La sécurité

La sécurité ne se limite pas à empiler des couches de protection. Chez ScalarX, nous appliquons une approche pragmatique: réduire la surface d’attaque, durcir les composants critiques et conserver une exploitation fluide.

Le modèle combine sécurité locale StackX, protections d’infrastructure ScalarCloud, supervision décentralisée et capacité d’intervention humaine 24/7.

Chaque environnement bénéficie d’un socle technique standardisé, vérifiable et pilotable: contrôles d’accès, filtrage réseau, journalisation, supervision continue, audit local, contrôles d’intégrité et mécanismes de remédiation.

Objectif: augmenter le niveau de sécurité sans créer de friction inutile côté exploitation, y compris sur des contextes multi-sites, PRA, hybrides ou opérés chez plusieurs fournisseurs.

Principes de sécurité appliqués

Principes de sécurité appliqués
Principe	Application
Réduction de la surface d’attaque	Désactivation des services inutiles, cloisonnement des accès, durcissement des configurations
Défense en profondeur	Firewall local, durcissement système, supervision, audit, sauvegarde et réponse incident
Local-first	Les contrôles critiques restent exécutables localement, sans dépendre d’une plateforme centrale unique
Prévention, détection, remédiation	La stack cherche à empêcher, détecter puis corriger les écarts opérationnels
Exploitation vérifiable	Audits post-install, conformité des fichiers gérés, contrôles récurrents et logs exploitables
Équilibre sécurité / productivité	Mesures adaptées au contexte, sans surcouche bloquante pour l’exploitation réelle

Socle sécurité StackX communAccès, isolation et durcissement communs

Socle sécurité StackX commun
Contrôle	Description
Bastions dédiés	Les connexions d’administration, déploiements et interventions passent par des bastions dédiés
Firewall local	Filtrage indépendant de toute infrastructure externe, avec règles structurées et rechargement contrôlé
Whitelists / blacklists	Listes blanches et listes noires atomiques intelligentes (IPs, réseaux, AS, pays, zones)
SSH whitelist-only	Exposition SSH limitée aux IP explicitement autorisées lorsque le contexte l’exige
Protection anti-bruteforce	Fail2ban intégré aux profils StackX, avec ignore list cohérente avec le périmètre opérateur
Isolation applicative	Chaque environnement exécute ses services et traitements dans son utilisateur dédié (PHP, Node.js, Python, Java, Bash, etc.)
Runtime Node.js par utilisateur	Gestion Node.js via sxnode, avec arborescence dédiée, activation contrôlée et audit d’état
Durcissement système	Profils kernel/sysctl, permissions renforcées, séparation des composants et réduction des chemins exposés
Confinement SELinux	Activation, bascule et analyse des refus AVC selon le périmètre applicatif et le niveau d’isolation recherché

Audit, détection et contrôles récurrents StackXOutils locaux, intégrité, webscan et auditd

Audit, détection et contrôles récurrents StackX
Outil / composant	Rôle
sxpostcheck	Audit post-install et post-maintenance: services, accès, firewall, SELinux, backups, monitoring, réplication et conformité
sxcfgcheck	Validation locale non destructive d’un fichier de configuration StackX avant livraison
sxaudit	Règles auditd StackX et lecture locale des événements sensibles: identité, sudo, SSH, cron, systemd, firewall, kernel, modules
sxintegrity	Référence d’intégrité et diff local des chemins critiques système et StackX, avec contrôle des fichiers sensibles
sxwebscan	Scan local non destructif des racines web pour signaux de webshell ou post-exploitation
sxsecuritycron	Orchestration des contrôles sécurité récurrents: audit, intégrité, webscan, rkhunter et rapports optionnels
sxnetstat	Synthèse des écoutes réseau, filtres port/direction et validation de whitelist
sxselinux	Lecture des refus SELinux, diagnostic, synthèse et brouillon de règle sans installation automatique de policy
rkhunter / chkrootkit	Détection complémentaire d’anomalies et de signatures rootkits

Hardening avancé StackXKernel, SELinux, bases et services locaux

Hardening avancé StackX
Mécanisme	Rôle
Durcissement noyau	Neutralisation de familles de modules inutiles ou risquées sur serveur LAMP
Profil sysctl strict	Restrictions ptrace, BPF non privilégié, user namespaces, fuites kernel, perf et protections système
Durcissement de /tmp	Montage avec options adaptées lorsque le contexte applicatif le permet
SELinux StackX	Pile activable, contrôlable et désactivable en urgence, avec recalage des labels après sync, import ou restauration
Chiffrement MariaDB	Protection côté serveur lorsque l’architecture et les besoins de cloisonnement le justifient
PostgreSQL managé	Dépôt PGDG, version majeure explicite, rôles applicatifs dédiés et réplication physique PRD/DRS possible
Redis local-only	Service local optionnel avec authentification, limite mémoire et sans exposition réseau inutile
OpenSearch local-only	Service optionnel avec plugin de sécurité actif, heap JVM piloté et aucune ouverture firewall par défaut
RabbitMQ local-only	Broker optionnel avec utilisateur et vhost dédiés, secrets persistants et aucune écoute réseau publique

