Rechercher les pratiques conseillées en matière de sécurité d'ArcGIS Server

ArcGIS Server est fourni avec un outil de script Python, serverScan.py, qui recherche les problèmes de sécurité les plus fréquents. L'outil recherche les problèmes en fonction de certaines pratiques conseillées en matière de configuration d'un environnement sécurisé pour ArcGIS Server. Il analyse douze critères ou propriétés de configuration et les divise en trois niveaux de gravité : Critical, Important et Recommended. Les descriptions de ces critères sont les suivantes :

ID	Gravité	Propriété	Description
SS01	Critical	Communication Web	Détermine si le protocole HTTPS est activé pour ArcGIS Server. Afin d'empêcher l'interception de communications, nous vous recommandons de configurer ArcGIS Server et ArcGIS Web Adaptor (le cas échéant) pour la mise en place du chiffrement SSL.
SS02	Critical	Requêtes standardisées	Détermine si les requêtes standardisées sont appliquées. Pour offrir une protection contre les attaques par injection de code SQL, il est essentiel que cette option soit activée.
SS03	Critical	Demandes de jetons	Détermine si les demandes de jetons générées via GET sont prises en charge. Lors de la génération de jetons via GET, les informations d'identification d'un utilisateur sont envoyées dans l'URL et peuvent être capturées et affichées via l'historique du navigateur ou les journaux réseau. Cette fonctionnalité doit être désactivée sauf si elle est requise par d'autres applications.
SS04	Critical	Demandes de jetons	Détermine si les demandes de jetons générées via POST avec des informations d'identification dans le paramètre de requête sont prises en charge. Lors de la génération de jetons, les informations d'identification d'un utilisateur peuvent être indiquées dans l'URL et peuvent être exposées via l'historique du navigateur ou des journaux réseau. Cette fonctionnalité doit être désactivée sauf si elle est requise par d'autres applications.
SS05	Critical	Filter web content activé	Génère une liste de services d'entités où la propriété filter web content est désactivée. La désactivation de cette propriété permet à un utilisateur de saisir du texte dans des champs en entrée, ce qui expose le service à des attaques par exécution de scripts de site à site (XSS) potentielles. Cette propriété est activée par défaut et ne doit pas être désactivée, sauf si des entités ou attributs HTML non pris en charge sont requis.
SS06	Critical	Autorisations du dossier système	Détermine si des autorisations autres que par défaut sont appliquées au dossier système dans le gestionnaire ArcGIS Server. Par défaut, seuls les administrateurs et les éditeurs doivent avoir accès aux services dans le dossier système.
SS07	Important	Répertoire des services REST	Détermine si le répertoire des services REST est accessible via un navigateur Web. Sauf si les utilisateurs s'en servent activement pour rechercher des services, cette fonctionnalité doit être désactivée pour limiter le risque que vos services soient explorés, repérés dans une recherche Web ou interrogés via des formulaires HTML. Vous renforcez ainsi également la protection contre les attaques par exécution de scripts de site à site (XSS).
SS08	Important	Limites entre domaines	Détermine si les requêtes entre domaines sont limitées à des domaines spécifiques. Pour réduire la possibilité d'une application inconnue qui envoie des commandes malveillantes à vos services Web, il est recommandé de limiter l'utilisation de vos services à des applications hébergées uniquement par des domaines que vous approuvez.
SS09	Important	Espace de travail dynamique	Génère une liste de services dans lesquels la base de données est accessible via un espace de travail dynamique. Sauf en cas de protection appropriée, ceci peut exposer la base de données/l'espace de travail à un accès par des tiers malveillants via REST. Les espaces de travail dynamiques doivent être activés uniquement si le service et les fonctionnalités de couche/d'espace de travail dynamique sont conçus pour être activement utilisés dans une application Web. Dans ce cas, il est important de s'assurer que la connexion à une base de données utilisée par le service de carte pour se connecter à l'espace de travail/la base de données dispose des privilèges minimum requis pour l'application, par exemple, un accès en lecture seule uniquement aux tables supplémentaires qui sont requises au sein de l'espace de travail.
SS10	Recommended	ArcGIS Web Adaptor via HTTPS	Détermine si une ou plusieurs instances d'ArcGIS Web Adaptor sont inscrites via HTTPS. Pour autoriser le gestionnaire ArcGIS Server à rediriger vers HTTPS, toutes les instances d'ArcGIS Web Adaptor doivent être inscrites via HTTPS.
SS11	Recommended	Désactiver un compte PSA	Détermine si le compte d'administrateur de site principal est activé. Il est recommandé de désactiver ce compte pour garantir que le groupe ou rôle que vous avez indiqué dans votre magasin d'identifiants constitue la seule et unique méthode pour administrer ArcGIS Server.
SS12	Recommended	Autorisations des services d'entités	Renvoie une liste de services d'entités dont les opérations update ou delete sont activées et ouvertes à l'accès anonyme. Cela permet de modifier ou de supprimer les données des services d'entités sans authentification.

Le script serverScan.py se situe dans le répertoire <ArcGIS Server installation location>\tools\admin. Exécutez le script à partir de la ligne de commande ou de l'interface de commande. Vous devez indiquer l'URL ArcGIS Server, ainsi que le nom d'utilisateur et le mot de passe d'un administrateur.

L'analyse génère un rapport au format HTML qui dresse la liste des problèmes ci-dessus qui ont été détectés sur le site ArcGIS Server spécifié. Le rapport est généré dans le dossier dans lequel vous avez exécuté le script et se nomme serverScanReport_[hostname]_[date].html.