Journal d’architecture
Décisions techniques et retours de terrain,
les compromis d’exploitation expliqués et documentés.
Sécuriser un système impose des arbitrages concrets entre niveau de protection, facilité de maintenance et continuité de service. Ce registre présente le problème traité, le choix retenu et le résultat observé.
INFRA
Octobre 2026
Nœud arbitre léger déporté hors région principale
Problème rencontré
Un cluster limité à deux nœuds applicatifs perd son quorum majoritaire dès qu’un des deux hôtes redémarre ou subit une maintenance.
Arbitrage retenu
Ajout d’un troisième nœud manager léger dans une autre région européenne configuré en mode Drain : aucun conteneur applicatif n’y tourne, mais il assure le 3e vote de quorum et héberge une sonde externe.
Résultat
Maintien garanti du consensus (2/3) lors de la perte complète d’un nœud principal, pour un coût mémoire minimal.
INFRA
Octobre 2026
Exposition publique sans port entrant par tunnels sortants redondés
Problème rencontré
Ouvrir directement les ports 80 et 443 sur les adresses publiques des serveurs expose l’infrastructure au contournement du WAF et aux scans continus.
Arbitrage retenu
Fermeture des ports entrants publics au profit de connecteurs sortants chiffrés répliqués sur les nœuds actifs vers un reverse proxy interne.
Résultat
Surface d’exposition IP directe réduite au strict minimum tout en conservant le basculement automatique entre nœuds.
VOC
Septembre 2026
Isolation du référentiel de criticité d’actif
Problème rencontré
Le score de risque initial mélangeait la criticité du serveur et la gravité technique de la faille. Ajuster la formule de calcul altérait involontairement la classification des équipements.
Arbitrage retenu
Séparation complète entre le référentiel de valeur métier des serveurs (stable) et le moteur dynamique de calcul de menace (EPSS/KEV).
Résultat
Évolution libre des règles de priorisation sans jamais corrompre l’inventaire de criticité validé avec les métiers.
DÉTECT
Août 2026
Pondération du risque par EPSS, CISA KEV et CERT-FR
Problème rencontré
Le tri par score CVSS saturait les équipes système d’alertes « critiques » dépourvues de tout code d’exploitation actif.
Arbitrage retenu
Étalonnage de la priorité sur le croisement entre exploitation avérée (KEV), probabilité d’attaque à 30 jours (EPSS) et double signalement souverain ANSSI/CERT-FR.
Résultat
File hebdomadaire de correctifs resserrée, crédible et adoptée par les équipes d’exploitation.
INFRA
Juillet 2026
Micro-segmentation est-ouest prioritaire
Problème rencontré
Le filtrage historique protégeait uniquement la bordure nord-sud, laissant les déplacements latéraux internes circuler librement entre services.
Arbitrage retenu
Application d’une politique nftables default-deny entre zones fonctionnelles après une phase probatoire de journalisation des flux légitimes.
Résultat
Confinement immédiat d’un éventuel rebond dès le sous-réseau d’origine, sans interruption des flux applicatifs documentés.
INFRA
Juin 2026
Maillage VPN décentralisé WireGuard
Problème rencontré
Faire reposer tout l’accès d’administration sur un concentrateur VPN unique créait simultanément un goulot d’étranglement et un point de défaillance critique.
Arbitrage retenu
Déploiement d’un maillage chiffré point-à-point entre les nœuds d’infrastructure et les postes d’administration autorisés.
Résultat
Suppression du concentrateur SPOF, latence réduite entre nœuds de réplication et révocation unitaire immédiate par clé publique.
SOC
Mai 2026
SOAR cantonné à l’enrichissement et au pré-tri
Problème rencontré
L’isolement automatique d’un serveur de production sur simple alerte heuristique comporte un risque élevé d’auto-déni de service sur faux positif.
Arbitrage retenu
Limitation volontaire des playbooks automatisés à la collecte de preuves (contexte processus, réputation IP/hash, historique CVE), la décision de confinement restant à l’analyste.
Résultat
Temps d’investigation divisé sans jamais provoquer de coupure métier non maîtrisée.
AUTO
Avril 2026
Revue humaine obligatoire avant application de durcissement
Problème rencontré
Pousser automatiquement des règles de durcissement CIS sur un parc hétérogène peut casser des dépendances implicites (chiffrements anciens, permissions de sockets).
Arbitrage retenu
Exécution systématique en mode audit/check avec rapport d’écart relu avec l’administrateur responsable avant toute application effective.
Résultat
Élévation régulière du niveau de sécurité tout en préservant la confiance entre sécurité et exploitation.