Confidentialite¶

SonarQube et Semgrep manipulent des données classees Confidentiel : résultats de scan qui révèlent des vulnerabilites non corrigees, des failles de sécurité et des defauts architecturaux. Ce chapitre detaille les mesures de protection correspondantes, en référence au cadre de Classification et zones de confiance.

Rappel de classification¶

RBAC par projet¶

Modèle de permissions¶

SonarQube supporte un RBAC granulaire par projet. Le principe : chaque équipe ne voit que les projets dont elle est responsable.

Alignement avec Gitea¶

Les permissions SonarQube doivent etre alignees avec les permissions Gitea :

Configuration des permissions par defaut¶

# Creer un template de permissions
curl -u admin:TOKEN -X POST \
  "http://localhost:9000/api/permissions/create_template" \
  -d "name=default-project" \
  -d "description=Permissions par defaut pour les nouveaux projets"

# Ajouter le groupe projet avec les permissions de base
curl -u admin:TOKEN -X POST \
  "http://localhost:9000/api/permissions/add_group_to_template" \
  -d "templateName=default-project" \
  -d "groupName=sonar-users" \
  -d "permission=user"

# Definir comme template par defaut
curl -u admin:TOKEN -X POST \
  "http://localhost:9000/api/permissions/set_default_template" \
  -d "templateName=default-project"

# Desactiver l'acces anonyme
curl -u admin:TOKEN -X POST \
  "http://localhost:9000/api/settings/set" \
  -d "key=sonar.forceAuthentication" \
  -d "value=true"

Gestion des tokens API¶

Types de tokens¶

Politique de tokens¶

# Definir la duree max des tokens (90 jours)
curl -u admin:TOKEN -X POST \
  "http://localhost:9000/api/settings/set" \
  -d "key=sonar.auth.token.maxAllowedLifetime" \
  -d "value=90"

Stockage des tokens CI¶

# Gitea Actions : stocker le token dans les secrets du depot ou de l'organisation
# Settings > Secrets and variables > Actions > New repository secret
# Nom : SONAR_TOKEN
# Valeur : sqt_xxxxxxxxxxxxxxxxxxxx

# Utilisation dans le workflow
env:
  SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}

Isolation réseau¶

Segment Chaîne logicielle¶

SonarQube est déployé dans le segment Chaîne logicielle, accessible uniquement depuis les CI runners et les postes de développement.

graph TD
    subgraph Zone["Zone Chaine logicielle"]
        subgraph Qualite["Segment Qualite (10.30.3.0/24)"]
            SQ["SonarQube"]
            PG["PostgreSQL"]
            Traefik["Traefik<br/>(reverse proxy)"]
        end
        SCM["SCM (Gitea)"]
        CICD["CI/CD (Runners)"]
        Registre["Registre (Harbor)"]
    end

Regles de flux¶

Chiffrement du stockage¶

Volumes chiffres¶

# Creer un volume chiffre LUKS pour les donnees SonarQube
sudo cryptsetup luksFormat /dev/vdb
sudo cryptsetup open /dev/vdb sonarqube-data
sudo mkfs.xfs /dev/mapper/sonarqube-data
sudo mount /dev/mapper/sonarqube-data /home/sonarqube/data

Connexions chiffrees¶

# PostgreSQL : forcer TLS
# postgresql.conf
ssl = on
ssl_cert_file = '/certs/server.crt'
ssl_key_file = '/certs/server.key'

# SonarQube : connexion TLS a PostgreSQL
# sonar.properties ou variable d'environnement
SONAR_JDBC_URL=jdbc:postgresql://postgres:5432/sonarqube?ssl=true&sslmode=verify-full

Audit des accès¶

Événements a journaliser¶

SonarQube produit des logs d'activité pour le suivi des accès aux données sensibles.

Configuration des logs¶

# sonar.properties
# Niveau de log pour le suivi d'audit
sonar.log.level=INFO
sonar.log.level.app=INFO

# Format JSON pour integration SIEM
sonar.log.jsonOutput=true

Integration avec le SIEM¶

# Alloy / Promtail : collecter les logs SonarQube
- job_name: sonarqube
  static_configs:
    - targets: [localhost]
      labels:
        job: sonarqube
        classification: confidentiel
        __path__: /home/sonarqube/logs/*.log