CMDB, AD, EDR : comment repérer les serveurs fantômes de votre SI
Un serveur absent d’un seul référentiel n’est plus suivi. Trois profils de serveurs fantômes et la méthode pour les faire apparaître.
Un serveur fantôme n’est pas un serveur inconnu de tous. C’est un serveur connu d’un outil et ignoré des autres. Tant que personne ne croise les sources, il échappe aux correctifs, à la protection ou à la sauvegarde.
Trois profils à connaître
- Le serveur oublié. Il figure encore dans la CMDB, mais plus dans l’annuaire. Il n’a ni EDR ni scan récent. Est-il éteint, ou seulement sorti des radars ?
- La machine de test devenue permanente. Elle existe dans l’annuaire, nulle part ailleurs : aucun patch, aucune protection, aucun propriétaire.
- Le serveur jamais scanné. Bien inventorié, bien patché, mais absent du scanner. Ses vulnérabilités sont simplement inconnues.
Pourquoi aucun outil ne les voit seul
Chaque outil est cohérent avec lui-même. La CMDB ne sait pas ce que l’EDR protège. L’EDR ignore ce que la CMDB recense. L’écart n’existe qu’entre deux sources, donc il ne s’affiche dans aucune.
La méthode : une matrice de présence
Le principe tient en un tableau. Une ligne par actif, une colonne par source, une case cochée quand l’actif y figure. Les lignes incomplètes sont vos fantômes.
- Choisissez une clé commune : le nom d’hôte normalisé, sans domaine ni casse.
- Commencez par trois sources : référentiel, annuaire, outil de sécurité.
- Traitez d’abord les serveurs de production des applications critiques.
- Corrigez l’écart dans l’outil de référence, pas dans le tableau.
Le piège du nettoyage préalable
Beaucoup d’équipes repoussent ce travail en attendant une CMDB « propre ». C’est l’inverse qui fonctionne : rendre les écarts visibles est ce qui permet de les corriger. Un référentiel s’améliore quand ses défauts se voient chaque jour.
Univizio Inventory construit cette matrice en continu à partir de vos sources et ouvre, pour chaque actif, une fiche 360° qui indique où il est présent et où il manque.