Il y a 389 articles et 19 utilisateurs inscrits (ce bandeau est défini dans MediaWiki:Sitenotice)

« Eole3 – Checklist mensuelle de sécurité » : différence entre les versions

De AJLSM
Aller à la navigation Aller à la recherche

Jlarvers (discussion | contributions)

3 groupes d'utilisateurs
2 791 modifications
annuler
VisuelWikicode
Page créée avec « = Eole3 – Checklist mensuelle de sécurité = == 1. Vérification Fail2ban == <pre> fail2ban-client status </pre> * Vérifier que les jails sont actives : ** sshd ** ... »
 
Aucun résumé des modifications
 
(Une version intermédiaire par le même utilisateur non affichée)
Ligne 1 : Ligne 1 :
= Eole3 – Checklist mensuelle de sécurité =
= EOLE3 — Checklist mensuelle de sécurité =


== 1. Vérification Fail2ban ==
{{Sommaire}}


<pre>
'''Serveur :''' EOLE3
 
'''Système :''' Ubuntu 24.04 LTS
 
'''Documentation de référence :''' [[EOLE3 — Accès, sécurité et pare-feu]]
 
== 1. Vérification du pare-feu ==
 
=== État du service ===
 
<syntaxhighlight lang="bash">
systemctl is-active ajlsm-firewall.service
systemctl is-enabled ajlsm-firewall.service
</syntaxhighlight>
 
Attendu :
 
<syntaxhighlight lang="text">
active
enabled
</syntaxhighlight>
 
=== Tables nftables ===
 
<syntaxhighlight lang="bash">
nft list tables
</syntaxhighlight>
 
Attendu :
 
<syntaxhighlight lang="text">
table inet f2b-table
table inet ajlsm_eole3
</syntaxhighlight>
 
=== Contrôle des règles ===
 
<syntaxhighlight lang="bash">
nft list table inet ajlsm_eole3
</syntaxhighlight>
 
Vérifier :
 
* politique INPUT DROP ;
* ports publics 80, 443 et 2022 ;
* SSH limité aux IP administratives ;
* réseau vRack autorisé ;
* absence d'ouverture publique NFS, Cockpit ou Lighttpd.
 
== 2. Vérification Fail2ban ==
 
<syntaxhighlight lang="bash">
systemctl status fail2ban --no-pager
fail2ban-client status
fail2ban-client status
</pre>
fail2ban-client status sshd
</syntaxhighlight>
 
Vérifier :


* Vérifier que les jails sont actives :
* service actif ;
** sshd
* jails réellement chargées ;
** sftpgo
* adresses bannies ;
** cockpit
* absence de bannissement administratif inattendu.


* Vérifier les IP bannies :
== 3. Vérification SSH ==
<pre>
fail2ban-client status sshd
</pre>


* Analyse rapide :
<syntaxhighlight lang="bash">
** Beaucoup d’IP bannies → normal
sshd -T | grep -E \
** Toujours les mêmes IP → OK
  '^(port|permitrootlogin|passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication) '
** Une IP connue → vérifier whitelist
</syntaxhighlight>


----
Contrôler :


== 2. Vérification Firewall (UFW) ==
* les méthodes d'authentification ;
* les comptes administratifs ;
* les restrictions des comptes SFTP ;
* les nouvelles connexions depuis les adresses autorisées.


<pre>
== 4. Vérification des services ==
ufw status verbose
</pre>


* Vérifier :
<syntaxhighlight lang="bash">
** port 22 ouvert
systemctl --failed
** port 2022 ouvert
systemctl status ssh fail2ban sftpgo apache2 --no-pager
** port 9090 limité aux IP autorisées
</syntaxhighlight>


* Vérifier absence d’ouverture non prévue
Contrôler également les services NFS, Lighttpd et de supervision selon leur configuration effective.


----
== 5. Vérification SFTPGo ==


== 3. Vérification accès SSH ==
<syntaxhighlight lang="bash">
systemctl status sftpgo --no-pager
journalctl -u sftpgo --since "1 month ago" --no-pager
</syntaxhighlight>


* Tester connexion SSH
Rechercher :
* Vérifier :
** accès OK depuis poste habituel
** pas de blocage inattendu


----
* tentatives de connexion inhabituelles ;
* erreurs d'authentification ;
* téléchargements anormalement volumineux ;
* comptes inutilisés ;
* activités suspectes.


== 4. Vérification SFTPGo ==
== 6. Vérification NFS ==


<pre>
<syntaxhighlight lang="bash">
journalctl -u sftpgo --since "1 month ago"
exportfs -v
</pre>
showmount -e localhost
</syntaxhighlight>


* Vérifier :
Vérifier :
** tentatives de connexion anormales
** utilisateurs inconnus
** erreurs répétées


* Nettoyage :
* les clients autorisés ;
** supprimer comptes inutilisés
* les exports ;
** vérifier permissions
* les droits d'accès ;
* le fonctionnement des montages depuis le vRack.


