La NSA ouvre son application de contrôle d’intégrité

L’agence américaine du renseignement vient de publier sur GitHub le code source de l’une de ses applications.

Baptisée SIMP – System Integrity Management Platform –, cette application vise à proposer un environnement d’administration de systèmes Linux centré sur la conformité technique des configurations. Elle s’appuie pour cela sur le protocole SCAP conçu notamment pour la gestion des vulnérabilités.

Dans un communiqué, la NSA explique qu’elle « considère SIMP comme une composante critique d’une approche en couche, de type défense en profondeur, de la cybersécurité ».

SIMP est avant tout conçu pour répondre aux besoins internes de l’agence. Mais cette dernière estime que l’outil peut être aisément adapté à des besoins et environnements spécifiques « de manière à ce que les déviations [de configuration] soient aisément identifiables par les équipes opérationnelles et les responsables de la sécurité ». Ainsi, elle indique chercher à « réduire la duplication des efforts et promouvoir une plus grande collaboration au sein de la communauté : la roue n’aurait pas à être réinventée pour chaque organisation ».

En l’état, SIMP s’appuie notamment sur PuppetDB et Puppet Server. L’application supporte Red Hat Enterprise Linux 6.6 et 7.1, ainsi que CentOS 6.6 et 7.1-1503-01. Mais l’on imagine facilement que son périmètre puisse être étendu, Red Hat fournissant des indications pour le support de SCAP avec Fedora, Java, OpenStack, JBoss EAP5 et JBossFuse6.