Exploration

[frgith]

Bonjour,

En premier lieu je tiens à vous remercier pour cette initiative très intéressante.
J'ai installé mercator ainsi que le jeu de test pour me familiariser avec le fonctionnement de l'application.
Cependant j'obtiens un comportement déroutant à l'utilisation de la fonction exploration :
Quel que soit le filtre sélectionné, la liste des objets est toujours la même et comprend des objets de différentes vues, est ce normal ? (exemple ci-dessous).
Par ailleurs est il possible d'obtenir une cartographie automatique en sélectionnant un objet, par exemple est il possible de choisir un processus et d'afficher automatiquement le macro-processus parent et les objets enfants de la vue métier mais aussi des autres vues (application, logique, infrastructure, etc ...) ainsi que les liens ?

Cordialement,
Fabrice

[dbarzin]

Bonjour Fabrice,

Le filtre ne s'applique pour l'instant que lors d'un double click sur un objet. Il serait effectivement intéressant de filtrer également les objets présents dans le menu déroulant qui se trouve à côté. Ce point va être ajouté à la feuille de route dans la liste des petites améliorations.

Il n'existe pas de cartographie automatique en sélectionnant un objet pour l'instant. Cela pourrait également être développé. Il faudrait bien identifier ce qui va s’afficher à partir de chaque objet. As-tu des idées à ce sujet ?

Merci pour les remarques,
Didier

[dbarzin]

Le développement est presque terminé mais je coince sur un bug javascript.
Le code est en commentaire dans ./resources/views/admin/reports/explore.blade.php
Si quelqu'un a le courage de s'y attaquer. Je me met en pause sur ce point pour l'instant.

[dbarzin]

C'est corrigé !

[frgith]

Bonjour,
J'ai eu un petit problème de machine, je vais reprendre mes tests.
Concernant la cartographie automatique, il serait intéressant de pouvoir obtenir en un clic une vue hiérarchique de tout ce qui supporte un item. Par exemple en cliquant sur un processus, avoir toutes les activités, puis pour chaque activité, toutes les opération puis pour chaque opération toutes les tâches , le tout de façon pyramidale par strate.
Dans l'idéal il faudrait pouvoir avoir une vision pyramidale depuis les macroprocessus jusqu'aux éléments d'infrastructure. Si le SI est vraiment important ça ferait peut être beaucoup trop de chose à afficher, dans ce cas il serait intéressant de pouvoir n'afficher que les informations liées à un seuil de criticité de façon à pouvoir visualiser d'un coup d'oeil la chaine entre un macroprocessus critique et les éléments d'infrastructure qui supportent le macroprocessus en passant par les éléments logiques, les applications etc ... A défaut de pouvoir tout visualiser d'un seul coup, il faudrait ajouter une représentation pyramidale et ouvrir les items par clic comme à l'heure actuelle : la représentation actuelle est intéressante, mais d'un coup d'oeil on ne distingue pas ce qui est de nature différente.
Je crains de ne pas être d'une grande aide pour le débogage, il y a longtemps que je n'ai plus fait de développement et les dernières fois c'était du Xbase avec un peu de C , il y a .... 22 ans ...

[dbarzin]

Je retiens cette idée.

[frgith]

En complément, mon DPO a testé la partie RGPD. Il lui manquerait juste la possibilité de saisir le type de données collectées et la sensibilité dans des champs dédiés.

[dbarzin]

Pour chaque entrée du registre, il est possible d'identifier les informations collectées dans ce traitement.
Une information est composées de son nom, sont type, sa sensibilité...

Cela répond parfaitement aux données demandées par l’article 30 du RGPD.

[frgith]

je lui transmet la réponse :-)

[frgith]

Bonjour,
J'ai deux questions :
Est ce qu'il serait possible d'exporter en un clic toutes les données sous forme de fichier excel (la même fonctionnalité que celle déjà présente pour chaque vue, mais globale) ?
Comment fonctionne exactement l'option CVE ? est ce que cela permet de recevoir par email la liste totale des CVE du fournisseur de CVE sélectionné ou bien est ce qu'il serait possible de paramétrer l'outil pour ne recevoir de message que lorsqu'une application présente dans la vue des applications est concernée par la CVE ?
Cordialement,
Fabrice

[dbarzin]

Ce n'est pas possible d'exporter toutes les données sous la forme d'un fichier Excel. Cela existe cependant sous la forme d'un document Word.
Le fonctionnalité CVE permet de recevoir tous les jours par mail la liste des CVE qui contiennent le nom d'une application de la cartographie.

