DevSecOps 11 · Runtime, détection et réponse

# labs/11-runtime/journal.py — journalisation structurée d'événements de sécurité
import json, logging, sys, time, os

class FormateurJSON(logging.Formatter):
    def format(self, record):
        base = {
            "ts": time.strftime("%Y-%m-%dT%H:%M:%SZ", time.gmtime(record.created)),
            "niveau": record.levelname,
            "evenement": record.getMessage(),
            "appareil": os.getenv("DEVICE_ID", "inconnu"),
            "firmware": os.getenv("FW_VERSION", "inconnu"),
        }
        base.update(getattr(record, "extra_champs", {}))
        return json.dumps(base, ensure_ascii=False)

log = logging.getLogger("securite")
h = logging.StreamHandler(sys.stdout); h.setFormatter(FormateurJSON())
log.addHandler(h); log.setLevel(logging.INFO)

def evenement(nom, **champs):
    log.info(nom, extra={"extra_champs": champs})

evenement("auth_echec", utilisateur="admin", source="192.168.1.50", tentative=4)
evenement("ota_verification", resultat="signature_invalide", version_proposee="1.3.0")

# /etc/falco/rules.d/embarque.yaml
- rule: Shell inattendu dans un conteneur de production
  desc: Un shell interactif ne devrait jamais démarrer dans ces conteneurs
  condition: >
    spawned_process and container
    and proc.name in (bash, sh, dash, zsh, busybox)
    and not container.image.repository in (debug-tools)
  output: "Shell dans un conteneur (utilisateur=%user.name conteneur=%container.name cmd=%proc.cmdline)"
  priority: WARNING
  tags: [container, mitre_execution]

- rule: Lecture d'un fichier de clé de signature
  desc: Accès en lecture au matériel cryptographique
  condition: >
    open_read and fd.name glob "/etc/keys/*.pem"
    and not proc.name in (rauc, swupdate)
  output: "Accès aux clés (proc=%proc.name utilisateur=%user.name fichier=%fd.name)"
  priority: CRITICAL

# /etc/audit/rules.d/embarque.rules
-w /etc/shadow -p wa -k identifiants
-w /etc/rauc/keyring.pem -p wa -k cles
-w /usr/bin/ -p wa -k binaires_systeme
-a always,exit -F arch=b64 -S execve -F euid=0 -k execution_root
-a always,exit -F arch=b64 -S mount -k montage

# consultation
ausearch -k cles -ts today
aureport --summary

podman run -d --name wazuh -p 1514:1514/udp -p 55000:55000 \
  docker.io/wazuh/wazuh-manager:4.9.0

# Plan de réponse — produit capteur v1

## 0. Avant l'incident (à préparer maintenant)
- Contacts : responsable produit, juridique, CERT national (maCERT pour le Maroc), client
- Accès de secours : comment joindre un parc dont l'OTA est HS ?
- Canal de communication hors bande (si l'infra est compromise)
- Sauvegarde hors ligne des clés de signature et de la procédure de révocation

## 1. Détection et qualification (T+0 → T+2h)
- Source : alerte SIEM / rapport chercheur / CVE amont / client
- Questions : combien d'appareils ? exploitable à distance ? exploitation déjà observée ?
- Décision : incident majeur (cellule de crise) ou traitement normal

## 2. Confinement (T+2h → T+24h)
- Couper la fonction vulnérable à distance si possible (feature flag)
- Bloquer côté serveur (le contrôle côté back-end est souvent plus rapide que l'OTA)
- Révoquer les certificats des appareils compromis
- ⚠️ Ne jamais « briquer » un parc pour se protéger : impact client et juridique

## 3. Éradication et correction (J+1 → J+14)
- Correctif, revue à 4 yeux, tests HIL complets, build reproductible
- Déploiement progressif : 1 % → 10 % → 100 %, avec surveillance du taux d'échec
- Suivi du taux de mise à jour : tout parc a une traîne de 20–40 %

## 4. Communication
- Avis de sécurité public (format CSAF/VEX), CVE demandée si le produit est distribué
- ⚠️ CRA : notification à l'ENISA sous **24 h** pour une vulnérabilité activement exploitée
  ou un incident grave (alerte précoce), rapport sous 72 h, rapport final sous 14 jours

## 5. Retour d'expérience (J+30)
- Chronologie factuelle, sans blâme
- Pourquoi la CI ne l'a pas détecté → **nouveau test / nouvelle règle** (c'est le livrable réel)
- Délai de détection, de correction, de déploiement : à mesurer et à améliorer

# /.well-known/security.txt
Contact: mailto:security@exemple.ma
Expires: 2027-09-20T00:00:00.000Z
Encryption: https://exemple.ma/pgp-key.txt
Policy: https://exemple.ma/divulgation
Preferred-Languages: fr, en, ar