En bref : un benchmark CIS pour serveur web fournit des réglages concrets, adaptés à chaque version, pour le système d'exploitation et le serveur web, par exemple pour Ubuntu, Debian, RHEL, Nginx ou Apache. Les modules de l'IT-Grundschutz du BSI (Office fédéral allemand de la sécurité des technologies de l'information) décrivent en complément les exigences applicables aux serveurs web, aux applications web, à la gestion des correctifs et à la journalisation. Ensemble, ils forment une exigence de durcissement vérifiable ; vous complétez vous-même les paramètres propres à PHP.
Pourquoi « bien configuré » n'est pas une référence
Après un incident, la direction, l'assureur ou les auditeurs posent tôt ou tard la même question : selon quel standard le serveur était-il configuré ? Dans de nombreuses entreprises, la réponse honnête est : selon les meilleures connaissances de l'administrateur qui l'a installé à l'époque. Ce n'est pas forcément mauvais, mais ce n'est ni traçable ni reproductible.
PHP2Shell l'a rendu visible. Pour savoir quels serveurs étaient concernés, quel mode d'exécution de PHP tournait et quand le dernier correctif avait été appliqué, il fallait d'abord chercher à bien des endroits. Un standard de durcissement ne remplace pas une mise à jour, mais il crée précisément cet ordre : des réglages définis, un inventaire et des contrôles réguliers.
Deux référentiels ont fait leurs preuves : les benchmarks CIS du Center for Internet Security et l'IT-Grundschutz (socle de sécurité informatique) du BSI.
Ce que contient un benchmark CIS pour serveur web
Les benchmarks CIS sont des recommandations de configuration fondées sur le consensus, élaborées conjointement par des spécialistes de nombreuses organisations. Selon le CIS, ils existent pour plus de 25 familles de produits. Pour les serveurs web PHP, les suivants sont surtout pertinents : Ubuntu Linux, Debian Linux et Red Hat Enterprise Linux pour le système d'exploitation, ainsi qu'Apache HTTP Server 2.4 et NGINX pour le serveur web.
Chaque benchmark est une liste de recommandations individuelles avec justification, instruction de contrôle et correction. De nombreux benchmarks distinguent un profil de base, applicable sans grands effets secondaires, et un profil plus strict pour un besoin de protection plus élevé. Pour le contrôle automatique, le CIS propose des outils, connus dans l'environnement des benchmarks sous le nom de CIS-CAT.
L'avantage est la précision : au lieu de « sécuriser SSH », on y trouve quel réglage doit avoir quelle valeur et comment le vérifier. L'inconvénient est l'ampleur. Un benchmark complet pour un système Linux contient énormément de points, et tous ne conviennent pas à toutes les exploitations.
Faites aussi attention à la version. Les benchmarks valent chacun pour des versions précises : l'aperçu du CIS recense par exemple des éditions distinctes pour les versions LTS d'Ubuntu jusqu'à la 26.04, pour Debian 9 à 13 et pour RHEL 8, 9 et 10. Appliquer un benchmark d'une version plus ancienne à un système récent revient à vérifier en partie des réglages qui n'existent plus et à en manquer de nouveaux. Si un serveur fait encore tourner un système d'exploitation sans prise en charge par l'éditeur, c'est déjà en soi la constatation la plus importante.
Les modules du BSI adaptés aux serveurs web PHP
L'IT-Grundschutz du BSI fonctionne avec des modules qui décrivent des exigences applicables aux systèmes et aux processus. La version actuelle est le Compendium IT-Grundschutz, édition 2023. Le BSI transforme actuellement l'IT-Grundschutz en un référentiel orienté processus et lisible par machine ; selon le BSI, le compendium actuel reste applicable pendant une période de transition de plusieurs années.
Pour un serveur web PHP, ces modules sont les plus importants :
| Module | Contenu | Lien avec le serveur web PHP |
|---|---|---|
| APP.3.2 Serveur web | Exploitation et configuration du serveur web | Nginx, Apache, LiteSpeed |
| APP.3.1 Applications web et services web | Exigences applicables à l'application | CMS, boutique, logiciel PHP sur mesure |
| SYS.1.3 Serveurs sous Linux et Unix | Durcissement du système d'exploitation | Base de tout serveur web Linux |
| OPS.1.1.3 Gestion des correctifs et des changements | Application encadrée des mises à jour | Mises à jour PHP, redémarrages, preuve |
| OPS.1.1.5 Journalisation | Collecte et analyse des événements | Journaux d'accès et d'erreurs |
| CON.3 Concept de sauvegarde des données | Sauvegardes et restauration | Sauvegarde du code et de la base de données |
| CON.10 Développement d'applications web | Développement sécurisé | Projets PHP internes |
Le Grundschutz est moins concret qu'un benchmark CIS, mais couvre en contrepartie des processus qui ne figurent dans aucun fichier de configuration : qui applique les correctifs, qui vérifie, qui est informé.
