Il y a 389 articles et 19 utilisateurs inscrits (ce bandeau est défini dans MediaWiki:Sitenotice)

Eole3 – Checklist mensuelle de sécurité

De AJLSM
Aller à la navigation Aller à la recherche

EOLE3 — Checklist mensuelle de sécurité

[modifier | modifier le wikicode]

Modèle:Sommaire

Serveur : EOLE3

Système : Ubuntu 24.04 LTS

Documentation de référence : EOLE3 — Accès, sécurité et pare-feu

1. Vérification du pare-feu

[modifier | modifier le wikicode]

État du service

[modifier | modifier le wikicode]
systemctl is-active ajlsm-firewall.service
systemctl is-enabled ajlsm-firewall.service

Attendu : 

active
enabled

Tables nftables

[modifier | modifier le wikicode]
nft list tables

Attendu : 

table inet f2b-table
table inet ajlsm_eole3

Contrôle des règles

[modifier | modifier le wikicode]
nft list table inet ajlsm_eole3

Vérifier :

  • politique INPUT DROP ;
  • ports publics 80, 443 et 2022 ;
  • SSH limité aux IP administratives ;
  • réseau vRack autorisé ;
  • absence d'ouverture publique NFS, Cockpit ou Lighttpd.

2. Vérification Fail2ban

[modifier | modifier le wikicode]
systemctl status fail2ban --no-pager
fail2ban-client status
fail2ban-client status sshd

Vérifier :

  • service actif ;
  • jails réellement chargées ;
  • adresses bannies ;
  • absence de bannissement administratif inattendu.

3. Vérification SSH

[modifier | modifier le wikicode]
sshd -T | grep -E \
  '^(port|permitrootlogin|passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication) '

Contrôler :

  • les méthodes d'authentification ;
  • les comptes administratifs ;
  • les restrictions des comptes SFTP ;
  • les nouvelles connexions depuis les adresses autorisées.

4. Vérification des services

[modifier | modifier le wikicode]
systemctl --failed
systemctl status ssh fail2ban sftpgo apache2 --no-pager

Contrôler également les services NFS, Lighttpd et de supervision selon leur configuration effective.

5. Vérification SFTPGo

[modifier | modifier le wikicode]
systemctl status sftpgo --no-pager
journalctl -u sftpgo --since "1 month ago" --no-pager

Rechercher :

  • tentatives de connexion inhabituelles ;
  • erreurs d'authentification ;
  • téléchargements anormalement volumineux ;
  • comptes inutilisés ;
  • activités suspectes.

6. Vérification NFS

[modifier | modifier le wikicode]
exportfs -v
showmount -e localhost

Vérifier :

  • les clients autorisés ;
  • les exports ;
  • les droits d'accès ;
  • le fonctionnement des montages depuis le vRack.

7. Vérification des ports en écoute

[modifier | modifier le wikicode]
ss -tulpen

Comparer les services en écoute avec les règles nftables.

Important : un service peut écouter sur une adresse publique tout en étant bloqué par le pare-feu.

Le contrôle des sockets ne remplace donc pas un test depuis Internet.

8. Vérification des journaux

[modifier | modifier le wikicode]
journalctl -p err -b --no-pager
journalctl -u ajlsm-firewall.service --since "1 month ago" --no-pager

Rechercher :

  • erreurs système répétées ;
  • redémarrages inattendus ;
  • échecs de chargement nftables ;
  • anomalies réseau.

9. Vérification ZFS

[modifier | modifier le wikicode]
zpool status
zpool list
zfs list
df -h

Vérifier :

  • état ONLINE ;
  • absence d'erreurs de lecture, écriture ou checksum ;
  • capacité disponible ;
  • résultats des scrubs.

10. Vérification des ressources

[modifier | modifier le wikicode]
free -h
uptime
df -h

Contrôler :

  • mémoire disponible ;
  • charge système ;
  • occupation disque ;
  • évolution des ressources par rapport aux contrôles précédents.

11. Vérification des mises à jour

[modifier | modifier le wikicode]
apt update
apt list --upgradable

Analyser les mises à jour disponibles.

Les mises à jour et redémarrages doivent être réalisés dans une fenêtre de maintenance adaptée.

12. Vérification de la supervision

[modifier | modifier le wikicode]

Vérifier dans Centreon :

  • disponibilité d'EOLE3 ;
  • utilisation de l'adresse vRack 192.168.123.202 ;
  • absence d'alertes persistantes ;
  • fonctionnement des contrôles de services et de ressources.

13. Vérification des accès extérieurs

[modifier | modifier le wikicode]

Réaliser périodiquement un test depuis une connexion indépendante du bureau et des VPN.

Ports publics attendus :

  • 80 ;
  • 443 ;
  • 2022.

Ports devant être bloqués depuis une adresse non autorisée :

  • 22 ;
  • 111 ;
  • 2049 ;
  • 9001 ;
  • 9090 ;
  • 4330 ;
  • 44321 à 44323.

Effectuer également un contrôle IPv6.

14. Vérification des sauvegardes et du retour arrière

[modifier | modifier le wikicode]

Contrôler :

  • l'état des sauvegardes ;
  • les possibilités de restauration ;
  • l'accès administratif de secours ;
  • la disponibilité des configurations précédentes ;
  • la possibilité de désactiver le pare-feu AJLSM sans toucher à Fail2ban.

15. Synthèse du contrôle

[modifier | modifier le wikicode]
Contrôle Résultat Observations
Pare-feu nftables À vérifier
Fail2ban À vérifier
SSH À vérifier
Apache / SFTPGo À vérifier
NFS / vRack À vérifier
Supervision Centreon À vérifier
ZFS À vérifier
Ressources système À vérifier
Mises à jour À vérifier
Sauvegardes À vérifier
Récupérée de "https://mediawiki.ajlsm.com/index.php?title=Eole3_–_Checklist_mensuelle_de_sécurité&oldid=6485"