Je ne vais pas être exhaustive, la sécurité dépendant des modèles de menace, de l'infrastructure, et n'étant jamais parfaite. Je passe rapidement la configuration de base (ne pas pouvoir se co en “root”, utiliser sudo, paramétrer SSH) : un bon système est une base.

Tout ce qui suit est pour Debian Stable.

Checklist rapide. Configuration de :

• Gestion des utilisatrices (groupes Sudoers). Pas de compte “root” facile d'accès.
• SSH
• Pare-feu (nftables)
• Paramétrer l'envoi de mails depuis le serveur (msmtp ou autre)
• Journalisation et audit
• Fail2ban/Reaction
• Backup
• Monitoring et alertes

Moins de trucs installés = moins de surface d'attaque.

• Désactiver les modules noyaux inutiles ? (les lister ?)
• Désactiver les services inutiles
  • Lister : sudo systemctl list-unit-files –state=enabled
• Supprimer les paquets inutiles, éviter d'installer les “suggérés” et questionner l

• Paramétrer rsyslog (non je n'aime pas journald), logrotate
• Envoyer les logs à un serveur central (TODO : voir quel logiciel j'utilise pour ça).

Surveillance des modifications : voir AIDE/Samhain/OSSEC/Autre ? Rkhunter est obsolète.

Alertes de sécurités :

Alternative à Rkhunter ? Repérer les signatures de trucs foireux.

sudo apt install logwatch

Logwatch n'est pas un outil qui va agir, par contre il analyse les logs et en rends un rapport plus digeste. Si, vraiment plus digeste, ça permet de voir les bots.

C'est donc utile pour améliorer ses filtres. Une fois msmtp configuré (ou autre solution d'envoi de mail), créer le dossier pour Logwatch :

sudo mkdir /var/cache/logwatch

Et le paramétrer

sudo cp /usr/share/logwatch/default.conf/logwatch.conf /etc/logwatch/conf/
sudo nano /etc/logwatch/conf/logwatch.conf

Dans mon cas je permet surtout l'envoi du rapport par mail, mais à adapter si besoin (entre autre l'émetteur/Récepteur), et la quantité de détails (à adapter au fil des filtres…) :

/etc/logwatch/conf/logwatch.conf

Output = mail
Detail = 5

Pour MailTo on peut déclarer plusieurs adresses mails, séparées par un espace :

MailTo = mail1@moi.net mail2@moi.net 

Et un coup de cron journalier (sur root) :

15 1 * * * /usr/sbin/logwatch >/dev/null 2>&1 #logwatch

Lynis aide à auditer son système. Il ne fait rien seul, mais il aide à voir là où on est pas forcément top. Simplement sudo apt install lynis.

Pour voir la liste des options :

sudo lynis

Pour un check du systeme, en root :

lynis audit system

Des recommendations et conseils sont présents à la fin de l'analyse, suivant ce qui a été détecté. Moralité je vais pouvoir encore améliorer ma doc…

Est-ce utile de l'avoir ? Il y a énormément de failles, beaucoup n'étant pas forcément