CIS ou BSI : qu'est-ce qui convient à votre entreprise ?
Le choix dépend moins de la technique que du contexte. Une règle empirique :
- Base technique pour des serveurs individuels : benchmark CIS pour le système d'exploitation et le serveur web, complété par une exigence PHP propre.
- Administration publique, donneurs d'ordre se référant au Grundschutz, secteurs réglementés : IT-Grundschutz comme cadre, benchmarks CIS pour la mise en œuvre concrète.
- Entreprises avec ISO 27001 ou TISAX : les deux référentiels conviennent comme soutien technique des politiques internes, voir ISO 27001 et TISAX : ce qui concerne les serveurs web.
- Entreprises relevant de NIS2 : un standard de durcissement documenté aide à prouver des mesures appropriées. Ce qu'exige la directive est résumé dans NIS2 et sécurité des serveurs web ; dans un cas précis, c'est votre conseil juridique qui tranche.
Pour PHP lui-même, vous devriez compléter les exigences du serveur : valeurs verrouillées dans php.ini, pools FPM séparés, aucune exécution dans les dossiers d'upload. Le guide Configurer php.ini en toute sécurité en offre une bonne base.
Votre propre exigence de durcissement en six étapes
Un standard n'est utile que s'il arrive dans l'exploitation. Cette démarche a fait ses preuves :
- Créer un inventaire : quels serveurs, systèmes d'exploitation, serveurs web et versions de PHP tournent où ?
- Choisir le benchmark et les modules, en fonction de la version et du besoin de protection.
- Vérifier l'état actuel, si possible de façon automatisée, et collecter les écarts.
- Évaluer les écarts : les corriger, les accepter consciemment ou les compenser par d'autres mesures, avec justification à chaque fois.
- Figer l'exigence, idéalement sous forme d'automatisation de la configuration, afin que les nouveaux serveurs soient durcis dès le départ.
- Revérifier régulièrement et après les mises à jour importantes, car de nouveaux paquets apportent parfois de nouvelles valeurs par défaut.
L'étape 6 relie le durcissement au processus de correctifs. La façon d'appliquer les mises à jour de manière planifiable plutôt que dans la précipitation est décrite dans La gestion des correctifs comme processus plutôt que comme pompier de service.
Testez d'abord les profils stricts sur un système de préproduction. Certaines recommandations, par exemple sur les systèmes de fichiers ou les services réseau, peuvent interrompre des applications ou des accès à distance.
Comment PHP SOS aide-t-il concrètement ?
- Nous recensons vos serveurs web et attribuons à chacun le benchmark CIS adapté et les modules Grundschutz pertinents.
- Nous vérifions l'état actuel et fournissons une liste priorisée des écarts, avec effort et bénéfice.
- Nous complétons l'exigence par une base PHP pour php.ini, les pools FPM et les droits sur les fichiers.
- Nous documentons les exceptions voulues de façon que les auditeurs et les assureurs puissent les comprendre.
Nous assurons la mise en œuvre dans le cadre du durcissement de serveur pour serveurs web PHP.
Questions fréquentes
Dois-je appliquer chaque recommandation d'un benchmark CIS ?
Non. Les benchmarks sont une référence, pas une loi. Certaines recommandations ne conviennent pas à votre exploitation ou perturberaient des fonctions. L'important est de décider consciemment des écarts, de les justifier et de les documenter.
Les benchmarks CIS et l'IT-Grundschutz sont-ils concurrents ?
Plutôt complémentaires. Les benchmarks CIS fournissent des réglages concrets par produit et par version. L'IT-Grundschutz décrit les exigences applicables aux systèmes et aux processus, par exemple la gestion des correctifs et la journalisation, et les intègre dans un système de management.
Existe-t-il un standard de durcissement spécifique à PHP ?
Les paramètres PHP ne figurent généralement qu'en marge des standards usuels pour serveurs. En pratique, on complète les exigences du serveur par une base PHP propre, par exemple pour php.ini, les pools FPM et les droits sur les fichiers, et l'on s'appuie pour l'application sur les modules consacrés aux applications web.
Un benchmark CIS aurait-il empêché PHP2Shell ?
Non. PHP2Shell désigne des failles dans l'interpréteur PHP, contre lesquelles seule la mise à jour aide. Un serveur durci peut toutefois limiter les conséquences d'une intrusion et, grâce à une gestion des correctifs encadrée, faire en sorte que les mises à jour soient appliquées plus vite et de façon traçable.
L'IT-Grundschutz est-il trop lourd pour les petites entreprises ?
En tant que système de management complet, souvent oui. Les modules pris séparément servent toutefois très bien de liste de contrôle pour les serveurs web et les applications web, sans adopter d'emblée toute la démarche.