Sécurité et confidentialité

Ce chapitre fournit un aperçu des questions fréquemment posées concernant la sécurité de l'information, la confidentialité et l'assurance qualité.

Traitement des données et autorisations

1. Depuis quel centre de données RealmJoin opère-t-il ?

• Région Azure Europe de l'Ouest (primaire)

• Région Azure Europe du Nord (secours)

2. Quelles données sont traitées par RealmJoin ?

• État de l'ordinateur

• Données utilisateur/appareil/groupe Entra ID (cela contient le UPN / adresse e-mail, le prénom, le nom, la photo de profil)

• Données Intune

• Données ATP

• Fichiers journaux

3. Quelles données sont stockées de façon persistante par/au nom de RealmJoin et comment ?

• État de l'ordinateur

• Références utilisateur/appareil Entra ID (cela contient le UPN / adresse e-mail)

• Informations pour la gestion des applications

• Fichiers journaux

Les données sont stockées dans une combinaison de stockage blob et de bases de données.

4. Existe-t-il un mécanisme d'archivage pour les journaux ?

L'état de l'ordinateur est archivé pendant 90 jours, puis les politiques de rétention suppriment les données.

5. À quelles autorisations du locataire les utilisateurs accédant au portail web RealmJoin doivent-ils consentir ?

Veuillez vous référer à Autorisations requises.

6. Quelles données sont rendues disponibles en accordant les consentements de la question 5 ?

Veuillez vous référer à Autorisations requises.

7. Quels points de terminaison accessibles de l'extérieur RealmJoin expose-t-il ?

1. Portail RealmJoin

   • Un portail web qui facilite l'administration du service.

2. API client RealmJoin

   • API pour les applications clientes (usage interne).

3. API client-entreprise RealmJoin

   • API pour les clients.

4. API interne RealmJoin

   • API pour les opérations backend associées (usage interne).

5. CDN RealmJoin

   • Données binaires avec prise en charge de BranchCache.

6. Serveur de paquets RealmJoin

   • Registre nuget personnalisé.

8. Comment les points de terminaison de la question 7 sont-ils protégés ?

1. Portail RealmJoin

   • Sécurisés via l'authentification OAuth 2.0 avec Microsoft Entra ID (Azure AD).

2. API client RealmJoin

   • Sécurisés via l'authentification OAuth 2.0 avec Microsoft Entra ID (Azure AD).

   • Authentification personnalisée utilisant le certificat de l'appareil Entra.

3. API client-entreprise RealmJoin

   • Clé pré-partagée par client.

4. API interne RealmJoin

   • Clé pré-partagée par client.

5. CDN RealmJoin

   • Non authentifié par définition, peut être protégé en utilisant des fichiers chiffrés.

6. Serveur de paquets RealmJoin

   • Clé pré-partagée par client.

9. Quels ports et protocoles sont utilisés par les points de terminaison de la question 7 ?

1. Tous les points de terminaison utilisent TLS par défaut.

   • HTTPS (TCP / 443).

2. CDN RealmJoin

   • Autorise HTTP (TCP / 80) pour des fins de dépannage.

   • Les URL configurées utilisent exclusivement HTTPS (TCP / 443).

Identité

1. Quels schémas d'autorisation sont utilisés pour accéder à RealmJoin ?

L'accès administratif est réalisé via l'authentification OAuth 2.0 avec Microsoft Entra ID (Azure AD) pour les utilisateurs enregistrés sur la plateforme.

2. Existe-t-il un contrôle d'accès conditionnel / basé sur les rôles pour protéger RealmJoin ?

Oui. Le portail d'administration RealmJoin fournit des fonctionnalités pour attribuer rôles à chaque utilisateur.

Rôles par défaut disponibles :

• Administrateur

• Auditeur

• Support

• Exécuteur de runbook

• Agent logiciel

• Demandeur de logiciel

• Demandeur de logiciel organique

• Agent de notification

De plus, RealmJoin permet de créer des rôles personnalisés.

3. Les identifiants d'accès peuvent-ils être récupérés ? Si oui, comment ?

RealmJoin utilise SSO et est soumis aux politiques Microsoft Entra ID (Azure AD) du locataire client.

Protection des données

1. Comment les données au repos sont-elles protégées contre l'accès non autorisé ?

• Accès administratif restreint conformément aux meilleures pratiques.

• Utilisation de la MFA par Passkey.

