Lyaazale Switch Security · preview 0.18Lyaazale Switch Security · préversion 0.18
LYSS defines what a securely managed switch looks like, once and for every vendor, and gives you a free, read-only tool that checks your switches against it, explains every finding and helps you fix it. LYSS définit ce qu'est un switch correctement sécurisé, une fois pour toutes et pour tous les fabricants, et fournit un outil gratuit, en lecture seule, qui vérifie vos switchs, explique chaque écart et aide à le corriger.
Paste a configuration and get the assessment in your browser: nothing is uploaded.Collez une configuration et obtenez l'évaluation dans votre navigateur : rien n'est envoyé.
MGMT-001Telnet management is enabledAdministration Telnet activéeMGMT-003Cleartext HTTP management is enabledAdministration HTTP en clair activéeVULN-001Firmware has a known critical vulnerabilityFirmware avec une vulnérabilité critique connueAUTH-001Default SNMP community "public" configuredCommunauté SNMP par défaut « public » configuréeMGMT-004Idle sessions time out within 10 minutesSessions inactives fermées en 10 minutes maximumThey carry every packet of the network, yet Telnet, plain HTTP, default SNMP communities and years-old firmware stay in production for years.Tout le trafic passe par eux, et pourtant Telnet, HTTP en clair, communautés SNMP par défaut et firmwares anciens restent en production pendant des années.
Hardening guides exist per vendor and per product line. A mixed network has no single yardstick, so nobody can say how secure it really is.Les guides de durcissement existent par fabricant et par gamme. Un réseau hétérogène n'a pas de référence commune : personne ne peut dire à quel point il est sécurisé.
ISO 27001, NIS2 and national directives ask for evidence. LYSS gives a verdict per control with the configuration lines behind it, secrets redacted.L'ISO 27001, NIS2 et les directives nationales exigent des preuves. LYSS donne un verdict par contrôle avec les lignes de configuration qui le justifient, secrets masqués.
No cleartext management, no default or recoverable credentials, supported firmware without known critical or exploited vulnerabilities, automatic configuration backups.Aucune administration en clair, aucun identifiant par défaut ou réversible, firmware supporté sans vulnérabilité critique ou exploitée connue, sauvegardes automatiques de la configuration.
Central authentication (RADIUS/TACACS+), management restricted to admin networks and modern SSH, remote logging, time synchronization, unused ports disabled, BPDU guard on edge ports.Authentification centralisée (RADIUS/TACACS+), administration limitée aux réseaux d'administration et SSH moderne, journalisation distante, synchronisation de l'heure, ports inutilisés désactivés, BPDU guard sur les ports d'accès.
Protection against attacks from user ports: DHCP snooping, dynamic ARP inspection, 802.1X or MAC authentication, storm control, and no CDP/LLDP towards users.Protection contre les attaques depuis les ports utilisateurs : DHCP snooping, inspection ARP dynamique, authentification 802.1X ou MAC, contrôle des tempêtes de broadcast, et pas de CDP/LLDP vers les utilisateurs.
Every control has a requirement, a rationale, a vendor-neutral test procedure and informative mappings to ISO/IEC 27001:2022, NIST SP 800-53 r5 and CIS Controls v8.Chaque contrôle comporte une exigence, une justification, une procédure de test indépendante du fabricant et des correspondances avec l'ISO/IEC 27001:2022, le NIST SP 800-53 r5 et les CIS Controls v8.
Read-only SSH, in parallel, optionally through a jump host. Read-only commands only. Host keys are pinned on first contact.SSH en lecture seule, en parallèle, éventuellement via un rebond. Uniquement des commandes de lecture. Clés d'hôte épinglées au premier contact.
A verdict for every control with its evidence, a conformance level per switch, a topology map from LLDP/CDP, history and drift alerts.Un verdict par contrôle avec sa preuve, un niveau de conformité par switch, une carte de topologie LLDP/CDP, un historique et des alertes de dérive.
Off by default. Low-risk fixes only, previewed, applied one switch at a time, verified over a new connection, rolled back automatically, logged.Désactivé par défaut. Corrections à faible risque uniquement, prévisualisées, appliquées switch par switch, vérifiées par une nouvelle connexion, annulées automatiquement en cas d'échec, journalisées.
Runs on your own machine or server. Your configurations never leave your network. No access to the switches at all? Audit a saved configuration in your browser, or with lyss audit.Fonctionne sur votre propre poste ou serveur. Vos configurations ne quittent jamais votre réseau. Aucun accès aux switchs ? Auditez une configuration sauvegardée dans votre navigateur, ou avec lyss audit.
