vous dispense de sauvegardes, même si nos fonctionnalités Security sont toujours plus performantes.



Le plus grand avantage&nbsp;? Nous pouvons maintenant utiliser <a href="/guide/en/kibana/7.1/xpack-spaces.html">Kibana&nbsp;Spaces</a> pour limiter l'accès en écriture à certains tableaux de bord. Encore une fonctionnalité disponible gratuitement dans les versions&nbsp;6.8 et&nbsp;7.1. Jusque-là, quiconque avait accès à Kibana pouvait y modifier ce qu'il voulait. Il n'était donc pas rare qu'un utilisateur modifie des tableaux de bord par erreur, voire, dans certains cas, qu'il les supprime tous accidentellement. Nous conseillions donc de sauvegarder l'index .kibana régulièrement pour pouvoir le récupérer rapidement en cas d'erreur. Il est bien plus rapide de restaurer un index que de recréer tous vos tableaux de bord. Il est donc toujours important de sauvegarder votre index .kibana, mais grâce à Spaces et aux autorisations, vous n'aurez normalement plus à le restaurer régulièrement.



Autre grand avantage de Security&nbsp;: la possibilité de contrôler les utilisateurs autorisés à effectuer des instantanés, créer des index et modifier les données. Sans Security, un utilisateur autorisé en lecture seule peut potentiellement apporter des modifications désastreuses aux données. Avec Security, vous pouvez prendre des mesures pour éviter les modifications non&nbsp;intentionnelles des données importantes.



<h2>Pour terminer
</h2>


L'objectif de cet article de blog était de réexaminer certains des conseils que nous vous donnions il y a quelque temps sur la sécurisation de vos déploiements de la Suite&nbsp;Elastic. Dans le monde de la sécurité, la seule constante est le changement. Les conseils partagés dans cet article seront eux aussi dépassés un jour. Dans la Suite&nbsp;Elastic, la sécurité offre tant de possibilités qu'elle peut en devenir intimidante. (C'est une fonctionnalité, pas un bug.) N'hésitez surtout pas à <a href="https://discuss.elastic.co">poser des questions sur les forums</a>, ni à lire nos articles de blog et notre <a href="/guide">documentation</a>.



Sécuriser la Suite&nbsp;Elastic via un simple bouton&nbsp;? C'est aussi possible. Dans notre offre <a href="/fr/elasticsearch/service/subscriptions">Elasticsearch&nbsp;Service</a> TLS est préconfiguré pour tous les clusters, l'authentification et les autorisations sont activées, ainsi que nos fonctionnalités de sécurité <a href="/fr/subscriptions">Enterprise</a>, elles aussi activées par défaut. Et si vous n'êtes pas très cloud, bon nombre de ces fonctionnalités sont aussi disponibles via notre offre Elasticsearch&nbsp;Service hébergée dans votre propre data center grâce <a href="/fr/ece">Elastic&nbsp;Cloud Enterprise (ECE)</a>. Notre <a href="/fr/blog/introducing-elastic-cloud-on-kubernetes-the-elasticsearch-operator-and-beyond">Kubernetes Operator</a> peut aussi se charger de tâches complexes, comme l'activation TLS et la configuration par défaut de l'authentification. Et bien sûr, si vous avez opté pour un abonnement <a href="/fr/subscriptions">Enterprise</a> et que vous exécutez la Suite&nbsp;Elastic, notre équipe de support technique est là pour vous aider à résoudre tous les problèmes. Et elle est épatante.

Restez connecté pour ne rien manquer des nouveautés. Une multitude de conseils pratiques sont dans le pipeline, mais aussi de nouvelles fonctionnalités de sécurité. Utiliser la Suite Elastic n'a jamais été aussi passionnant.

blog-generic-teal-banner.png

blog-generic-teal-thumb.png

Tips to secure Elasticsearch clusters for free with encryption, users, and more

Chiffrement, sécurisation des données utilisateur et plus encore : nos conseils pour sécuriser gratuitement vos clusters Elasticsearch

Dans cette introduction à la sécurisation d’Elasticsearch, nous allons apprendre à configurer TLS entre les nœuds et à mettre en place l’authentification.

