1. La réduction de la surface d’attaque

Le durcissement (system hardening) désigne l’ensemble des mesures techniques visant à sécuriser un système d’exploitation en éliminant les vulnérabilités potentielles et en limitant les privilèges opérationnels :

  • Désinstallation ou désactivation complète de tous les services, paquets logiciels et fonctionnalités superflus.
  • Fermeture systématique de tous les ports réseau non indispensables.
  • Remplacement des protocoles de gestion non chiffrés (Telnet, FTP, HTTP) par leurs équivalents sécurisés (SSH avec clés cryptographiques, SFTP, HTTPS).
  • Changement immédiat de tous les mots de passe et identifiants définis par défaut en usine.

2. Durcissement d’un serveur Linux (Debian / Ubuntu / RHEL)

Sur un environnement de production Linux, les mesures indispensables s’articulent autour de plusieurs verrous :

# 1. Sécurisation du service SSH (/etc/ssh/sshd_config) :
PermitRootLogin no               # Interdire la connexion directe du compte root
PasswordAuthentication no        # Forcer l'authentification exclusive par clés SSH (Ed25519)
MaxAuthTries 3                   # Limiter les tentatives de connexion infructueuses
Port 2222                        # (Optionnel) Changer le port par défaut pour filtrer les scans de masse

# 2. Pare-feu local (UFW ou NFTables) :
ufw default deny incoming        # Bloquer tout le trafic entrant par défaut
ufw default allow outgoing       # Autoriser le trafic sortant
ufw allow 2222/tcp               # N'ouvrir que le port d'administration SSH
ufw enable

# 3. Prévention des attaques en force brute :
# Déploiement et configuration de Fail2ban ou CrowdSec pour bannir les adresses IP suspectes

En complément, l’activation des modules de sécurité du noyau (Linux Security Modules) tels qu’AppArmor ou SELinux impose un contrôle d’accès obligatoire (MAC) confinant les processus même en cas de compromission root.

3. Durcissement d’un environnement Windows Server et Active Directory

Dans l’écosystème d’entreprise Microsoft, le durcissement s’applique principalement via les stratégies de groupe (GPO – Group Policy Objects) alignées sur les recommandations du CIS Benchmark (Center for Internet Security) :

  • Désactivation des protocoles hérités vulnérables : SMBv1 (vecteur majeur de propagation des ransomwares), NTLMv1 et LLMNR.
  • Déploiement du modèle d’administration par paliers (Tiering Model / Enterprise Access Model) isolant strictement les administrateurs de niveau 0 (Domain Controllers).
  • Activation d’AppLocker ou de Windows Defender Application Control (WDAC) pour interdire l’exécution d’exécutables ou de scripts non signés dans les répertoires temporaires utilisateurs.

Atelier pratique : Configurez une paire de clés SSH asymétriques basée sur l’algorithme robuste Ed25519 (ssh-keygen -t ed25519 -C "admin@ecole-info.ch"), transférez la clé publique sur un serveur de test et désactivez totalement l’authentification par mot de passe dans sshd_config.

PreviousNext