Modifications pour le document Durcissement Linux
Modifié par john le 2026/09/20 20:06
Résumé
-
Propriétés de la Page (1 modifications, 0 ajouts, 0 suppressions)
Détails
- Propriétés de la Page
-
- Contenu
-
... ... @@ -1,43 +1,39 @@ 1 += Durcissement de Linux = 2 + 1 1 {{toc/}} 2 2 3 3 == Présentation == 6 +Le **durcissement** (ou *hardening*) d’une machine Linux consiste à **renforcer sa sécurité** pour limiter les risques d’exploitation, d’intrusion ou d’erreurs critiques. 4 4 5 -Le **durcissement** (ou //hardening//) d’une machine Linux consiste à **renforcer sa sécurité** pour limiter les risques d’exploitation, d’intrusion ou d’erreurs critiques. 6 - 7 7 C’est une démarche proactive, indispensable pour les systèmes exposés en réseau ou manipulés par plusieurs utilisateurs. 8 8 9 ---- --10 +--- 10 10 11 11 == Objectifs du durcissement == 12 - 13 13 * Réduire la **surface d’attaque** 14 14 * Protéger les **données et services critiques** 15 15 * Prévenir les **exécutions non autorisées** 16 16 * **Isoler** les composants sensibles 17 17 18 ---- --18 +--- 19 19 20 20 == 1. Nettoyer le système == 21 +* Supprimer les services inutiles : 22 + {{code language="bash"}} 23 + systemctl list-units --type=service 24 + sudo systemctl disable nom_du_service 25 + {{/code}} 21 21 22 -Supprimer les services inutiles : 27 +* Supprimer les paquets superflus : 28 + {{code language="bash"}} 29 + sudo apt autoremove 30 + # ou 31 + sudo dnf remove paquet 32 + {{/code}} 23 23 24 -{{code language="bash"}} 25 -systemctl list-units --type=service 26 -sudo systemctl disable nom_du_service 27 -{{/code}} 34 +--- 28 28 29 -Supprimer les paquets superflus : 30 - 31 -{{code language="bash"}} 32 -sudo apt autoremove 33 -# ou 34 -sudo dnf remove paquet 35 -{{/code}} 36 - 37 ------ 38 - 39 39 == 2. Mettre à jour régulièrement == 40 - 41 41 Les mises à jour corrigent des failles de sécurité : 42 42 43 43 {{code language="bash"}} ... ... @@ -46,23 +46,21 @@ 46 46 sudo dnf update 47 47 {{/code}} 48 48 49 -Automatiser avec ##unattended-upgrades##(Debian/Ubuntu).45 +Automatiser avec `unattended-upgrades` (Debian/Ubuntu). 50 50 51 ---- --47 +--- 52 52 53 53 == 3. Sécuriser les comptes == 54 - 55 55 * Désactiver l’accès root en SSH 56 -* Utiliser ##sudo##au lieu de se connecter en root51 +* Utiliser `sudo` au lieu de se connecter en root 57 57 * Supprimer les utilisateurs inutilisés 58 58 * Utiliser des mots de passe robustes 59 59 60 ---- --55 +--- 61 61 62 62 == 4. Configurer un pare-feu == 58 +Utiliser `ufw` ou `nftables` : 63 63 64 -Utiliser ##ufw## ou ##nftables## : 65 - 66 66 {{code language="bash"}} 67 67 sudo ufw default deny incoming 68 68 sudo ufw default allow outgoing ... ... @@ -71,7 +71,6 @@ 71 71 {{/code}} 72 72 73 73 Ou pour un contrôle plus fin : 74 - 75 75 {{code language="bash"}} 76 76 sudo nft add table inet filter 77 77 sudo nft add chain inet filter input { type filter hook input priority 0 \; } ... ... @@ -81,68 +81,59 @@ 81 81 sudo nft add rule inet filter input drop 82 82 {{/code}} 83 83 84 ---- --77 +--- 85 85 86 86 == 5. Configurations sensibles == 80 +* `/etc/sysctl.conf` pour le kernel : 81 + {{code