Eole3 – Checklist mensuelle de sécurité

Eole3 – Checklist mensuelle de sécurité

1. Vérification des services critiques

systemctl list-units --type=service --state=running

• Vérifier la présence des services :
  • ssh
  • fail2ban
  • sftpgo
  • cockpit
  • nfs-kernel-server (nfs-*)
  • apache2
  • rsyslog

---

2. Vérification Fail2ban

fail2ban-client status

• Jails attendues :
  • sshd
  • sftpgo
  • cockpit

• Vérification SSH :

fail2ban-client status sshd

• Analyse :
  • Beaucoup d’IP bannies → normal
  • Toujours les mêmes IP → OK (bruteforce automatisé)
  • Une IP connue → vérifier whitelist

• Remarque :
  • sftpgo peut être vide si le service n’est pas encore exposé

---

3. Vérification Firewall (UFW)

ufw status verbose

• Ports attendus :
  • 22 (SSH)
  • 2022 (SFTPGo)
  • 8080 (API / interface SFTPGo)
  • 9090 (Cockpit – limité par IP)
  • 80 / 443 (HTTP/HTTPS)
  • 2049 (NFS – limité au LAN)

• Vérifier :
  • Cockpit limité aux IP autorisées
  • NFS limité au réseau interne (192.168.123.0/24)
  • aucune ouverture inattendue

• Vérification réelle des ports :

ss -tulpen

---

4. Vérification SSH

sshd -T | grep -E "permitrootlogin|passwordauthentication|port"

• Attendu :
  • port 22
  • PermitRootLogin no
  • PasswordAuthentication yes (à surveiller)

• Recommandation :
  • passer en authentification par clé si possible

---

5. Vérification SFTPGo

systemctl status sftpgo
journalctl -u sftpgo --since "1 month ago"

• Vérifier :
  • tentatives de connexion
  • erreurs
  • utilisateurs inconnus

• Ports utilisés :
  • 2022 → SFTP
  • 8080 → API / Web

• Remarque :
  • si non exposé → activité normale quasi nulle

---

6. Vérification Cockpit

systemctl status cockpit

• Tester accès : https://serveur:9090

• Vérifier :
  • accès limité par IP dans UFW

• Problème connu :
  • erreurs "lsdev" dans Cockpit (module ZFS)
  • non bloquant → lié à outil absent

---

7. Vérification NFS

exportfs -v
showmount -e localhost

• Vérifier :
  • exports limités aux IP internes
  • pas de "insecure" sauf cas spécifique
  • cohérence des clients autorisés

---

8. Vérification des logs système

journalctl -p err -b

• Rechercher :
  • erreurs répétées
  • services instables

• Cas normal :
  • erreurs SSH type "connection reset"
  • bruit réseau internet

---

9. Vérification disque (ZFS inclus)

df -h

• Alerte si :
  • > 80% sur dataset client

Cas observé :

• • certains datasets à ~84% → à surveiller

• Vérification ZFS :

zpool status

• Vérifier :
  • état ONLINE
  • aucun error
  • scrub OK

---

10. Vérification RAM / charge

free -h
uptime

• Vérifier :
  • RAM disponible (> 5-10 Go recommandé)
  • load average stable

---

11. Mise à jour système

apt update
apt list --upgradable
apt upgrade

• Vérifier :
  • absence d’erreur dépôt
  • mises à jour de sécurité appliquées

• Remarque :
  • redémarrage possible si noyau mis à jour

---

12. Vérification sauvegarde / rollback

• Vérifier :
  • accès SSH OK
  • accès console (Proxmox / KVM)
  • possibilité de rollback

---

Résumé rapide

• Services actifs (SSH / SFTPGo / NFS / Apache)
• Fail2ban actif (sshd / cockpit / sftpgo)
• Firewall maîtrisé (ports + restrictions IP)
• NFS sécurisé (LAN uniquement)
• Logs propres (hors bruit SSH)
• Stockage OK (ZFS sain, capacité surveillée)
• RAM et charge stables
• Système à jour