[frgith]

J'imagine que pour le document word, c'est dans les rapports en sélectionnant toutes les vues ?
Pour l'édition excel l'idée n'est pas de tout avoir dans un seul fichier mais de pouvoir exporter tous les fichiers excel en un clic sans avoir à passer sur toutes les vues.

[dbarzin]

Oui, le rapport de cartographie contient toute l'information.
Pour les fichiers Excel, on pourrait effectivement implémenter des liens entre les objets.

[frgith]

C'est juste pour avoir les informations dans des fichiers excel. L'un de mes collègues s'inquiète des questions de maintenabilité, le fait de pouvoir exporter en un clic toutes les informations dans des fichiers excel pourrait être une réponse.
En effet il y a quelque temps dans une autre structure (j'ai changé d'entreprise il y a un mois) j'avais créé des fichiers excel sur la base du guide l'ANSSI, je me tâtais de faire un petit développement mais comme je l'ai dit antérieurement ça fait longtemps que je n'ai pas développé et c'était avec de vieilles technologies. Par ailleurs pourquoi faire un outil alors qu'il en existe déjà un qui est bien fait ;-)

[dbarzin]

De mes premiers tests, il ressort que l'on ne peut mettre d'un lien hypertexte par cellule. Cela ne va pas être pratique.

[frgith]

je me fais mal comprendre, il s'agirait de faire comme si on passait sur toutes les vue/modules et qu'on cliquait sur le bouton excel (il s'agirait de l'automatiser pour exporter tous les excel de toutes les vues/modules). Il faudrait changer le nom de l'excel par le nom de chaque vue/module , sinon on se retrouverait avec mercator.xlsx, mercator(1).xlsx, mercator(2).xlsx etc ... ce qui ne serait pas très pratique.

[frgith]

Complément : Il ne s'agit pas de refaire l'outil sous excel

[dbarzin]

Oui mais alors les liens entre les objets ne sont pas représentés.

[frgith]

Oui

[frgith]

Concernant les CVE , il faut paramétrer quelque chose en particulier dans la vue des applications ou bien la recherche sur les CVE se fait en plein texte à partir du nom de l'application (ou d'un ou plusieurs autres champs) ?

[dbarzin]

En plein teste à partir du nom de l'application

[frgith]

D'accord

[frgith]

est ce qu'on peut exporter les informations détaillées, par exemple des applications ?
Par ailleurs j'obtiens une erreur sur la base de test lorsque je clique sur afficher pour la première application de la liste (Application 2), il y a erreur 500 server error, alors que modifier fonctionne.
Pas d'erreur sur les autres applications

[dbarzin]

Ce n'est plus présent dans la version actuelle. La procédure de mise à jour est décrite ici https://github.com/dbarzin/mercator/blob/master/INSTALL.fr.md

[frgith]

Bonjour,
je vais essayer de faire la mise à jour, merci.

[frgith]

Mise à jour faite, il n'y a plus l'erreur :-)
Est ce que dans l'interface on peut voir quelle est la version ? je ne l'ai pas trouvée , à mettre dans A propos ?

[dbarzin]

Désolé, cela va arriver.

[frgith]

Il n'y a pas de raison d'être désolé ;-) l'outil est vraiment déjà très bien

[frgith]

Rebonjour,
Pour une utilisation courante, je suppose qu'il vaut mieux utiliser apache et passer en https pour les questions de sécurité ?

[dbarzin]

Oui si l'application n'est pas utilisée sur un réseau privé.

[frgith]

ok

[frgith]

Suggestion : proposer de Cascader automatiquement les DICT du haut vers le bas , macroprocessus-> processus -> application -> infrastructure logique -> infrastructure physique

[dbarzin]

Il existe un rapport d'analyse des niveaux de sécurité, l'assignation automatique n'est pas toujours souhaitable. A voir.

[frgith]

celui sous forme de fichier excel ?

