Depuis quelques mois, je me documente sur la notion de bastion. Plus j’avance dans mes lectures, plus je suis convaincu qu’il s’agit d’un fondamental pour une prod digne de ce nom. Pourtant, ce sujet est souvent relégué au second plan, comme s’il n’était pas prioritaire et qu’on « avait pas sous ». Or, c’est précisément cette négligence qui me semble être une erreur majeure : cette approche devrait au contraire figurer parmi les briques de base de tout environnement protégé aujourd’hui.
Un Bastion, c’est quoi fondamentalement ?
Un bastion, ce n’est pas un simple proxy SSH déguisé en solution de sécurité. Non, c’est le sas obligatoire et. incontournable (au sens litéral du terme, NON CONTOURNABLE) entre les admins et les joyaux de la couronne, la production : un point de passage unique, conçu pour casser net la chaîne de confiance directe entre l’utilisateur et la cible. Zéro connexion entrante depuis un poste admin vers une machine du SI. Tout passe par le bastion qui devient, de fait, la seule cible exposée, et donc la seule à être blindé comme une forteresse … d’ou la référence au bastion … ha pas con, ça …
Un vrai bastion (on parle Wallix, CyberArk PSM, ou des solutions Open Source comme Teleport ou Apache Guacamole en mode parano), c’est trois piliers indissociables : une authentification forte centralisée parce qu’un mot de passe en 2026, c’est comme un TLS 1.1 … ringard et dangereux (cf mon article rognotudju sur TLS il y a quelques semaines) ; l’Injection de secrets sans exposition : l’utilisateur ne voit jamais le vrai mot de passe ou la clé de la cible et enfin l’enregistrement intégral des sessions (vidéo pour du rdp like ou frappes au clavier) : pour l’audit, la conformité (ISO 27001 & co)
Bref, un bastion, c’est d’abord un outil de gestion fine des accès privilégiés et du RBAC associé.
Le coffre-fort de secrets
Le cœur d’un bastion, c’est son coffre-fort de secrets : un espace où vos mots de passe et clés privées sont stockés chiffrés, côté serveur. Et surtout, ils n’en sortent jamais en clair. L’admin se connecte au bastion avec ses propres identifiants, et c’est le bastion qui, en coulisses, utilise ses propres secrets pour s’authentifier sur la cible. L’admin ne voit jamais le mot de passe root du serveur qu’il administre. La différence avec un gestionnaire de connexions est qu’un gestionnaire, aussi sécurisé soit-il, finira toujours par exposer le secret au client ou à la session. C’est comme cacher la clé sous le paillasson : pratique, mais totalement incompatible avec un environnement réglementé.
L’enregistrement de session et l’auditabilité
Un bastion digne de ce nom enregistre chaque session : au minimum les métadonnées (qui, quand, vers quoi), idéalement le replay intégral – enregistrement de session SSH ou vidéo pour RDP/VNC, rejouable a posteriori. Une tracabilité complète est une exigence réglementaire (incidents, audits, dissuasion des prestataires externes un peu trop audacieux ou n’ayant pas votre confiance …).
Bien évidemment, cet enregistrement doit être inviolable. Les outils « confort » ne sont plus siffisantes aujourd’hui. Sans capture du contenu réel des commandes, vous n’avez aucune preuve tangible, juste des suppositions ou des intimes convictions au mieux !
Roles Based Access Control
Un bastion puissant c’est avant tout un contrôle d’accès granulaire fort : qui, quoi, quand, et sous quelles contraintes. Des plages horaires strictes, avec une validation par un tiers avant toute connexion. Cette granularité c’est surtout le gage de pouvoir maintenir le principe du moindre privilège.
Le blocage de commandes et la prévention active
Certains bastions avancés vont jusqu’à intercepter et bloquer des commandes dangereuses en temps réel (rm -rf, modification de comptes privilégiés, etc.) via des règles de filtrage, voire proposent une supervision en direct avec possibilité de couper la session ou la bloquer via un opérateur SOC. C’est la dimension la plus « intrusive » et la moins souvent implémentée, même dans des outils qui se revendiquent bastions.
Bon au final … je comprend surtout qu’un bastion c’est aussi une solution qui peut être hybride ou composée de plusieurs socles pour traiter séparément les différentes fonctions. C’est une solution qui coute cher pour des bonnes raisons … mais cela reste vraiment obligatoire pour moi en 2026 !
En tout cas, une chose est certaine : un bastion n’est pas un ouil de confort donc il faut si ce n’est pas déjà le cas se préparer à en utiliser un systématiquement d’ici 10 ans … c’est comme le compte root. Pour un petit lab ou du PoC, a la rigueur, mais en production, prenez le réflexe sudo systématique, bien configuré avec l’I/O logging (enregistrement de toute la sortie tty des sudoers). Ce serait déjà un premier pas 🙂
Vous en êtes où de votre coté ? vous avez tous des bastions, déjà ? moi j’y travaille depuis 3/4 mois déjà … ne faire que du sudo sur mon vlab et sortir toutes les commandes via I/O logging. Mais, les habitudes on la vie dure , quoi qu’on en dise …
Références :
– https://www.oci.fr/role-bastion-cybersecurite/
– https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
– https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-admin_securisee_si_v3-0.pdf
