HodeiShield®

Une preuve signée de vos postes, avec ses limites à la vue de tous.

Un agent observe la configuration de sécurité des portables et des serveurs et envoie chaque contrôle signé. La console rejette ce qui ne se vérifie pas et cesse de compter les postes qui cessent de remonter des informations.

Pour: Le RSSI qui a besoin d’une preuve technique de ses postes sans monter un SOC, et le partenaire MSSP qui l’exploite pour plusieurs clients.

Demander une démoLire le guide de l’agent (s’ouvre dans un nouvel onglet)
  • Windows (.msi), macOS (.pkg universel) et Linux x86_64
  • Ne remplace pas votre EDR : il observe son état et ne remédie à rien

Observation signéeequipo-01

Données d’exemple

Enveloppe de l’observation

host
equipo-01
Système
Ubuntu 22.04

Contrôles

  • Chiffrement du disque systèmeConforme
  • Pare-feu du système d’exploitationConforme
  • SSH : accès rootNon conforme
  • Horloge synchroniséeConforme
  • Démarrage sécuriséSans objet

Base de référence SSG · Ubuntu 22.04 · L1

87 % des règles applicables

Détail par poste. N’alimente pas encore le score de conformité.

SignatureML-DSA-65 · vérifiée par la console

FraîcheurDernière observation il y a 2 jours · expire au bout de 7

Données d’exemple : le poste, les résultats et les pourcentages sont fictifs.

Ce qu’il regarde et ce qu’il ne recueille pas

L’agent est conçu pour observer la posture de sécurité, pas l’activité des personnes. Ces deux listes sont le contrat.

Ce qu’il vérifie

  • Comptes et authentification : politique de mots de passe et verrouillage après des tentatives échouées.
  • EDR et antimalware : si la protection est active et ses signatures à jour.
  • Chiffrement du disque système et pare-feu du système d’exploitation.
  • Démarrage sécurisé et protections natives (SIP sous macOS, contrôle d’accès obligatoire sous Linux).
  • Audit du système, accès distant par SSH, durcissement réseau et mises à jour de sécurité automatiques du système d’exploitation.
  • Synchronisation de l’horloge.
  • Bases de référence ouvertes de niveau L1 (SCAP Security Guide, NIST mSCP, DISA STIG) sur Ubuntu 22.04 et 24.04, macOS 14 et 15, et Windows 11 et Server 2022.

Ce qu’il ne recueille pas

  • Ni contenu de fichiers ni historique de navigation.
  • Ni processus en cours d’exécution ni utilisation du CPU ou de la mémoire.
  • Ni mots de passe ni aucune sorte d’identifiant.
  • L’adresse MAC de l’appareil.

Il envoie en revanche, en plus du résultat de chaque contrôle, une identification minimale : nom du poste, adresses IP publiques et famille, nom et version du système d’exploitation.

Ce qu’il fait, avec sa preuve et sa portée

Chaque affirmation indique en marge où la vérifier et jusqu’où elle va.

Source de la preuve

  • Documentation publique
  • Code ouvert
  • Dans la démo

Portée: ce que l’affirmation ne couvre pas

SENSE · recueillir la preuve

Des observations signées depuis le poste, qui cessent de compter quand elles cessent d’arriver.

  1. Chaque observation voyage signée numériquement, et la console rejette celles qui ne se vérifient pas.1

    Docs · Agent d’endpoint (s’ouvre dans un nouvel onglet)

    Portée. C’est la télémétrie qui est signée, pas l’installeur : les versions de l’agent ne portent pas de signature détachée.

  2. L’agent émet 172 contrôles : 29 généraux et 143 de base de référence sur des références ouvertes (SCAP Security Guide, NIST mSCP et DISA STIG), de niveau L1.2

    Dans la démo · détail d’un poste

    Portée. Uniquement L1 et uniquement les systèmes d’exploitation indiqués ; ce n’est pas un « CIS Benchmark ».

  3. Un poste qui cesse de remonter des informations cesse de compter comme conforme : la fraîcheur par défaut est de sept jours.3

    Dans la démo · état des postes

    Portée. L’agent remonte ses informations par cycle ; ce n’est pas de la surveillance en temps réel.

  4. Il s’installe avec un jeton d’enregistrement à usage unique que génère un administrateur, et révoquer un poste est un acte explicite dans la console.4

    Docs · Installation (s’ouvre dans un nouvel onglet)

    Portée. Désinstaller l’agent ne révoque pas le poste : il faut le révoquer depuis la console.

S’applique dansConformité multi-référentiel

PREDICT · quantifier et simuler

Quelle part de ce qui est observé compte pour le score et quelle part n’est que du détail.

  1. Les contrôles ponctuels de l’agent alimentent le score de posture d’endpoint que vous voyez dans la console.5

  2. Chaque base de référence applicable s’affiche par poste sous forme de pourcentage de règles satisfaites, calculé sur le poste lui-même et envoyé signé.6

    Dans la démo · base de référence d’un poste

    Portée. C’est du détail : les 143 contrôles de base de référence n’alimentent pas encore le score de conformité. Il n’y a pas de niveau L2 ni de correspondance avec CIS.

