Utilisation de TLS
Nous vous recommandons d'interdire les connexions non sécurisées au Serveur d'administration. Par exemple, vous pouvez interdire les connexions qui utilisent HTTP dans les paramètres du Serveur d'administration.
Veuillez noter que par défaut, plusieurs ports HTTP du Serveur d'administration sont fermés. Le port restant est utilisé pour le serveur Internet du Serveur d'administration (8060). Ce port peut être limité par les paramètres du pare-feu de l'appareil du Serveur d'administration.
Paramètres TLS stricts
Il est recommandé d'utiliser le protocole TLS de version 1.2 ou suivante et de restreindre ou d'interdire les algorithmes de chiffrement non sécurisés.
Vous pouvez configurer les protocoles de chiffrement (TLS) utilisés par le Serveur d'administration. Veuillez noter qu'au moment de la publication d'une version du Serveur d'administration, les paramètres du protocole de chiffrement sont configurés par défaut pour garantir la sécurité du transfert des données.
Restriction de l'accès à la base de données du Serveur d'administration
Nous vous recommandons de restreindre l'accès à la base de données du Serveur d'administration. Par exemple, n'accordez l'accès qu'à partir de l'appareil du Serveur d'administration. Cela réduit la probabilité que la base de données du Serveur d'administration soit compromise en raison de vulnérabilités connues.
Vous pouvez configurer les paramètres conformément au mode d'emploi de la base de données utilisée, ainsi que fournir des ports fermés sur les pare-feu.
Interaction de la sécurité avec un SGBD externe
Si le SGBD est installé sur un appareil distinct lors de l'installation du Serveur d'administration (SGBD externe), il est recommandé de configurer les paramètres d'interaction et d'authentification sécurisées avec ce SGBD. Pour en savoir plus sur la configuration de l'authentification SSL, consultez Authentification du serveur PostgreSQL et Scénario : Authentification du serveur MySQL.
Configuration de la liste d'autorisation d'adresses IP pour se connecter au Serveur d'administration
Par défaut, l'utilisateur de Kaspersky Security Center Linux peut se connecter à Kaspersky Security Center Linux depuis n'importe quel appareil sur lequel Kaspersky Security Center Web Console ou les applications OpenAPI sont installés. Vous pouvez configurer le Serveur d'administration afin que les utilisateurs puissent s'y connecter uniquement à partir d'appareils avec des adresses IP autorisées. Par exemple, si un intrus tente de se connecter à Kaspersky Security Center Linux via le serveur de Kaspersky Security Center Web Console installé sur un appareil qui ne figure pas dans la liste d'autorisation, il ne pourra pas se connecter à Kaspersky Security Center Linux.
Configuration d'une liste d'autorisation d'adresses IP pour se connecter à Kaspersky Security Center Web Console
Par défaut, les utilisateurs de Kaspersky Security Center Linux peuvent se connecter à Kaspersky Security Center Web Console depuis n'importe quel appareil. Sur un appareil disposant de Kaspersky Security Center Web Console, vous devez configurer le pare-feu (intégré au système d'exploitation ou à un autre) afin que les opérateurs puissent se connecter à Kaspersky Security Center Web Console uniquement à partir d'adresses IP autorisées.
Sécurité de la connexion au contrôleur de domaine pendant le sondage
Pour sonder le contrôleur du domaine, le Serveur d'administration ou un point de distribution Linux essaie de se connecter à ce domaine via LDAPS. Par défaut, la vérification du certificat n'est pas requise lors de la connexion. Pour imposer la vérification des certificats, définissez l'indicateur KLNAG_LDAP_TLS_REQCERT sur 1. Vous pouvez également définir un chemin d'accès personnalisé à l'autorité de certification (CA) pour accéder à la chaîne de certificat à l'aide de l'indicateur KLNAG_LDAP_SSL_CACERT.