| PlatformPlateforme | SupportStatut | LevelsNiveaux | FixesCorrections |
|---|---|---|---|
| Cisco IOS / IOS-XE (Catalyst) | stable · real switchesstable · switchs réels | 1 · 2 · 3 | yesoui |
| Cisco Small Business / Business (SG, CBS) | stable · real switchesstable · switchs réels | 1 · 2 · 3 | yesoui |
| HPE Aruba AOS-S (ProCurve) | preview · LYSS simulatorpréversion · simulateur LYSS | 1 · 2 · 3 | basicde base |
| MikroTik RouterOS 6/7 (CRS, RouterBOARD, CHR) | stable · virtual (CHR 7.25.1)stable · virtuelle (CHR 7.25.1) | 1 · 2 · 3 | read-onlylecture seule |
| SONiC (community builds)SONiC (versions communautaires) | stable · virtual (SONiC-VS 202505)stable · virtuelle (SONiC-VS 202505) | 1 · 2 | read-onlylecture seule |
| Arista EOS (7000 series, cEOS / vEOS)Arista EOS (série 7000, cEOS / vEOS) | stable · virtual (cEOS-lab 4.37.0F)stable · virtuelle (cEOS-lab 4.37.0F) | 1 · 2 · 3 | read-onlylecture seule |
| HPE Aruba AOS-CX | stable · virtual (AOS-CX 10.17)stable · virtuelle (AOS-CX 10.17) | 1 · 2 · 3 | read-onlylecture seule |
| Huawei S series (VRP)Huawei série S (VRP) | preview · vendor documentationpréversion · documentation du fabricant | 1 · 2 · 3 | read-onlylecture seule |
| Juniper EX (Junos) | preview · vendor documentationpréversion · documentation du fabricant | 1 · 2 · 3 | read-onlylecture seule |
| Zyxel GS1900 | preview · firmware onlypréversion · firmware uniquement | firmware only (CVE-2026-7273)firmware uniquement (CVE-2026-7273) | offlinehors ligne |
Stable: Levels 1 and 2 verified on the vendor's own software, on real switches or its official virtual image. Preview: written from the vendor's documentation or verified only on the LYSS simulator, verdicts may still change. Stable : niveaux 1 et 2 vérifiés sur le logiciel du fabricant, sur des switchs réels ou son image virtuelle officielle. Préversion : écrite d'après la documentation du fabricant ou vérifiée uniquement sur le simulateur LYSS, les verdicts peuvent encore changer.
Install with pip install lyss, then lyss demo --open to try nine simulated switches, Level 3 included. Adapters are plain YAML files: a new vendor needs no code.Installation : pip install lyss, puis lyss demo --open pour essayer neuf switchs simulés, niveau 3 compris. Les adaptateurs sont de simples fichiers YAML : un nouveau fabricant ne demande aucun code.
LYSS is part of CISO Assistant, the open-source GRC platform: its framework and ISO 27001 mapping are in the built-in library (from the CISO Assistant release after v4.2.2). After every scheduled scan, LYSS uploads the switch report as a new revision of your evidence, automatically: your ISO 27001 controls stay documented without copy and paste.LYSS fait partie de CISO Assistant, la plateforme GRC open source : son référentiel et sa correspondance ISO 27001 sont dans la bibliothèque intégrée (à partir de la version de CISO Assistant qui suit la v4.2.2). Après chaque scan planifié, LYSS dépose automatiquement le rapport des switchs comme nouvelle révision de votre preuve : vos mesures ISO 27001 restent documentées, sans copier-coller.
Standalone HTML reports (printable to PDF) and JSON, per switch, per site or for the whole fleet, with ISO/IEC 27001:2022, NIST SP 800-53 and CIS Controls mappings.Rapports HTML autonomes (imprimables en PDF) et JSON, par switch, par site ou pour tout le parc, avec les correspondances ISO/IEC 27001:2022, NIST SP 800-53 et CIS Controls.
E-mail alerts when a control starts failing, a collection fails or a new switch appears on the network.Alertes e-mail quand un contrôle se met à échouer, qu'une collecte échoue ou qu'un nouveau switch apparaît sur le réseau.
The specification is published under Creative Commons BY 4.0 and the tool under the GNU AGPL v3 licence. Anyone can read, implement, audit and improve them, as long as the author credit "LYSS by Mouad Lyaazale · Made in Morocco" is kept.La spécification est publiée sous licence Creative Commons BY 4.0 et l'outil sous licence GNU AGPL v3. Chacun peut les lire, les implémenter, les auditer et les améliorer, à condition de conserver la mention « LYSS by Mouad Lyaazale · Made in Morocco ».
The source code is public on GitHub. Try the demo in two minutes without any switch, report wrong verdicts, propose controls or adapters for other vendors.Le code source est public sur GitHub. Essayez la démo en deux minutes sans aucun switch, signalez les verdicts erronés, proposez des contrôles ou des adaptateurs pour d'autres fabricants.
Security issues: please report them privately to the same address.Failles de sécurité : merci de les signaler en privé à la même adresse.
LYSS is free and built on personal time. You can support it onLYSS est gratuit et développé sur du temps personnel. Vous pouvez le soutenir sur Ko-fi.
LYSSLyaazale Switch Security
Open, vendor-neutral security standard for network switches.Standard ouvert de sécurité des switchs, indépendant des fabricants.
صُنع في المغرب · Made in MoroccoFabriqué au Maroc
by Mouad Lyaazalepar Mouad Lyaazale · من صنع معاد اليازل