----
== 7. Vérification des ports en écoute ==


== 5. Vérification Cockpit ==
<syntaxhighlight lang="bash">
ss -tulpen
</syntaxhighlight>


* Tester accès web (port 9090)
Comparer les services en écoute avec les règles nftables.


Si KO :
'''Important :''' un service peut écouter sur une adresse publique tout en étant bloqué par le pare-feu.
* vérifier IP autorisée dans UFW


----
Le contrôle des sockets ne remplace donc pas un test depuis Internet.


== 6. Vérification logs système ==
== 8. Vérification des journaux ==


<pre>
<syntaxhighlight lang="bash">
journalctl -p err -b
journalctl -p err -b --no-pager
</pre>
journalctl -u ajlsm-firewall.service --since "1 month ago" --no-pager
</syntaxhighlight>


* Rechercher :
Rechercher :
** erreurs critiques
** services instables


----
* erreurs système répétées ;
* redémarrages inattendus ;
* échecs de chargement nftables ;
* anomalies réseau.


== 7. Vérification disque ==
== 9. Vérification ZFS ==


<pre>
<syntaxhighlight lang="bash">
zpool status
zpool list
zfs list
df -h
df -h
</pre>
</syntaxhighlight>


* Vérifier espace disponible
Vérifier :
* Alerte si > 80%


----
* état ONLINE ;
* absence d'erreurs de lecture, écriture ou checksum ;
* capacité disponible ;
* résultats des scrubs.


== 8. Vérification RAM / charge ==
== 10. Vérification des ressources ==


<pre>
<syntaxhighlight lang="bash">
free -h
free -h
uptime
uptime
</pre>
df -h
</syntaxhighlight>
 
Contrôler :
 
* mémoire disponible ;
* charge système ;
* occupation disque ;
* évolution des ressources par rapport aux contrôles précédents.
 
== 11. Vérification des mises à jour ==
 
<syntaxhighlight lang="bash">
apt update
apt list --upgradable
</syntaxhighlight>
 
Analyser les mises à jour disponibles.
 
Les mises à jour et redémarrages doivent être réalisés dans une fenêtre de maintenance adaptée.
 
== 12. Vérification de la supervision ==
 
Vérifier dans Centreon :
 
* disponibilité d'EOLE3 ;
* utilisation de l'adresse vRack <code>192.168.123.202</code> ;
* absence d'alertes persistantes ;
* fonctionnement des contrôles de services et de ressources.
 
== 13. Vérification des accès extérieurs ==
 
Réaliser périodiquement un test depuis une connexion indépendante du bureau et des VPN.


* Vérifier :
Ports publics attendus :
** mémoire disponible
** load average


----
* 80 ;
* 443 ;
* 2022.


== 9. Mise à jour système ==
Ports devant être bloqués depuis une adresse non autorisée :


<pre>
* 22 ;
apt update && apt upgrade
* 111 ;
</pre>
* 2049 ;
* 9001 ;
* 9090 ;
* 4330 ;
* 44321 à 44323.


* Appliquer les mises à jour de sécurité
Effectuer également un contrôle IPv6.


----
== 14. Vérification des sauvegardes et du retour arrière ==


== 10. Sauvegarde / retour arrière ==
Contrôler :


* Vérifier :
* l'état des sauvegardes ;
** accès SSH fonctionnel
* les possibilités de restauration ;
** possibilité d’intervention en cas de blocage
* l'accès administratif de secours ;
* la disponibilité des configurations précédentes ;
* la possibilité de désactiver le pare-feu AJLSM sans toucher à Fail2ban.


----
== 15. Synthèse du contrôle ==


== Résumé rapide ==
{| class="wikitable"
! Contrôle
! Résultat
! Observations
|-
| Pare-feu nftables
| À vérifier
|
|-
| Fail2ban
| À vérifier
|
|-
| SSH
| À vérifier
|
|-
| Apache / SFTPGo
| À vérifier
|
|-
| NFS / vRack
| À vérifier
|
|-
| Supervision Centreon
| À vérifier
|
|-
| ZFS
| À vérifier
|
|-
| Ressources système
| À vérifier
|
|-
| Mises à jour
| À vérifier
|
|-
| Sauvegardes
| À vérifier
|
|}


* Fail2ban actif
[[Catégorie:Eole3]]
* Firewall propre
[[Catégorie:Sécurité]]
* Accès OK (SSH / Cockpit)
[[Catégorie:Maintenance]]
* Logs propres
* Ressources OK
* Système à jour

Dernière version du 16 octobre 2026 à 12:34

EOLE3 — Checklist mensuelle de sécurité

[modifier | modifier le wikicode]

Modèle:Sommaire

Serveur : EOLE3

Système : Ubuntu 24.04 LTS

Documentation de référence : EOLE3 — Accès, sécurité et pare-feu

1. Vérification du pare-feu

[modifier | modifier le wikicode]

État du service

[modifier | modifier le wikicode]
systemctl is-active ajlsm-firewall.service
systemctl is-enabled ajlsm-firewall.service

Attendu : 

active
enabled

Tables nftables

[modifier | modifier le wikicode]
nft list tables

Attendu : 

table inet f2b-table
table inet ajlsm_eole3

Contrôle des règles

[modifier | modifier le wikicode]
nft list table inet ajlsm_eole3

Vérifier :

  • politique INPUT DROP ;
  • ports publics 80, 443 et 2022 ;
  • SSH limité aux IP administratives ;
  • réseau vRack autorisé ;
  • absence d'ouverture publique NFS, Cockpit ou Lighttpd.