<a href="/fr/blog/security-for-elasticsearch-is-now-free">À partir des versions 6.8 et 7.1 de la Suite&nbsp;Elastic</a>, des fonctionnalités de sécurité sont disponibles gratuitement au niveau de base. Parmi elles, le chiffrement TLS ou encore le contrôle d'accès basé sur les rôles. Dans cet article de blog, nous allons voir comment utiliser ces fonctionnalités pour sécuriser les clusters Elasticsearch. 
Pour cela, nous réaliserons un exercice pratique, lors duquel nous créerons et sécuriserons un cluster Elasticsearch à deux nœuds sur une machine locale. Nous configurerons tout d’abord la communication TLS entre les deux nœuds. Ensuite, nous activerons la sécurité de l’instance Kibana qui servira à analyser et à visualiser les données du cluster. Puis, nous configurerons un contrôle d'accès basé sur les rôles dans Kibana. Le but&nbsp;: nous assurer que les utilisateurs puissent accéder uniquement aux données dont ils ont besoin.
La sécurité est un sujet extrêmement vaste sur lequel il y a beaucoup à dire. Toutefois, aujourd’hui, nous étudierons uniquement les points que vous devez connaître pour démarrer. Après la lecture de cet article, nous vous recommandons de consulter notre <a href="/guide/en/elasticsearch/reference/7.1/configuring-security.html">documentation sur la sécurisation de la Suite&nbsp;Elastic</a>, qui propose des <a href="/guide/en/elastic-stack-overview/7.1/security-getting-started.html">exemples pratiques</a> très utiles. Dernière remarque très rapide&nbsp;: nous nous servirons d’un cluster local lors de cette procédure. En effet, même si les fonctionnalités sont disponibles de base dans les versions 6.8 et 7.1, elles ont toujours été fournies par défaut dans notre solution <a href="/fr/cloud/elasticsearch-service/subscriptions">Elasticsearch&nbsp;Service</a>.
<h2>Installation d’Elasticsearch et de Kibana</h2>Pour cet exemple, nous effectuerons l’installation sur un ordinateur portable fonctionnant sous Linux. Adaptez les étapes ci-dessous à votre environnement.
<h3>1ère&nbsp;étape&nbsp;: Télécharger Elasticsearch et Kibana</h3>Vous devez commencer par <a href="/fr/downloads?elektra=products&storm=main">télécharger</a>&nbsp;la version de base d’Elasticsearch et de Kibana (au moins 6.8 ou 7.1). Les fonctionnalités de sécurité ont été ajoutées au niveau de base dans 7.1 et 6.8. Aussi, si vous disposez d’une version antérieure, vous devez effectuer la mise à niveau.
<h3>2e&nbsp;étape&nbsp;: Extraire Elasticsearch et Kibana</h3>Pour cet exemple, nous avons téléchargé elasticsearch-7.1.0-linux-x86_64.tar.gz et kibana-7.1.0-linux-x86_64.tar.gz. Une fois ces fichiers récupérés, vous devez en extraire le contenu.
<h3>3e&nbsp;étape&nbsp;: Créer deux nœuds Elasticsearch</h3> Pour créer un cluster à deux nœuds, faites deux copies du répertoire Elasticsearch, l’une appelée master, et l’autre, node. Une fois cette étape terminée, vous disposez des fichiers et dossiers suivants&nbsp;:
<pre class="prettyprint">elasticsearch-7.1.0 elasticsearch-7.1.0-node
elasticsearch-7.1.0-linux-x86_64.tar.gz kibana-7.1.0-linux-x86_64
elasticsearch-7.1.0-master kibana-7.1.0-linux-x86_64.tar.gz
</pre><h2>Configurer TLS et l’authentification</h2>Nous devons tout d’abord générer certains certificats pour que les nœuds puissent communiquer en toute sécurité. Pour cela, vous pouvez vous servir de l’autorité de certification de l’entreprise. Toutefois, pour cette démo, nous utiliserons une commande appelée <code>elasticsearch-certutil</code>, que vous pouvez exécuter sans qu’il y ait la confusion habituelle au niveau des certificats.
<h3>1ère&nbsp;étape&nbsp;: TLS sur le nœud maître Elasticsearch, «&nbsp;master&nbsp;»</h3>Vous pouvez exécuter <code>cd</code> dans le répertoire master, puis la commande suivante&nbsp;:
<pre class="prettyprint">bin/elasticsearch-certutil cert -out config/elastic-certificates.p12 -pass ""
</pre>Ouvrez ensuite le fichier <code>config/elasticsearch.yaml</code> dans votre éditeur de texte préféré. Collez les lignes suivantes à la fin du fichier.
<pre class="prettyprint">xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: elastic-certificates.p12
</pre>Enregistrez le fichier. Voilà, nous sommes prêts à démarrer avec le nœud maître. Exécutez la commande <code>bin/elasticsearch</code>. Cet exécutable doit continuer à fonctionner. Mettez ce terminal de côté pour l’instant.