• Les bases de données sont limitées aux adresses IP VPN pour l'accès externe.

2. Comment les données en transit sont-elles protégées contre l'accès non autorisé ?

La communication entre le service RealmJoin (backend) et l'agent RealmJoin (client) est sécurisée avec TLS 1.2 ou supérieur.

De plus, certains contenus (par ex. paquets logiciels) sont signés par le service RealmJoin, afin que l'agent RealmJoin puisse s'assurer que les données n'ont pas été altérées pendant le transport.

3. Comment les locataires clients sont-ils séparés les uns des autres ?

Selon les contraintes du service et les considérations de performance, soit par des groupes/conteneurs séparés, soit par partitionnement de tables.

Les chemins de code utilisent le contexte client basé sur l'environnement pour la séparation.

Sécurité dès la conception

Nous nous engageons à des normes de sécurité élevées

• Notre équipe de développement et notre équipe des opérations sont certifiées ISO 27001.

• Nous travaillons avec les derniers outils de développement cloud (par ex. GitHub) et le code est stocké dans des dépôts sécurisés.

• Nous nous engageons envers des méthodologies de développement, de build et d'exploitation à la pointe (par ex. CI/CD).

• Les membres de notre équipe utilisent des identités Entra ID et sont tenus d'utiliser l'authentification multifactorielle.

• Les points de terminaison, identités et services sont protégés par les dernières technologies (par ex. Microsoft Sentinel et la suite M365 Defender incluant l'EDR) et surveillés par un Centre d'opérations de sécurité.

• Tous les systèmes sont mis à jour en continu.

1. Quelles technologies, piles, plateformes ont été utilisées pour concevoir RealmJoin ?

• Azure

Disponibilité

1. Comment assurez-vous la disponibilité de RealmJoin ?

Pour maintenir une haute disponibilité de RealmJoin, plusieurs stratégies clés sont mises en œuvre, chacune conçue pour fournir un accès robuste et ininterrompu au service. Ces mesures comprennent :

• Infrastructure redondante: Déploiement sur plusieurs centres de données pour garantir la continuité du service en cas de défaillance d'un site. RealmJoin exploite l'IaaS Azure dans plusieurs centres de données Azure.

• Processus de basculement automatisés: Des systèmes sont en place pour rediriger automatiquement le trafic vers des serveurs opérationnels pendant une panne, minimisant les temps d'arrêt.

• Architecture évolutive: La capacité à augmenter ou réduire rapidement les ressources en fonction de la demande aide à maintenir les performances pendant les périodes de forte utilisation.

• Mises à jour et correctifs réguliers: Des opérations de maintenance et des mises à jour de routine sont appliquées pour corriger les vulnérabilités et améliorer les performances, garantissant que la plateforme reste sécurisée et efficace.

• Surveillance et alertes: Surveillance continue de la santé du système et alertes automatisées pour tout problème pouvant impacter la disponibilité du service.

• Plans de récupération: Nous avons mis en place plusieurs couches de mesures de récupération : nous pouvons récupérer l'état principal du système dans les dernières semaines car nos bases de données disposent de la restauration à un instant donné. De plus, dans l'éventualité peu probable d'une défaillance complète du système, les principaux services RealmJoin peuvent être récupérés en utilisant une approche IaC (Terraform), ce qui réduit considérablement le temps de récupération.

RGPD et résidence des données

1. Les données quittent-elles l'Europe ?

Non.

2. Sur quels fournisseurs cloud tiers RealmJoin s'appuie-t-il et pourquoi ?

Entreprise	Services	Contact	Finalité
Microsoft Corporation	Services cloud (Azure)	Building 3, Carmanhall Road Sandyford, Industrial Estate 18, Dublin, Irlande	Services cloud (Azure)
GitHub B.V.	dépôt de code git, intégration, tests et automatisation des versions	Prins Bernhardplein 200, Amsterdam, 1097JB Pays-Bas	Dépôt de code, pipeline CI/CD.
GitLab, Inc.	dépôt de code git, intégration, tests et automatisation des versions	268 Bush Street #350, San Francisco, CA 94104-3503, États-Unis	Pipeline de packaging

Divers

1. RealmJoin fait-il partie d'un programme de bug-bounty ?

Non.

2. Quelles mesures d'assurance qualité sont en place ?

• Nous exécutons des binaires signés.

