Vauban, le contrôle des accès à privilèges sans licence propriétaire
Vauban est un bastion d'accès à privilèges (PAM) open source, écrit en Rust. Tous les accès d'administration passent par lui : il authentifie, autorise, enregistre et peut couper chaque session.
Le problème qu'il résout
- Des comptes administrateurs partagés, dont personne ne sait vraiment qui les utilise.
- Des prestataires qui se connectent par VPN avec des mots de passe transmis par e-mail.
- Aucune trace exploitable de ce qui a été fait sur un serveur ou un automate.
- Des solutions PAM du marché hors budget dès qu'il faut couvrir tout le système d'information.
Ce que fait Vauban
Une passerelle unique
Accès SSH, RDP et industriels (OT), ainsi que l'accès des agents IA aux serveurs MCP, tous canalisés par le bastion.
Authentification forte
MFA imposé sur chaque session à privilèges, authentification par certificat : l'utilisateur ne voit jamais le mot de passe de la cible.
Droits au plus juste
Contrôle d'accès par rôles : la bonne personne, sur la bonne ressource, au bon moment, avec révocation immédiate.
Enregistrement et rejeu
Chaque session est enregistrée, indexée et rejouable, ce qui fournit une piste d'audit et un support d'investigation.
Surveillance en temps réel
Les sessions actives sont visibles en direct, les comportements anormaux déclenchent une alerte, et une session peut être coupée.
Prestataires sans VPN
Les fournisseurs reçoivent une session isolée, limitée dans le temps et le périmètre, sans qu'aucun mot de passe ne leur soit communiqué.
Correspondance avec NIS2, ISO 27001 et CyFun
Correspondance établie à partir de celle de l'éditeur de Vauban et revue par Cyber Praxis. Elle indique les exigences auxquelles l'outil contribue ; la conformité dépend toujours de la configuration, des procédures et de leur application.
| Exigence | NIS2 | ISO/IEC 27001:2022 | CyFun 2025 |
|---|---|---|---|
| Contrôle des accès à privilèges | Art. 21(2)(i) | A.8.2 | PR.AA-05.4, PR.AA-05.7 |
| Authentification multifacteur | Art. 21(2)(j) | A.8.5 | PR.AA-03.2, PR.AA-01.4 |
| Journalisation et traçabilité | Art. 21(2)(b) | A.8.15 | PR.PS-04.1, DE.AE-03.1 |
| Détection d'incidents | Art. 21(2)(b) | A.8.16 | DE.CM-09.1, DE.CM-01.3 |
| Chaîne d'approvisionnement et tiers | Art. 21(2)(d) | A.5.19 | GV.SC-01.1, GV.SC-05.1 |
| Continuité d'activité | Art. 21(2)(c) | A.5.30 | ID.IM-04.1, GV.OC-04.4 |
Ce que fait Cyber Praxis
Un outil ne rend pas conforme à lui seul. Nous l'intégrons dans une démarche : de l'inventaire des accès jusqu'à la preuve présentée à l'auditeur.
Inventaire et cadrage
Recensement des comptes à privilèges, des actifs critiques et des accès prestataires ; définition des politiques d'accès.
Déploiement
Installation du bastion, configuration des passerelles SSH et RDP, intégration à l'annuaire (Active Directory, LDAP) et au MFA.
Mise en service
Attribution des rôles, tests des politiques, mise en place de la surveillance et formation des équipes.
Preuve de conformité
Validation de la piste d'audit, documentation et rattachement aux exigences NIS2, ISO 27001 ou CyFun de votre plan.
Le calendrier dépend du périmètre : quelques semaines suffisent généralement pour une première mise en production.
Questions fréquentes sur Vauban
Vauban est-il gratuit ?
Le logiciel est open source et utilisable sans licence. L'éditeur propose par ailleurs des contrats de maintenance à long terme pour les organisations qui en ont besoin, notamment dans l'industrie. Le coût d'un projet tient surtout à l'intégration et à l'accompagnement.
Pourquoi un bastion open source pour NIS2 ?
Le code est public et peut être audité, l'outil s'héberge sur votre propre infrastructure et ne crée pas de dépendance à un fournisseur. Pour une entité soumise à NIS2, ce sont des arguments de souveraineté et de transparence en plus du coût.
Vauban couvre-t-il les environnements industriels ?
Oui. Il est conçu pour les accès aux équipements industriels (OT) en plus des serveurs Linux et Windows, ce qui le rend pertinent pour l'énergie, la santé, l'eau ou la production.
Peut-on l'utiliser lors d'une investigation ?
Les enregistrements de sessions constituent une trace précieuse : ils permettent de rejouer exactement ce qui a été fait, par qui et quand. Leur exploitation comme élément de preuve suppose qu'ils aient été conservés de manière intègre.