language="bash"}} 82 + net.ipv4.ip_forward = 0 83 + net.ipv4.conf.all.accept_source_route = 0 84 + {{/code}} 87 87 88 - ##/etc/sysctl.conf##pour lenoyau:86 +* `/etc/login.defs` pour la politique des mots de passe 89 89 90 -{{code language="bash"}} 91 -net.ipv4.ip_forward = 0 92 -net.ipv4.conf.all.accept_source_route = 0 93 -{{/code}} 88 +* `/etc/ssh/sshd_config` : 89 + - Désactiver root : `PermitRootLogin no` 90 + - Forcer les clés : `PasswordAuthentication no` 94 94 95 - ##/etc/login.defs## pour la politique des mots de passe.92 +--- 96 96 97 -##/etc/ssh/sshd_config## : 98 - 99 -* Désactiver root : ##PermitRootLogin no## 100 -* Forcer les clés : ##PasswordAuthentication no## 101 - 102 ------ 103 - 104 104 == 6. Sécuriser les permissions et services == 95 +* Vérifier les **fichiers SUID** : 96 + {{code language="bash"}} 97 + find / -perm -4000 -type f 2>/dev/null 98 + {{/code}} 105 105 106 -Vérifier les **fichiers SUID** : 100 +* Utiliser `chmod`, `chown`, `ls -l` pour ajuster les permissions 101 +* Mettre en place `AppArmor` ou `SELinux` pour renforcer l’isolation 107 107 108 -{{code language="bash"}} 109 -find / -perm -4000 -type f 2>/dev/null 110 -{{/code}} 103 +--- 111 111 112 -* Utiliser ##chmod##, ##chown##, ##ls -l## pour ajuster les permissions 113 -* Mettre en place ##AppArmor## ou ##SELinux## pour renforcer l’isolation 114 - 115 ------ 116 - 117 117 == 7. Surveillance et audit == 118 - 119 -* Installer un IDS comme ##AIDE##, ##OSSEC##, ou ##Fail2Ban## 106 +* Installer un IDS comme `AIDE`, `OSSEC`, ou `Fail2Ban` 120 120 * Auditer les connexions SSH, sudo, root : 108 + {{code language="bash"}} 109 + journalctl -u ssh 110 + sudo lastlog 111 + {{/code}} 121 121 122 -{{code language="bash"}} 123 -journalctl -u ssh 124 -sudo lastlog 125 -{{/code}} 113 +--- 126 126 127 ------ 128 - 129 129 == 8. Autres bonnes pratiques == 116 +* Désactiver les modules inutiles (`/etc/modprobe.d/blacklist.conf`) 117 +* Monter `/tmp` et `/var/tmp` avec les options `noexec,nosuid,nodev` 118 +* Utiliser des partitions séparées : `/home`, `/var`, `/srv`, etc. 119 +* Activer la journalisation (`rsyslog`, `logrotate`) 130 130 131 -* Désactiver les modules inutiles (##/etc/modprobe.d/blacklist.conf##) 132 -* Monter ##/tmp## et ##/var/tmp## avec les options ##noexec,nosuid,nodev## 133 -* Utiliser des partitions séparées : ##/home##, ##/var##, ##/srv##, etc. 134 -* Activer la journalisation (##rsyslog##, ##logrotate##) 121 +--- 135 135 136 ------ 137 - 138 138 == Liens utiles == 124 +* [CIS Linux Benchmark](https://cisecurity.org) 125 +* [Debian Securing Manual](https://debian-handbook.info) 126 +* [ArchWiki: Hardening](https://wiki.archlinux.org/title/Security) 139 139 140 -* [[CIS Benchmarks>>https://www.cisecurity.org/cis-benchmarks]] 141 -* [[Manuel de sécurisation Debian>>https://www.debian.org/doc/manuals/securing-debian-manual/]] 142 -* [[ArchWiki : Security>>https://wiki.archlinux.org/title/Security]] 128 +--- 143 143 144 ------ 145 - 146 146 == Liens internes == 131 +* [[Retour à la section Tutos Linux>>Wiki Batcave John.TutosLinux]] 147 147 148 -* [[Retour à la section Tutos Linux>>doc:Wiki Batcave John.TutosLinux.WebHome]]