Sécurité par produit StackXLAMP, Bastion, Proxy, DNS, Backup et Monitoring

Sécurité par produit StackX
Produit	Sécurité mise en oeuvre
StackX LAMP	Environnements isolés, PHP multi-version, Node.js par utilisateur, bases dédiées, RabbitMQ local-only, logs par vhost et contrôles FPM locaux
StackX Bastion	SSH durci, inventaire local, enregistrement append-only des sessions, notifications et opérations par lots avec verrouillage
StackX Proxy	Proxy Squid authentifié, restriction source possible, ports CONNECT contrôlés, forwarded_for/via désactivables et vérification post-install
StackX DNS	DNS autoritatif primaire/secondaire, transferts AXFR restreints, mutations d’enregistrements transactionnelles avec rollback, RRL et DNSSEC explicite
StackX Backup	Comptes de backup dédiés, commande forcée rdiff-backup, datastore anti-énumération et règles SSH par source de serveur sauvegardé
StackX Monitoring System	Point de vérité local exposable en HTTPS et vérifiable depuis un tiers de confiance ou un contrôle manuel

Contrôles locaux typiques SMSServices, ressources, sauvegardes et réplication

Contrôles locaux typiques SMS
Contrôle	Ce qui est vérifié
Processus critiques	Apache, PHP-FPM, SSH, cron, fail2ban, RabbitMQ et services spécifiques au rôle du serveur
Réseau local et Internet	Connectivité locale, DNS, IP publique, endpoints et services exposés
Stockage	Filesystems, occupation disque, inodes, RAID logiciel et pools ZFS lorsque présents
Charge et mémoire	Charge système, consommation RAM et signaux de saturation locale
Bases et services applicatifs	MariaDB/MySQL, PostgreSQL, Redis, OpenSearch, RabbitMQ et Memcached selon le profil installé
Backups	Présence des logs, exécution des sauvegardes DB/fichiers et fraîcheur des dernières opérations
Synchronisation PRD/DRS	Fraîcheur des marqueurs de synchronisation et détection des derniers états d’erreur
Mises à jour système	Âge des dernières mises à jour et remontée d’état opérationnel local

Protection anti-DDoS & résilience ScalarCloudMitigation réseau, filtrage et architecture résiliente

Protection anti-DDoS & résilience ScalarCloud
Couche	Protection
Protection volumétrique	Anti-DDoS multi-niveaux (L3/L4) avec mitigation en amont
Pré-filtrage réseau	Systèmes de pré-firewall pour absorber et trier les flux
Filtrage en périphérie	vRouters dédiés au contrôle des flux entrants/sortants
Mitigation spécialisée	Protection contre les attaques par amplification et floods ciblés
Traitement matériel	Renfort FPGA sur scénarios d’attaque avancés
Architecture résiliente	Design orienté continuité de service et limitation des points de rupture

Réponse opérationnelle & continuité

Réponse opérationnelle & continuité
Domaine	Engagement opérationnel
Support	Support technique 24/7
Supervision	Alerting décentralisé certifié par un tiers de confiance
Maintien en conditions opérationnelles	Actions préventives et correctives sur le périmètre managé
Sauvegardes	Stratégies de backup externes, PBS ou dédiées selon le périmètre
Reprise d’activité	Réplication, spare, VIP et procédures PRA selon l’architecture
Maintenance sécurité	Contrôles récurrents, mises à jour, audit local et correction des écarts détectés

Besoin d’un audit de votre exposition actuelle ?
Nous pouvons cadrer une trajectoire sécurité progressive, adaptée à votre infrastructure et à vos contraintes métier.

Parler à un expert sécurité

Infrastructure

ScalarX conçoit et opère des architectures redondantes, maintenables et évolutives, adaptées aux contraintes de production, au fournisseur choisi et au niveau d’indépendance attendu.

Supervision

ScalarX combine StackX Monitoring System, supervision décentralisée et tiers de confiance international pour différencier l’état local du serveur, l’état du service et les problèmes de chemin réseau.

Infogérance

ScalarX combine expertise humaine, algorithmes conditionnels et systèmes IA agentiques pour renforcer la fiabilité opérationnelle, détecter les signaux faibles, accélérer les interventions et améliorer la qualité d’exploitation.