• Nos paquets d'application sont construits de manière cohérente, en tirant parti de dépôts de code et d'une méthodologie CI/CD à la pointe, pour assurer un maximum d'intégrité.

• Les paquets d'applications sont signés pendant le processus de build et vérifiés par l'agent RJ avant l'installation sur le client.

3. Effectuez-vous régulièrement des tests de pénétration ?

Non.

Dans le cadre de nos pratiques de développement sécurisé, nous utilisons des outils (par ex. analyse statique du code) qui scannent la base de code pour les CVE et autres exploits courants (y compris les dépendances telles que les bibliothèques tierces) pouvant impacter la sécurité des points de terminaison exposés par RealmJoin. Avant toute publication, les éléments pertinents sont évalués et corrigés, pour garantir que RealmJoin reste exempt de vulnérabilités connues. Nous ne réalisons pas nous-mêmes de tests de pénétration, ni n'utilisons d'outils tiers de « Penetration Test-as-a-Service ». Pour la première option, nous y voyons un conflit d'intérêts inhérent. Pour la seconde, étant donné que les services de test de pénétration typiques vérifient souvent simplement les points de terminaison exposés par rapport aux CVE et autres exploits connus, nous n'y voyons pas de valeur ajoutée par rapport aux vérifications que nous effectuons déjà via l'analyse statique du code. Si vous souhaitez réaliser vos propres tests de pénétration, veuillez nous contacter et nous faire part de vos exigences.

4. Existe-t-il un processus de correction des correctifs ?

Oui, des opérations de maintenance et des mises à jour de routine sont appliquées pour corriger les vulnérabilités et améliorer les performances, garantissant que la plateforme reste sécurisée et efficace.

5. Quels sont les SLA pour les correctifs ?

• Correctifs pour les CVE / vulnérabilités de sécurité : Dès que la vulnérabilité devient publique ou dès que nous identifions une vulnérabilité dans notre propre code, un correctif sera fourni au plus tard 24 heures après que nous ayons pris connaissance de la vulnérabilité.

• Autres correctifs : Aucun SLA.

6. RealmJoin effectue-t-il des sauvegardes ?

RealmJoin utilise la technologie de restauration à un instant donné sur toutes les données critiques. GitLab (hébergeant le pipeline PACKaaS et le dépôt) est sauvegardé régulièrement.

7. Y a-t-il des tests de restauration des sauvegardes ?

Non. Veuillez consulter Disponibilité pour les détails.

8. Qu'est-ce qui rend les paquets RealmJoin plus sûrs que les solutions communautaires ?

Contrairement aux solutions communautaires, nous conservons un contrôle total sur chaque paquet et chaque binaire à tout moment. Plusieurs contrôles implémentés garantissent qu'aucune donnée corrompue n'est exécutée sur les appareils.

• Aucun dépôt public: Nous hébergeons nos instances GitLab, nuget et CDN. Bien que l'agent RealmJoin utilise actuellement une version modifiée du moteur Chocolatey, la source des paquets est limitée aux serveurs de paquets glueckkanja AG.

• Dépôts séparés: Les paquets spécifiques aux clients sont situés dans une section spécifique aux clients de nos serveurs et ne peuvent pas être accédés par d'autres clients.

• Versionnage complet: Tous les outils ainsi que le magasin de paquets RealmJoin fournissent des informations de commit et d'audit. Il est toujours transparent qui a modifié quoi dans n'importe quel paquet à tout moment.

• Éviter les données spécifiques: La séparation du code des paquets et des binaires nous permet généralement de retirer les informations sensibles des binaires, de sorte que même des binaires interceptés ne peuvent pas être utilisés à des fins malveillantes.

• Chiffrement et hachages: Les scripts de paquet sont stockés sur un serveur chiffré, avec un accès fortement restreint. L'agent RealmJoin télécharge les scripts via une connexion chiffrée. Pour une sécurité supplémentaire, tous les binaires sont vérifiés par rapport à un hash codé en dur avant qu'aucune action ne soit entreprise.

• Pentest: Au cours des dernières années, l'agent RealmJoin a fait partie de plusieurs pentests clients réussis.

• Tests: Tous les paquets RealmJoin sont installés plusieurs fois lors de l'assurance qualité PACKaaS sur des appareils Windows exécutant Defender. Les analyses anti-malware font partie des processus de build et de déploiement automatisés. Les paquets maintenus utilisent des sources officielles des éditeurs.