Il y a 389 articles et 19 utilisateurs inscrits (ce bandeau est défini dans MediaWiki:Sitenotice)

« Eole3 – Checklist mensuelle de sécurité » : différence entre les versions

De AJLSM
Aller à la navigation Aller à la recherche
Modification suivante →

Jlarvers (discussion | contributions)

3 groupes d'utilisateurs
2 791 modifications
annuler
VisuelWikicode
Page créée avec « = Eole3 – Checklist mensuelle de sécurité = == 1. Vérification Fail2ban == <pre> fail2ban-client status </pre> * Vérifier que les jails sont actives : ** sshd ** ... »
 
Aucun résumé des modifications
Ligne 1 : Ligne 1 :
= Eole3 – Checklist mensuelle de sécurité =
= Eole3 – Checklist mensuelle de sécurité =


== 1. Vérification Fail2ban ==
== 1. Vérification des services critiques ==
 
<pre>
systemctl list-units --type=service --state=running
</pre>
 
* Vérifier la présence des services :
** ssh
** fail2ban
** sftpgo
** cockpit
** nfs-kernel-server (nfs-*)
** apache2
** rsyslog
 
----
 
== 2. Vérification Fail2ban ==


<pre>
<pre>
Ligne 7 : Ligne 24 :
</pre>
</pre>


* Vérifier que les jails sont actives :
* Jails attendues :
** sshd
** sshd
** sftpgo
** sftpgo
** cockpit
** cockpit


* Vérifier les IP bannies :
* Vérification SSH :
<pre>
<pre>
fail2ban-client status sshd
fail2ban-client status sshd
</pre>
</pre>


* Analyse rapide :
* Analyse :
** Beaucoup d’IP bannies → normal
** Beaucoup d’IP bannies → normal
** Toujours les mêmes IP → OK
** Toujours les mêmes IP → OK (bruteforce automatisé)
** Une IP connue → vérifier whitelist
** Une IP connue → vérifier whitelist
* Remarque :
** sftpgo peut être vide si le service n’est pas encore exposé


----
----


== 2. Vérification Firewall (UFW) ==
== 3. Vérification Firewall (UFW) ==


<pre>
<pre>
ufw status verbose
ufw status verbose
</pre>
</pre>
* Ports attendus :
** 22 (SSH)
** 2022 (SFTPGo)
** 8080 (API / interface SFTPGo)
** 9090 (Cockpit – limité par IP)
** 80 / 443 (HTTP/HTTPS)
** 2049 (NFS – limité au LAN)


* Vérifier :
* Vérifier :
** port 22 ouvert
** Cockpit limité aux IP autorisées
** port 2022 ouvert
** NFS limité au réseau interne (192.168.123.0/24)
** port 9090 limité aux IP autorisées
** aucune ouverture inattendue


* Vérifier absence d’ouverture non prévue
* Vérification réelle des ports :
<pre>
ss -tulpen
</pre>


----
----


== 3. Vérification accès SSH ==
== 4. Vérification SSH ==
 
<pre>
sshd -T | grep -E "permitrootlogin|passwordauthentication|port"
</pre>


* Tester connexion SSH
* Attendu :
* Vérifier :
** port 22
** accès OK depuis poste habituel
** PermitRootLogin no
** pas de blocage inattendu
** PasswordAuthentication yes (à surveiller)
 
* Recommandation :
** passer en authentification par clé si possible


----
----


== 4. Vérification SFTPGo ==
== 5. Vérification SFTPGo ==


<pre>
<pre>
systemctl status sftpgo
journalctl -u sftpgo --since "1 month ago"
journalctl -u sftpgo --since "1 month ago"
</pre>
</pre>


* Vérifier :
* Vérifier :
** tentatives de connexion anormales
** tentatives de connexion
** erreurs
** utilisateurs inconnus
** utilisateurs inconnus
** erreurs répétées


* Nettoyage :
* Ports utilisés :
** supprimer comptes inutilisés
** 2022 → SFTP
** vérifier permissions
** 8080 → API / Web
 
* Remarque :
** si non exposé → activité normale quasi nulle
 
----
 
== 6. Vérification Cockpit ==
 
<pre>
systemctl status cockpit
</pre>
 
* Tester accès : https://serveur:9090
 
* Vérifier :
** accès limité par IP dans UFW
 
* Problème connu :
** erreurs "lsdev" dans Cockpit (module ZFS)
** non bloquant → lié à outil absent


----
----


== 5. Vérification Cockpit ==
== 7. Vérification NFS ==


* Tester accès web (port 9090)
<pre>
exportfs -v
showmount -e localhost
</pre>


Si KO :
* Vérifier :
* vérifier IP autorisée dans UFW
** exports limités aux IP internes
** pas de "insecure" sauf cas spécifique
** cohérence des clients autorisés


----
----


== 6. Vérification logs système ==
== 8. Vérification des logs système ==


<pre>
<pre>
Ligne 81 : Ligne 145 :


* Rechercher :
* Rechercher :
** erreurs critiques
** erreurs répétées
** services instables
** services instables
* Cas normal :
** erreurs SSH type "connection reset"
** bruit réseau internet


----
----


== 7. Vérification disque ==
== 9. Vérification disque (ZFS inclus) ==


<pre>
<pre>
Ligne 92 : Ligne 160 :
</pre>
</pre>


* Vérifier espace disponible
* Alerte si :
* Alerte si > 80%
** > 80% sur dataset client
 
Cas observé :
** certains datasets à ~84% → à surveiller
 
* Vérification ZFS :
<pre>
zpool status
</pre>
 
* Vérifier :
** état ONLINE
** aucun error
** scrub OK


----
----


== 8. Vérification RAM / charge ==
== 10. Vérification RAM / charge ==


<pre>
<pre>
Ligne 105 : Ligne 186 :