S’applique dansConformité multi-référentiel

ACT · proposer et approuver

Ce que l’on fait de ce que voit l’agent, et ce que l’on n’en fait pas.

  1. L’agent ne prend aucune action de remédiation sur le poste : il observe et remonte seulement.7

    Docs · Limites de l’agent (s’ouvre dans un nouvel onglet)

    Portée. Il ne se met pas non plus à jour seul : pour passer à une nouvelle version, on télécharge l’installeur et on réinstalle, en conservant l’enregistrement.

  2. Chaque version majeure de l’agent est prise en charge pendant 5 ans à compter de la 1.0, et les mises à jour de sécurité restent disponibles après l’expiration d’un abonnement.8

    Docs · Période de support (s’ouvre dans un nouvel onglet)

    Portée. La fin de support est annoncée 12 mois à l’avance. Cela fixe la période de support, pas des délais de réponse ni une disponibilité.

  3. Les alertes de la console sont acheminées vers ServiceNow, Jira, Slack, Teams, e-mail, webhook signé, SIEM, PagerDuty et Opsgenie selon vos règles.9

    Docs · Connecteurs (s’ouvre dans un nouvel onglet)

    Portée. Elles notifient ou créent le ticket dans votre système ; elles ne remédient pas.

S’applique dansHodeiAI

ATTEST · démontrer aux tiers

Ce qui sort du poste vers l’extérieur est un niveau, pas une liste de postes.

  1. L’attestation du Trust Center ne porte que des niveaux de maturité par référentiel : jamais de scores, de montants ni de détail par poste.10

    Code ouvert · Vérificateur ATTEST (s’ouvre dans un nouvel onglet)

    Portée. Prouve l’intégrité, l’origine et le moment, pas la véracité, et ne remplace pas un audit.

S’applique dansTrust Center et ATTEST

SENSE alimente PREDICT ; PREDICT priorise ce que propose ACT ; ATTEST le démontre aux tiers.

Ce qu’il ne fait pas

Les limites de l’agent, sans petits caractères.

  • Il ne remplace ni votre EDR ni votre antivirus : il observe s’ils sont actifs et à jour.
  • Il ne remédie pas, n’isole pas de postes et n’exécute pas d’actions sur le système.
  • Il ne se met pas à jour seul : une nouvelle version s’installe en téléchargeant l’installeur, sans nouveau jeton.
  • L’installeur ne porte pas de signature vérifiable : seule la télémétrie est signée.
  • Les bases de référence ne couvrent que le niveau L1 sur les systèmes indiqués ; il n’y a ni L2, ni correspondance avec les CIS Controls, ni autres distributions.
  • Sous Linux, il n’existe qu’un installeur x86_64.

Comment il se connecte aux autres solutions

L’agent alimente les autres et ne dépend d’aucune.

Questions de qui décide de ce qui s’installe

Ce que demandent d’ordinaire l’équipe de sécurité et le DPO.

Remplace-t-il mon EDR ou mon antivirus ?

Non. L’agent vérifie si la protection est active et à jour, avec le reste de la configuration de sécurité, et le remonte à votre organisation. Il ne bloque ni ne détecte de menaces de lui-même.

Quelles données sortent du poste ?

Le résultat de chaque contrôle, signé, et une identification minimale : nom du poste, adresses IP publiques et famille, nom et version du système d’exploitation. Il ne recueille ni contenu de fichiers, ni historique de navigation, ni processus, ni identifiants, ni adresse MAC.

Que signifie « 172 contrôles » ?

Ce sont 29 contrôles généraux et 143 de base de référence ouverte (SCAP Security Guide, NIST mSCP et DISA STIG, niveau L1). Les bases de référence s’affichent comme détail par poste et n’alimentent pas encore le score de conformité.

Se met-il à jour ou se répare-t-il seul ?

Non. Il ne se met pas à jour seul et n’exécute pas de remédiations. Pour changer de version, on télécharge l’installeur et on réinstalle ; l’enregistrement du poste est conservé.

Sur quels systèmes fonctionne-t-il ?

Windows (installeur .msi), macOS (.pkg universel pour Apple Silicon et Intel) et Linux x86_64 avec systemd. Les bases de référence couvrent Ubuntu 22.04 et 24.04, macOS 14 et 15, et Windows 11 et Server 2022.

Que se passe-t-il si je retire un poste ?

Désinstallez l’agent et révoquez le poste depuis la section des postes de la console. Tant que vous ne le révoquez pas, son identité reste active même si l’agent n’est plus installé.

Voyez un poste depuis l’intérieur de la console

Pendant la démo, nous ouvrons le détail d’un poste : ses contrôles, sa base de référence et sa fraîcheur, avec les limites sur la table.

Le guide de l’agent, avec sa liste de ce qu’il ne recueille pas, est public.

Demander une démoLire le guide de l’agent (s’ouvre dans un nouvel onglet)