Sécuriser un serveur Linux demande des choix méthodiques et une priorisation pragmatique des risques, car chaque service exposé augmente la surface d’attaque. Les administrateurs doivent combiner mises à jour, contrôle des accès et surveillance pour réduire les chances d’incident majeur.
La suite propose des étapes opérationnelles, des exemples de commandes et des principes applicables aux distributions courantes, en évitant l’enchaînement de listes sans contexte. Ces points clés conduisent naturellement à une synthèse des mesures à retenir
A retenir :
- Mises à jour système planifiées, correctifs critiques automatisés selon politique
- Accès SSH par clés uniquement, désactivation du login root sur hôtes
- Pare-feu restrictif, blocage des ports ouverts inutiles et filtrage par service
- Gestion des droits d’accès via sudo, politiques fines et journalisation centralisée
Mise à jour système et gestion des correctifs pour Linux
Ce volet reprend les priorités précédemment listées et les traduit en actions concrètes, car un système non patché reste la porte la plus couramment exploitée. Selon NIST, l’application rapide des correctifs réduit significativement la fenêtre d’exposition aux attaques connues.
Les outils fournis par les distributions facilitent la centralisation des mises à jour et l’automatisation des correctifs, mais ils demandent une politique de tests avant déploiement massif. Cette préparation prépare le lecteur au point suivant sur le durcissement de l’accès SSH.
Mesures recommandées :
- Automatisation des correctifs critiques uniquement
- Fenêtre de maintenance planifiée pour redémarrages
- Environnements de test pour validations pré-déploiement
Distribution
Gestionnaire
Commande d’installation
Remarque
Debian / Ubuntu
apt
sudo apt install unattended-upgrades
paquet officiel pour correctifs automatiques
Red Hat / CentOS
dnf / yum
sudo yum install dnf-automatic
option pour patch live du noyau selon ed.
Fedora
dnf
sudo dnf install dnf-automatic
configuration via systemd timer
SUSE
zypper
sudo zypper install yast2-online-update-configuration
configuration via YaST graphique ou CLI
« J’ai automatisé les mises à jour critiques, ce choix a réduit nos incidents et le temps de maintenance. »
Alice N., Informaticienne
Stratégies de déploiement des correctifs
Ce point s’inscrit directement dans la gestion centralisée des correctifs et détaille les méthodes de déploiement progressif. Selon l’ANSSI, le principe du déploiement par anneaux limite l’impact opérationnel lors de l’apparition d’un bug.
Appliquer des tests automatisés et des validations d’intégrité avant toute mise en production réduit les retours en arrière couteux. Ces étapes garantissent aussi la stabilité des outils d’administration à distance comme Ansible ou Puppet.
Options de patch :
- Patch par anneaux pour environnement production
- Validation automatisée des services après patch
- Rollback documenté en cas d’incident
Outils et gestionnaires de paquets
Ce sous-ensemble précise l’usage des formats DEB et RPM pour la maintenance quotidienne des paquets, et montre les commandes pratiques. Selon OWASP, centraliser les dépôts réduit le risque d’introduction de paquets non vérifiés.
La configuration des dépôts internes et la signature des paquets renforcent la chaîne d’approvisionnement logicielle et limitent l’installation de logiciels malveillants. Cette approche renforce ensuite la sécurité des accès SSH et des droits d’accès.
Sécuriser SSH, gestion des clés et contrôle des accès
Ce chapitre suit naturellement la gestion des correctifs et se concentre sur l’accès distant, la principale voie d’administration des serveurs Linux. La mise en place d’une authentification forte via clés SSH est une mesure prioritaire.
Il est recommandé de générer des clés ed25519 et d’utiliser ssh-copy-id pour déployer la clé publique, puis de désactiver l’authentification par mot de passe. Cette méthode réduit le risque d’attaque par force brute sur le port SSH.
Paramètres pratiques :
- Générer des clés ed25519 avec ssh-keygen
- Déployer avec ssh-copy-id sur les hôtes cibles
- Modifier /etc/ssh/sshd_config pour durcir l’accès
« La configuration des clés SSH m’a évité plusieurs tentatives d’intrusion sur mon VPS. »
Marc N., Administrateur système
Bonnes pratiques SSH et exemples
Ce passage explicite les options de sshd_config à appliquer pour limiter l’accès inutile et désactiver le root login. Exemples clefs : PermitRootLogin no et PasswordAuthentication no pour réduire la surface d’attaque.
Il est aussi pertinent de déplacer le service SSH sur un port non standard et d’utiliser le fichier ~/.ssh/config pour simplifier les accès administratifs. Ces réglages protègent autant que la surveillance active avec fail2ban.
Commandes et actions :
- ssh-keygen -t ed25519 pour créer une paire sécurisée
- ssh-copy-id pour installer la clé publique sur le serveur
- sudo systemctl restart sshd après modification du fichier de configuration
Action
Commande
But
Générer clé
ssh-keygen -t ed25519
authentification forte et rapide
Déployer clé
ssh-copy-id -i ~/.ssh/id_ed25519.pub remote@host
installation automatique des autorisations
Désactiver root
PermitRootLogin no (sshd_config)
réduction des attaques par privilège
Désactiver mot de passe
PasswordAuthentication no (sshd_config)
forçage des clés uniquement
Gestion des droits d’accès et sudo
Le réglage de /etc/sudoers via visudo permet d’attribuer des commandes précises sans donner de mot de passe globalement. Cette granularité limite les droits d’accès et facilite les audits de permission.
Exemple concret : autoriser le redémarrage d’un service spécifique sans mot de passe pour un utilisateur réduit le besoin d’accès root complet. Documenter ces exceptions évite les élévations accidentelles de privilège.
Règles de gestion :
- Utiliser visudo pour modifier /etc/sudoers en sécurité
- Attribuer uniquement les commandes nécessaires par utilisateur
- Consigner les exceptions dans un registre d’accès
« L’équipe a retrouvé un accès après un audit qui a révélé des droits sudo excessifs. »
Sophie N., Responsable IT
Surveillance, pare-feu et audit de sécurité continu
Après la réduction de la surface d’attaque, la surveillance et la journalisation deviennent essentielles pour détecter les anomalies et les répétitions d’attaque. Selon SANS, une corrélation efficace des logs accélère la réponse aux incidents.
Installez et configurez un pare-feu adapté à la distribution, comme ufw ou firewalld, et combinez-le avec fail2ban pour limiter les tentatives répétées. Cette combinaison diminue les faux positifs et les scans sur les ports ouverts.
Surveillance opérationnelle :
- Activation des logs système et centralisation
- Déploiement de fail2ban pour blocage automatique
- Analyse périodique des ports ouverts et services actifs
« L’utilisation de fail2ban et d’un pare-feu a réduit le bruit des scans automatisés. »
Paul N., Consultant sécurité
Pour un audit de sécurité, combinez scans automatisés et revues manuelles des logs, et intégrez un outil d’intégrité des fichiers comme AIDE. Une démarche régulière maintient la résilience du système face aux nouvelles menaces.
Vérification finale et passage vers les sauvegardes régulières permettent d’assurer une reprise rapide en cas de compromission, préparation indispensable pour tout environnement critique. Ce point ouvre sur la gestion des backups et des restaurations.