Réseau & pare-feu

Préparer uniquement les flux nécessaires à l’utilisation du SaaS et, si activé, aux scans locaux via l’Agent Discovery.

1. Accès au SaaS

Les utilisateurs accèdent à Ecurem CLM en HTTPS. Le poste client doit pouvoir :

• résoudre clm.ecurem.cloud ;
• établir une connexion HTTPS sortante vers le port 443 ;
• faire confiance à la chaîne TLS présentée par le service.

2. Agent Discovery

L’Agent Discovery communique avec le SaaS par une connexion sortante HTTPS. Il n’est pas nécessaire d’exposer arbitrairement l’Agent en entrée depuis Internet.

L’Agent doit aussi pouvoir résoudre le nom du service Ecurem CLM et conserver une horloge système correcte afin d’éviter des problèmes d’authentification ou de TLS.

3. Flux vers les cibles

Pour un scan local, l’Agent initie les connexions vers les actifs du périmètre approuvé. Les ports dépendent des services que vous choisissez de scanner.

Ces ports sont des destinations de scan, pas des ports à ouvrir en entrée vers la plateforme SaaS.

4. DNS et temps

• DNS : nécessaire pour résoudre les FQDN et le service SaaS.
• Temps/NTP : fortement recommandé pour la fiabilité TLS, les journaux et les jetons d’authentification.

5. Proxy et filtrage

Si votre organisation utilise un proxy ou une liste d’autorisation de domaines, documentez les règles nécessaires avant le déploiement de l’Agent. Évitez les règles « any/any » lorsque le besoin peut être limité au SaaS et aux cibles autorisées.

6. Checklist

• Résolution DNS du SaaS : OK.
• HTTPS sortant 443 vers Ecurem CLM : OK.
• Horloge/NTP : OK.
• Agent visible en ligne : OK.
• CIDR/FQDN de scan approuvés : OK.
• Ports cibles approuvés : OK.
• Aucun port entrant inutile ouvert vers l’Agent : OK.