<h3>2e&nbsp;étape&nbsp;: Mots de passe du cluster Elasticsearch</h3>Maintenant que le nœud maître fonctionne, il est temps de définir des mots de passe pour le cluster. Dans un nouveau terminal, nous devons exécuter <code>cd</code> dans le répertoire de notre nœud maître. Ensuite, exécutons la commande <code>bin/elasticsearch-setup-passwords auto</code>. Celle-ci génère des mots de passe aléatoires pour les utilisateurs internes. Si vous le souhaitez, vous pouvez ignorer le paramètre auto pour définir les mots de passe manuellement à l’aide du paramètre interactive. Conservez précieusement ces mots de passe. Nous en aurons à nouveau besoin pour la suite.
<h3>3e&nbsp;étape&nbsp;: TLS sur le nœud secondaire Elasticsearch, «&nbsp;node&nbsp;»</h3>Ouvrons à présent un autre terminal et exécutons <code>cd</code> dans notre répertoire «&nbsp;node&nbsp;». Dans cet exemple, nous avons utilisé le nom elasticsearch-7.1.0-node.
Ensuite, rien de plus simple&nbsp;: il suffit de copier tout ce qui se trouve dans le répertoire de configuration «&nbsp;master&nbsp;» dans le répertoire de configuration «&nbsp;node&nbsp;».
<pre class="prettyprint">cp ../elasticsearch-7.1.0-master/config/* config/
</pre>Nous vous recommandons aussi d’ajouter l’option de configuration <code>node.master: false</code> dans le fichier <code>config/elasticsearch.yml</code>. Nous n’allons pas rentrer dans les détails ici, car ce n’est pas le but. Toutefois, si vous souhaitez en savoir plus, consultez notre <a href="/guide/en/elasticsearch/reference/7.1/modules-discovery-bootstrap-cluster.html">documentation sur les clusters</a>. Au lieu de copier les fichiers comme nous l’avons fait, nous pouvons tout simplement copier les fichiers des certificats, puis définir les clés <code>xpack.security.*</code> comme avec le nœud maître.
Ensuite, nous démarrons le nœud secondaire en exécutant la commande <code>bin/elasticsearch</code>. Celui-ci apparaît dans le cluster. Et si nous regardons la fenêtre du terminal du nœud maître, nous constatons qu’un message indique qu’un nœud vient de rejoindre le cluster. Nous avons désormais un cluster à deux nœuds en cours d’exécution.
<h3>4e&nbsp;étape&nbsp;: Sécurité dans Kibana</h3>La dernière chose qu’il nous reste à faire, c’est de configurer Kibana. Là encore, ouvrez une nouvelle fenêtre de terminal (c’est la dernière, promis&nbsp;!). Nous devons ajouter le mot de passe pour l’utilisateur Kibana. Celui-ci peut être prélevé dans la sortie précédente de la commande setup-passwords.
Exécutez <code>cd</code> dans le répertoire Kibana et ouvrez le fichier <code>config/kibana.yml</code> dans votre éditeur de texte préféré. Repérez les lignes similaires à celles-ci&nbsp;:
<pre class="prettyprint">#elasticsearch.username: "user"
#elasticsearch.password: "pass"
</pre>Supprimez le caractère # au début des lignes des champs <code>username</code> et <code>password</code>. Changez «&nbsp;user&nbsp;» par «&nbsp;kibana&nbsp;» et modifiez «&nbsp;pass&nbsp;» par le mot de passe Kibana indiqué par la commande <code>setup-passwords</code>. Enregistrez le fichier. Désormais, nous pouvons lancer Kibana à l’aide de la commande <code>bin/kibana</code>.
<h2>Configuration du contrôle d'accès basé sur les rôles dans Kibana</h2>Pendant que Kibana s’exécute, nous pouvons basculer vers notre navigateur Web et ouvrir <a href="http://localhost:5601/login?next=%2F#?_g=()">http://localhost:5601</a>. Nous sommes invités à nous identifier&nbsp;: nous utilisons le superutilisateur elastic avec le mot de passe indiqué par la commande <code>setup-passwords</code>.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt33ef6ef8666f75bc/5ce2480b32fd88a3767ede65/elasticsearch-security-blog-1.jpg" data-sys-asset-uid="blt33ef6ef8666f75bc" alt="Log into Kibana" "="">
Comme il s’agit d’une nouvelle installation, Kibana nous demande si nous souhaitons charger des données échantillon.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6617bf668ec635cd/5ce2483c7182ba9776722fee/elasticsearch-security-blog-2.jpg" data-sys-asset-uid="blt6617bf668ec635cd" alt="Load sample data into Kibana" "="">
