5 recommandations critiques de sécurité pour ArcGIS Enterprise 2025
Les recommandations de sécurité pour les produits et opérations Esri évoluent à mesure que de nouvelles fonctionnalités sont disponibles et que des configurations moins sécurisées peuvent être supprimées. Cette annonce couvre trois nouvelles recommandations de configuration de sécurité essentielles que les administrateurs d'ArcGIS Enterprise doivent impérativement valider :
- Configurer les proxys autorisés
- Supprimer les clés API héritées
- Supprimer l'authentification du proxy direct
Je profite également de cet article pour rappeler deux autres recommandations de sécurité, plus générales et intemporelles :
- Importance des mises à jour de produits
- Suivre le site consacré à la sécurité des solutions Esri
1. Configurer la liste autorisée des proxys Portal for ArcGIS (allowedProxyHosts)
ArcGIS Enterprise inclut un proxy de partage qui doit toujours être configuré par l'administrateur IT afin de réduire le risque d'attaques par déni de service (DoS) ou par falsification de requête côté serveur (SSRF) exploitant ses opérations. La propriété allowedProxyHosts était initialement répertoriée comme élément de profil avancé dans le guide de renforcement d'ArcGIS Enterprise en raison de difficultés d'implémentation potentielles.
Esri l'a toutefois déplacée vers le profil de base, ce qui signifie que TOUTES les organisations doivent la configurer. Vous consulterez l'annexe J pour plus de détails sur les instructions de configuration dans le dernier guide de renforcement. On notera également qu'Esri travaille à la désactivation de l'utilisation du proxy de partage par défaut pour les nouveaux déploiements à partir de la version 12.0 d'ArcGIS Enterprise. En attendant, configurez toujours allowedProxyHosts.
2. Suppression des clés API héritées
Esri a introduit de nouvelles clés API dans ArcGIS Location Platform, ArcGIS Online et ArcGIS Enterprise. Ces clés intègrent des mécanismes de sécurité renforcés et peuvent être étendues pour une sécurité nettement renforcée. Bien qu'ArcGIS Enterprise ne puisse pas créer ni traiter de clés API héritées, certains clients les ont intégrées à leur déploiement ArcGIS Enterprise en les ajoutant à des URL appelant ArcGIS Online et Location Platform. Les clés API héritées sont intrinsèquement non sécurisées, car elles ne sont pas étendues et n'expirent jamais. Bien qu'Esri autorise les clés API héritées à fonctionner pour accéder aux services ArcGIS jusqu'à leur retrait en 2026, les clients doivent immédiatement adopter les nouvelles informations d'identification de clé API et supprimer les clés API héritées de tous les systèmes ArcGIS.
3. Éviter l'authentification par proxy direct
Si votre organisation nécessite le routage de tout le trafic Internet de vos systèmes ArcGIS Enterprise vers un proxy géré par votre organisation, veuillez vous assurer des points suivants. L'authentification de base utilisée entre ArcGIS Enterprise et le système de proxy direct d'un client a été intégrée il y a de nombreuses années pour réduire l'accès des systèmes utilisant le proxy direct pour communiquer avec les systèmes Internet. En raison de la fréquence à laquelle nous avons constaté des configurations incorrectes de proxys directs lors de l'utilisation de l'authentification de base, Esri recommande désormais fortement de NE PAS UTILISER l'authentification de base entre ArcGIS Enterprise et les proxys directs, et d'utiliser plutôt des communications restreintes standard entre les systèmes, telles que les contrôles d'accès réseau. Cette recommandation a été ajoutée dans le dernier guide de renforcement d'ArcGIS Enterprise en tant que recommandation de sécurité du profil de base (voir page 46). Esri envisage de supprimer la prise en charge de l'authentification de base avec les proxys directs des clients dans les prochaines versions en raison du risque qu'elle peut présenter.
4. L'importance des mises à jour de produits
Rappelons ici que l'utilisation de produits dont le cycle de vie est mature ou retiré constitue un déploiement extrêmement risqué et ne doit PAS être exposée au réseau Internet. Cela inclut par exemple ArcGIS Enterprise 11.0 et ArcGIS Enterprise 10.9 et bien entendu des versions antérieures. Esri recommande vivement de maintenir vos systèmes à jour avec au moins les versions de disponibilité générale de nos produits, voire la dernière version.
5. Suivre les informations de sécurité publiées sur le Trust Center ArcGIS
Suivre les annonces publiées par Esri sur le Trust Center ArcGIS est essentiel pour garantir l'intégrité, la confidentialité et la disponibilité des systèmes ArcGIS que vous administrez. Ce portail centralise les alertes de sécurité, les correctifs critiques, les mises à jour logicielles et les meilleures pratiques en matière de cybersécurité pour l’ensemble des produits Esri. En consultant régulièrement ces informations ou en souscrivant au flux RSS des annonces, vous pouvez anticiper les vulnérabilités, appliquer les correctifs à temps et vous conformer aux exigences réglementaires ou sectorielles en matière de sécurité informatique.
Vous y trouverez par exemple l'outil ArcGIS Security Adviser créé par l'équipe Esri "Software Security and Privacy" et fournit des outils aux administrateurs d'organisation dans ArcGIS Online ou ArcGIS Enterprise Server pour examiner divers aspects de la posture de sécurité de leur organisation, tout en fournissant des suggestions d'amélioration.
Le Trust Center ArcGIS vous aide à protéger les données sensibles de vos utilisateurs et partenaires. Pour les administrateurs de portails ArcGIS Online ou Enterprise, cette veille permet de maintenir un haut niveau de confiance dans les services SIG proposés. Le Trust Center ArcGIS joue ainsi un rôle clé dans une démarche proactive de gestion des risques liés à la sécurité des systèmes d'information géographiques.