* Vérifier :
* Vérifier :
** mémoire disponible
** RAM disponible (> 5-10 Go recommandé)
** load average
** load average stable


----
----


== 9. Mise à jour système ==
== 11. Mise à jour système ==


<pre>
<pre>
apt update && apt upgrade
apt update
apt list --upgradable
apt upgrade
</pre>
</pre>


* Appliquer les mises à jour de sécurité
* Vérifier :
** absence d’erreur dépôt
** mises à jour de sécurité appliquées
 
* Remarque :
** redémarrage possible si noyau mis à jour


----
----


== 10. Sauvegarde / retour arrière ==
== 12. Vérification sauvegarde / rollback ==


* Vérifier :
* Vérifier :
** accès SSH fonctionnel
** accès SSH OK
** possibilité d’intervention en cas de blocage
** accès console (Proxmox / KVM)
** possibilité de rollback


----
----
Ligne 130 : Ligne 219 :
== Résumé rapide ==
== Résumé rapide ==


* Fail2ban actif
* Services actifs (SSH / SFTPGo / NFS / Apache)
* Firewall propre
* Fail2ban actif (sshd / cockpit / sftpgo)
* Accès OK (SSH / Cockpit)
* Firewall maîtrisé (ports + restrictions IP)
* Logs propres
* NFS sécurisé (LAN uniquement)
* Ressources OK
* Logs propres (hors bruit SSH)
* Stockage OK (ZFS sain, capacité surveillée)
* RAM et charge stables
* Système à jour
* Système à jour

Version du 14 avril 2026 à 06:18

Eole3 – Checklist mensuelle de sécurité

1. Vérification des services critiques

systemctl list-units --type=service --state=running
  • Vérifier la présence des services :
    • ssh
    • fail2ban
    • sftpgo
    • cockpit
    • nfs-kernel-server (nfs-*)
    • apache2
    • rsyslog

2. Vérification Fail2ban

fail2ban-client status
  • Jails attendues :
    • sshd
    • sftpgo
    • cockpit
  • Vérification SSH :
fail2ban-client status sshd
  • Analyse :
    • Beaucoup d’IP bannies → normal
    • Toujours les mêmes IP → OK (bruteforce automatisé)
    • Une IP connue → vérifier whitelist
  • Remarque :
    • sftpgo peut être vide si le service n’est pas encore exposé

3. Vérification Firewall (UFW)

ufw status verbose
  • Ports attendus :
    • 22 (SSH)
    • 2022 (SFTPGo)
    • 8080 (API / interface SFTPGo)
    • 9090 (Cockpit – limité par IP)
    • 80 / 443 (HTTP/HTTPS)
    • 2049 (NFS – limité au LAN)
  • Vérifier :
    • Cockpit limité aux IP autorisées
    • NFS limité au réseau interne (192.168.123.0/24)
    • aucune ouverture inattendue
  • Vérification réelle des ports :
ss -tulpen

4. Vérification SSH

sshd -T | grep -E "permitrootlogin|passwordauthentication|port"
  • Attendu :
    • port 22
    • PermitRootLogin no
    • PasswordAuthentication yes (à surveiller)
  • Recommandation :
    • passer en authentification par clé si possible

5. Vérification SFTPGo

systemctl status sftpgo
journalctl -u sftpgo --since "1 month ago"
  • Vérifier :
    • tentatives de connexion
    • erreurs
    • utilisateurs inconnus
  • Ports utilisés :
    • 2022 → SFTP
    • 8080 → API / Web
  • Remarque :
    • si non exposé → activité normale quasi nulle

6. Vérification Cockpit

systemctl status cockpit
  • Vérifier :
    • accès limité par IP dans UFW
  • Problème connu :
    • erreurs "lsdev" dans Cockpit (module ZFS)
    • non bloquant → lié à outil absent

7. Vérification NFS

exportfs -v
showmount -e localhost
  • Vérifier :
    • exports limités aux IP internes
    • pas de "insecure" sauf cas spécifique
    • cohérence des clients autorisés

8. Vérification des logs système

journalctl -p err -b
  • Rechercher :
    • erreurs répétées
    • services instables
  • Cas normal :
    • erreurs SSH type "connection reset"
    • bruit réseau internet

9. Vérification disque (ZFS inclus)

df -h
  • Alerte si :
    • > 80% sur dataset client

Cas observé :

    • certains datasets à ~84% → à surveiller
  • Vérification ZFS :
zpool status
  • Vérifier :
    • état ONLINE
    • aucun error
    • scrub OK

10. Vérification RAM / charge

free -h
uptime
  • Vérifier :
    • RAM disponible (> 5-10 Go recommandé)
    • load average stable

11. Mise à jour système

apt update
apt list --upgradable
apt upgrade
  • Vérifier :
    • absence d’erreur dépôt
    • mises à jour de sécurité appliquées
  • Remarque :
    • redémarrage possible si noyau mis à jour

12. Vérification sauvegarde / rollback

  • Vérifier :
    • accès SSH OK
    • accès console (Proxmox / KVM)
    • possibilité de rollback

Résumé rapide

  • Services actifs (SSH / SFTPGo / NFS / Apache)
  • Fail2ban actif (sshd / cockpit / sftpgo)
  • Firewall maîtrisé (ports + restrictions IP)
  • NFS sécurisé (LAN uniquement)
  • Logs propres (hors bruit SSH)
  • Stockage OK (ZFS sain, capacité surveillée)
  • RAM et charge stables
  • Système à jour
Récupérée de "https://mediawiki.ajlsm.com/index.php?title=Eole3_–_Checklist_mensuelle_de_sécurité&oldid=6204"