Pour cet exemple, nous allons charger les données échantillon de vol et de navigateur. Lorsqu’elles sont chargées, cliquez sur l’icône d’engrenage de configuration.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltae0b05ad48832121/5ce2486e2f06657f7b6c9907/elasticsearch-security-blog-3.jpg" data-sys-asset-uid="bltae0b05ad48832121" alt="Navigate to management within Kibana" "="">
À présent, créons nos rôles. Accédez à l’option Roles (Rôles) et cliquez dessus.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt90c2f3cfca9d44fc/5ce2493908d3fd9e7671c281/elasticsearch-security-blog-4.jpg" data-sys-asset-uid="blt90c2f3cfca9d44fc" alt="Roles within Kibana" "="">
Cliquez sur Create role (Créer un rôle).
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt3746b50792f5e2c0/5ce2497308d3fd9e7671c287/elasticsearch-security-blog-5.jpg" data-sys-asset-uid="blt3746b50792f5e2c0" alt="Create a new role" "="">
Appelons le premier rôle read_logs.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6fcd624d7201821d/5ce24a7632fd88a3767ede75/elasticsearch-security-blog-6.jpg" data-sys-asset-uid="blt6fcd624d7201821d" alt="Create the read_logs role" "="">
Faites défiler jusqu’à la section relative aux privilèges d’index, et sélectionnez l’index des logs. Attribuez-lui le privilège read (lecture).
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltc3c087f105d52fa6/5ce24a87ccfda8847b20bb43/elasticsearch-security-blog-7.jpg" data-sys-asset-uid="bltc3c087f105d52fa6" alt="Configure role privileges" "="">
La section sur les espaces, située en dessous, vous fait de l’œil&nbsp;? Vous pourrez vous pencher dessus lorsque votre sécurité sera mise en place. Mais dans le cadre de cet article, nous n’allons pas nous y attarder. Pour en savoir plus sur les espaces, qui présentent de grands atouts en termes d’organisation et de sécurisation des données dans Kibana, consultez notre <a href="/guide/en/kibana/7.1/xpack-spaces.html">documentation sur les espaces Kibana</a> ou cet <a href="/fr/blog/introducing-kibana-spaces-for-organization-and-security">article introductif sur Kibana&nbsp;Spaces</a>.
Maintenant, créons un autre rôle appelé read_flight.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltf26a34f5ff885981/5ce24abc1df9c928761cd92d/elasticsearch-security-blog-8.jpg" data-sys-asset-uid="bltf26a34f5ff885981" alt="Create read_flight role" "="">
Attribuons le privilège read (lecture) à l’index des vols.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt3e1d9d93aba1294c/5ce24acd2d8f163476ebd44b/elasticsearch-security-blog-9.jpg" data-sys-asset-uid="blt3e1d9d93aba1294c" alt="Configure the role" "="">
À présent, nous allons créer deux utilisateurs et leur attribuer ces rôles. Sélectionnez le lien Users (Utilisateurs) à gauche, et cliquez sur le bouton Create new user (Créer un utilisateur).
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltc557d504a8ac1f95/5ce24aee7182ba9776722ff9/elasticsearch-security-blog-10.jpg" data-sys-asset-uid="bltc557d504a8ac1f95" alt="Create a new user">
Appelons cet utilisateur flight_user et définissez le mot de passe. Nous n’avons pas besoin d’entrer le nom complet, ni l’adresse e-mail. Nous devons attribuer notre rôle read_flight, ainsi que le rôle kibana_user, étant donné que cet utilisateur consultera les données dans Kibana.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt7adcce531abcc45a/5ce24b00932da9737b2628c6/elasticsearch-security-blog-11.jpg" data-sys-asset-uid="blt7adcce531abcc45a" alt="Create the flight user" "="">
Cliquez à nouveau sur le bouton Create, et répétez la procédure pour log_user. Cette fois-ci, nous attribuons les rôles read_logs et kibana_user.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt805d2eb40672403d/5ce24b13ccfda8847b20bb4b/elasticsearch-security-blog-12.jpg" data-sys-asset-uid="blt805d2eb40672403d" alt="Create the log user" "="">
Super, nous en avons fini avec la création des utilisateurs. Maintenant, nous pouvons nous déconnecter de notre session en tant qu’utilisateur elastic.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltb07056dabca17b82/5ce24ba52d8f163476ebd451/elasticsearch-security-blog-13.jpg" data-sys-asset-uid="bltb07056dabca17b82" alt="Logout as elastic" "="">
Connectons-nous avec l’utilisateur log_user. Cliquons sur l’icône des tableaux de bord. Nous constatons qu’il y a deux tableaux de bord&nbsp;: l’un pour les vols, et l’autre pour les logs.
	