[dbarzin]

Par exemple un processus non critique peut utiliser une application critique.

[dbarzin]

Le fichier Excel "Analyse des niveaux de sécurité"

[frgith]

Disons que proposer de cascader (un bouton cascader la criticité) permettrait d'accélérer la propagation des criticités de haut en bas, mais il faudrait pouvoir conserver la possibilité de modifier la criticité à chaque niveau et conserver la criticité des niveaux inférieurs plus haute que celle dont on a demandé la cascade sinon on risquerait d'écraser des criticités hautes par des criticités plus faibles.
Si je reprends l'exemple de l'application critique, si elle est critique c'est qu'elle soutient au moins un processus critique ou bien elle soutient un ensemble de processus qui individuellement ne sont pas critiques mais dont l'ensemble l'est, ce qui la rend critique, sinon je conçois mal pourquoi elle serait critique.

Ok pour le fichier, il permet de voir d'un coup d'oeil si les criticités sont cohérentes et de les corriger si nécessaire.

[frgith]

Nouvelle suggestion mais peut être trop complexe à mettre en oeuvre : Permettre de créer des périmètres différents par vue pour pouvoir donner des délégations à des contributeurs sur des parties spécifiques. Je m'explique : je ferais bien renseigner les processus RH par la RH et les processus marketing par le marketing sans que la Rh puisse intervenir sur le marketing et inversement, ou encore la partie infrastructure du site A par le prestataire du site A et celle du site B par le prestataire du site B. Un utilisateur avec des droits étendus se chargerait d'établir les liens entre les différents périmètres si nécessaire

[dbarzin]

On a cette idée dans les cartons au travers de cartographes qui ont des droits sur des objets de la cartographie.
Pour le moment les droits sont attribués au travers des rôles par type d'objet pour tous les objets du même type.

[frgith]

ok

[frgith]

J'observe un comportement bizarre sur le tableau de bord avec la base de test, ou bien je ne comprends pas quelque chose :
Je suis parti du principe que la distinction entre les niveaux 1, 2 et 3 est matérialisée en saisie par les astérisques rouge, orange ou pas d'astérisque (c'est ça ou je me trompe ?)

Sur le tableau de bord, les valeurs des scores globaux et détaillés des 3 niveaux sont identiques et si je modifie des valeurs dans les différentes vues, les scores globaux et détaillés varient mais sont toujours les mêmes pour les trois niveaux.

Par exemple : les scores globaux étaient à 87% pour les trois niveaux , et le score applications à 36% pour les trois niveaux.
Pour plusieurs applications j'ai renseigné des valeurs matérialisées par une étoile orange, la valeur est passée à 43% pour les 3 niveaux.

[dbarzin]

Les astérisques rouge sont les champs obligatoires et les astérisques orange les astérisques sont ceux qui entree en compte dans le calcul du niveau de conformité.
Lorsqu'un objet n'est pas conforme il est affiché en jaune dans la liste des éléments correspondant.
Il existe un rapport des niveaux de conformité qui détaille le calcul effectué.

[frgith]

Je ne trouve pas de quel rapport il s'agit.
Par ailleurs j'ai produit des rapports en choisissant le niveau de granularité 1 puis le niveau 3 la comparaison des deux rapports dit qu'ils sont identiques.
Par ailleurs est ce que les niveaux de maturité du rapport de maturité correspondent aux niveaux de granularité ?

[dbarzin]

[dbarzin]

Les niveaux de maturité et de granularité correspondent.

[frgith]

J'avais vu le rapport mais je ne comprenais pas le "calcul", voyons si j'ai bien compris :
Par exemple, il n'y a pas de score pour les macroprocessus pour le niveau 1 , mais il y a un score pour les niveaux 2 et 3, score qui est le même. J'imagine que dès lors qu'on tient compte d'un item au niveau n, on en tient compte avec le même score au niveau n+1 ?
D'après ce que je lis sur le fichier la majorité des items apparaissent au niveau 1 et donc pour ceux là les scores sont les mêmes dans les 3 niveaux.
A partir du niveau 2 on trouve les macro processus, les activités, les services applicatifs, les modules applicatifs, les entités extérieures connectées, les serveurs DHCP, les certificats et à partir du niveau 3 les tâches.

