← Retour au portail

🐧 Module L6 – Sécurisation des serveurs Linux

📘 Fiche de cours ⏱️ 3h 🎯 Bloc 2 – SISR
Objectifs : durcir un serveur Linux, configurer un pare-feu, utiliser Fail2ban et auditer la sécurité.

📖 Introduction

La sécurisation d'un serveur Linux est essentielle pour protéger les données et les services. Ce module couvre le durcissement (hardening), le pare-feu (iptables/nftables), Fail2ban et l'audit de sécurité.

🎯

À l'issue de ce module, vous serez capable de :

Appliquer les bonnes pratiques de durcissement.
Configurer iptables/nftables.
Utiliser Fail2ban pour bloquer les attaques.
Auditer un serveur avec Lynis.

🔒 Durcissement (Hardening)

Désactiver les services inutiles : systemctl disable service
Mettre à jour régulièrement : apt update && apt upgrade
Chiffrement des disques : LUKS.
Politique de mots de passe : /etc/security/pwquality.conf.

🔥 Pare-feu (iptables/nftables)

iptables : iptables -L, iptables -A INPUT -p tcp --dport 22 -j ACCEPT
nftables : successeur plus moderne.
UFW : interface simplifiée.

🚫 Fail2ban

Installation : apt install fail2ban
Fichier : /etc/fail2ban/jail.local
Protection : bannir les IP après plusieurs échecs.

📋 Audit de sécurité

Lynis : apt install lynis && lynis audit system
ClamAV : antivirus.
Rkhunter : détection de rootkits.

🛠️ Mise en pratique

6.1 – Configurer iptables

Bloquer tout le trafic entrant sauf SSH et HTTP :

iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

INPUT DROP : tout bloquer par défaut.
ESTABLISHED,RELATED : autoriser les connexions existantes.

6.2 – Configurer Fail2ban

Activer la protection SSH :

nano /etc/fail2ban/jail.local
[sshd]
enabled = true
maxretry = 3
bantime = 3600

enabled = true : active la protection.
maxretry = 3 : 3 échecs avant bannissement.
bantime = 3600 : bannissement d'une heure.

📝 Exercices d'application

Exercice 1 – iptables

Quelle règle autorise le trafic SSH ?

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

Exercice 2 – Fail2ban

Où se trouve le fichier de configuration de Fail2ban ?

/etc/fail2ban/jail.local

🎯 Quiz d'auto‑évaluation

1. La commande iptables -P INPUT DROP :

A) Autorise tout le trafic entrant. B) Bloque tout le trafic entrant par défaut. C) Vide les règles iptables.

2. Fail2ban permet de :

A) Bannir les IP après plusieurs échecs. B) Scanner les ports ouverts. C) Auditer la sécurité.

3. Lynis est un outil d' :

A) Pare-feu. B) Gestion des processus. C) Audit de sécurité.

4. Pour mettre à jour un serveur Debian, on utilise :

A) apt install B) apt update && apt upgrade C) systemctl restart

5. La directive PermitRootLogin no dans sshd_config permet de :

A) Désactiver le login root. B) Activer le login root. C) Changer le port SSH.