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltfb2217281f933c85/5ce24bc53d021e2d76457546/elasticsearch-security-blog-14.jpg" data-sys-asset-uid="bltfb2217281f933c85" alt="Check out your dashboards" "="">
Si vous cliquez sur le tableau de bord des logs, vous verrez les données de log de démonstration. Si nous revenons et que nous voulons consulter le tableau de bord de vols, nous pouvons voir le tableau de bord, mais pas les données. C’est là que les espaces Kibana peuvent s’avérer utiles, afin d’optimiser la sécurité pour que seuls certains utilisateurs puissent accéder à des tableaux de bord spécifiques.
Fermons désormais notre session en tant qu’utilisateur log_user, et ouvrons-en une nouvelle avec l’utilisateur flight_user.
Si nous ouvrons le tableau de bord des logs, cette fois-ci, nous ne pouvons pas afficher les données. Nous obtenons même un message d’erreur car Kibana ne peut pas accéder à l’index des logs.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6f857fe2c548af9e/5ce24be67182ba9776722fff/elasticsearch-security-blog-15.jpg" data-sys-asset-uid="blt6f857fe2c548af9e" alt="Data restricted by RBAC" "="">
En revanche, lorsque nous accédons au tableau de bord des vols, nous pouvons cette fois-ci voir les données de vol.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt89b48cc8a9e81e31/5ce24bfb3d021e2d7645754e/elasticsearch-security-blog-16.jpg" data-sys-asset-uid="blt89b48cc8a9e81e31" alt="Data access provided by RBAC" "="">
Félicitations&nbsp;! Vous venez de configurer un cluster à deux nœuds, avec deux utilisateurs disposant de droits d’accès restreints aux données d’index.
<h2>Pour conclure</h2>La sécurité de la Suite&nbsp;Elastic est un sujet extrêmement vaste, et nous n’en avons couvert qu’une infime partie dans cet article. Notre but était que vous puissiez vous lancer. Prochainement, nous publierons des articles présentant de nombreuses fonctionnalités de sécurité et leur utilisation. En attendant, voici d’autres documents et articles de blog sur la façon dont la sécurité de la Suite&nbsp;Elastic fonctionne et sur ce que vous pouvez accomplir.
<ul>
	<li><a href="/fr/training/specializations/elastic-stack-management/fundamentals-of-securing-elasticsearch">Formation sur les notions de base de la sécurisation d’Elasticsearch</a></li>
	<li><a href="/guide/en/elasticsearch/reference/current/configuring-security.html">Documentation sur la sécurité d’Elasticsearch</a></li>
	<li><a href="/fr/blog/elasticsearch-security-configure-tls-ssl-pki-authentication">Article de blog sur la configuration de TLS</a></li>
	<li><a href="/fr/blog/introducing-kibana-spaces-for-organization-and-security">Article de blog sur Kibana&nbsp;Spaces</a></li>
</ul>Vous pouvez aussi <a href="https://discuss.elastic.co/">demander de l’aide sur notre forum public</a>.
Bonne recherche&nbsp;!

elasticsearch-blog-banner.png

elasticsearch-blog-thumb.png

Getting started with Elasticsearch security

Prise en main de la sécurité Elasticsearch

Apprenez à configurer Elasticsearch afin qu'il accepte l'authentification Kerberos pour le trafic HTTP grâce à la fonctionnalité de sécurité de la Suite Elastic

Articles by Josh Bressers

Comment éviter une intrusion sur le serveur Elasticsearch

Chiffrement, sécurisation des données utilisateur et plus encore : nos conseils pour sécuriser gratuitement vos clusters Elasticsearch

Prise en main de la sécurité Elasticsearch

Comment sécuriser vos clusters Elasticsearch avec Kerberos

Produits

Entreprise

Ressources