Comment est effectué le calcul du score lui même ? c'est un % des informations correspondant aux astérisques oranges renseignées ?
Comment est calculé le % par vue ?
Par exemple pour les niveaux 1 2 et 3 de la vue administration j'ai les valeurs suivantes :
Administration 9 77,78% 9 77,78% 9 77,78%
Zones d'administration 1 100,00% 1 100,00% 1 100,00%
Services d'annuaire d'administration 2 100,00% 2 100,00% 2 100,00%
Forêts Active Directory / LDAP 2 100,00% 2 100,00% 2 100,00%
Domaines Active Directory / LDAP 4 50,00% 4 50,00% 4 50,00%

Comment est calculé le score de 77,78% ?

Par ailleurs les scores globaux par niveaux sont les mêmes à l'écran , or dans le fichier il y a des différences pour certaines vues selon la granularité. ça devrait donner des scores globaux différents, non ?

[dbarzin]

J'avais vu le rapport mais je ne comprenais pas le "calcul", voyons si j'ai bien compris :
Par exemple, il n'y a pas de score pour les macroprocessus pour le niveau 1 , mais il y a un score pour les niveaux 2 et 3, score qui est le même. J'imagine que dès lors qu'on tient compte d'un item au niveau n, on en tient compte avec le même score au niveau n+1 ?

Un élément peut être conforme au niveau n, et ne pas être conforme au niveau n+1. L'inverse n'est pas valable.

D'après ce que je lis sur le fichier la majorité des items apparaissent au niveau 1 et donc pour ceux là les scores sont les mêmes dans les 3 niveaux.

S'il 'y a pas de nouveaux attributs qui entre en compte, l'objet reste conforme au niveau n+1

A partir du niveau 2 on trouve les macro processus, les activités, les services applicatifs, les modules applicatifs, les entités extérieures connectées, les serveurs DHCP, les certificats et à partir du niveau 3 les tâches.

Cela provient du Guide de la Cartographie de l'ANSSI. Pour les éléments qui ne se trouvaient pas dans le guide, il a fallut faire un choix.

Comment est effectué le calcul du score lui même ? c'est un % des informations correspondant aux astérisques oranges renseignées ?
Comment est calculé le % par vue ?
Par exemple pour les niveaux 1 2 et 3 de la vue administration j'ai les valeurs suivantes :
Administration 9 77,78% 9 77,78% 9 77,78%
Zones d'administration 1 100,00% 1 100,00% 1 100,00%
Services d'annuaire d'administration 2 100,00% 2 100,00% 2 100,00%
Forêts Active Directory / LDAP 2 100,00% 2 100,00% 2 100,00%
Domaines Active Directory / LDAP 4 50,00% 4 50,00% 4 50,00%

Comment est calculé le score de 77,78% ?

9 est le nombre total d’éléments total, 7 le nombre d’éléments conformes : 7 / 9 = 77,78% est le nombre d'éléments conformes divisé par le nombre total d'élément. Cela représente l'effort qu'il reste à fournir pour être conforme.

Le calcul pour chaque élément est fait dans cette classe dans la fonction computeMaturity :
https://github.com/dbarzin/mercator/blob/master/app/Http/Controllers/Admin/HomeController.php

Par ailleurs les scores globaux par niveaux sont les mêmes à l'écran , or dans le fichier il y a des différences pour certaines vues selon la granularité. ça devrait donner des scores globaux différents, non ?

Il est possible qu'en pourcentage les valeurs se compensent l'une l'autre pour donner un score presque identique.
Une page va être ajoutée à la documentation pour détailler le calcul réalisé.
Le nombre total d’éléments conforme pour chaque catégorie pourrait être ajouté à ce rapport pour facilité sa lecture.

[dbarzin]

Un début de documentation se trouve ici :
https://github.com/dbarzin/mercator/blob/master/docs/maturity.fr.md
Il faut encore compléter, relire et vérifier que cela correspond à ce qui se trouve dans les formulaires.

[dbarzin]

Le rapport d'audit de la cartographie est en cours de refonte, ce n'est pas terminé mais cela doit être plus clair maintenant.

[dbarzin]

🎉 Le filtre sur les objets dans l'explorateur fonctionne !