2. Vérification Fail2ban

[modifier | modifier le wikicode]
systemctl status fail2ban --no-pager
fail2ban-client status
fail2ban-client status sshd

Vérifier :

  • service actif ;
  • jails réellement chargées ;
  • adresses bannies ;
  • absence de bannissement administratif inattendu.

3. Vérification SSH

[modifier | modifier le wikicode]
sshd -T | grep -E \
  '^(port|permitrootlogin|passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication) '

Contrôler :

  • les méthodes d'authentification ;
  • les comptes administratifs ;
  • les restrictions des comptes SFTP ;
  • les nouvelles connexions depuis les adresses autorisées.

4. Vérification des services

[modifier | modifier le wikicode]
systemctl --failed
systemctl status ssh fail2ban sftpgo apache2 --no-pager

Contrôler également les services NFS, Lighttpd et de supervision selon leur configuration effective.

5. Vérification SFTPGo

[modifier | modifier le wikicode]
systemctl status sftpgo --no-pager
journalctl -u sftpgo --since "1 month ago" --no-pager

Rechercher :

  • tentatives de connexion inhabituelles ;
  • erreurs d'authentification ;
  • téléchargements anormalement volumineux ;
  • comptes inutilisés ;
  • activités suspectes.

6. Vérification NFS

[modifier | modifier le wikicode]
exportfs -v
showmount -e localhost

Vérifier :

  • les clients autorisés ;
  • les exports ;
  • les droits d'accès ;
  • le fonctionnement des montages depuis le vRack.

7. Vérification des ports en écoute

[modifier | modifier le wikicode]
ss -tulpen

Comparer les services en écoute avec les règles nftables.

Important : un service peut écouter sur une adresse publique tout en étant bloqué par le pare-feu.

Le contrôle des sockets ne remplace donc pas un test depuis Internet.

8. Vérification des journaux

[modifier | modifier le wikicode]
journalctl -p err -b --no-pager
journalctl -u ajlsm-firewall.service --since "1 month ago" --no-pager

Rechercher :

  • erreurs système répétées ;
  • redémarrages inattendus ;
  • échecs de chargement nftables ;
  • anomalies réseau.

9. Vérification ZFS

[modifier | modifier le wikicode]
zpool status
zpool list
zfs list
df -h

Vérifier :

  • état ONLINE ;
  • absence d'erreurs de lecture, écriture ou checksum ;
  • capacité disponible ;
  • résultats des scrubs.

10. Vérification des ressources

[modifier | modifier le wikicode]
free -h
uptime
df -h

Contrôler :

  • mémoire disponible ;
  • charge système ;
  • occupation disque ;
  • évolution des ressources par rapport aux contrôles précédents.

11. Vérification des mises à jour

[modifier | modifier le wikicode]
apt update
apt list --upgradable

Analyser les mises à jour disponibles.

Les mises à jour et redémarrages doivent être réalisés dans une fenêtre de maintenance adaptée.

12. Vérification de la supervision

[modifier | modifier le wikicode]

Vérifier dans Centreon :

  • disponibilité d'EOLE3 ;
  • utilisation de l'adresse vRack 192.168.123.202 ;
  • absence d'alertes persistantes ;
  • fonctionnement des contrôles de services et de ressources.

13. Vérification des accès extérieurs

[modifier | modifier le wikicode]

Réaliser périodiquement un test depuis une connexion indépendante du bureau et des VPN.

Ports publics attendus :

  • 80 ;
  • 443 ;
  • 2022.

Ports devant être bloqués depuis une adresse non autorisée :

  • 22 ;
  • 111 ;
  • 2049 ;
  • 9001 ;
  • 9090 ;
  • 4330 ;
  • 44321 à 44323.

Effectuer également un contrôle IPv6.

14. Vérification des sauvegardes et du retour arrière

[modifier | modifier le wikicode]

Contrôler :

  • l'état des sauvegardes ;
  • les possibilités de restauration ;
  • l'accès administratif de secours ;
  • la disponibilité des configurations précédentes ;
  • la possibilité de désactiver le pare-feu AJLSM sans toucher à Fail2ban.

15. Synthèse du contrôle

[modifier | modifier le wikicode]
Contrôle Résultat Observations
Pare-feu nftables À vérifier
Fail2ban À vérifier
SSH À vérifier
Apache / SFTPGo À vérifier
NFS / vRack À vérifier
Supervision Centreon À vérifier
ZFS À vérifier
Ressources système À vérifier
Mises à jour À vérifier
Sauvegardes À vérifier
Récupérée de "https://mediawiki.ajlsm.com/index.php?title=Eole3_–_Checklist_mensuelle_de_sécurité&oldid=6485"