Dans ce chapitre, vous allez voir comment sécuriser un minimum votre serveur LAMP. L'idée ici n'est pas de vous donner un cours de cybersécurité, mais de vous montrer comment sécuriser au minimum son serveur.

Ne pas autoriser la connexion SSH en root

Cette partie est uniquement informative.

Lors de la configuration du service SSH, nous avons laissé la possibilité de se connecter à distance en utilisant le compte root.

La première chose à faire, serait donc de créer un compte (par exemple "superuser") avec lequel vous pourriez vous connecter en SSH, et de désactiver la connexion à distance en root.

La commande pour ajouter un utilisateur est :

adduser mon_utilisateur

Pour passer en root une fois connecté avec l'utilisateur, on utiliserait la commande :

su

Installer un pare-feu : UFW

Mais qu'est ce que c'est UFW ? et quelle différence avec IPTABLES qui est déjà installé par défaut ?

Le pare-feu, inclus dans le noyau linux, c'est NETFILTER.

IPTABLES est un frontend de netfilter. (Une interface permettant de l'utiliser)

La syntaxe d'IPTABLES est assez complexe pour un débutant, c'est pourquoi un autre frontend a été développé : UFW.

Vous aurez donc à la fois IPTABLES et UFW installés et ce n'est pas problématique.

Pour la configuration du pare-feu, je vous donne tous les éléments nécessaires, à vous d'utiliser ce qu'il vous faut en fonction de votre installation et de vos besoins.

(à effectuer en administrateur bien évidemment ! -> root)

Installez le paquet UFW :

apt-get install ufw

Configurez les règles par défaut :

ufw default allow incoming

ufw default allow outgoing

Pour autoriser le SSH :

ufw allow ssh

ufw allow 22000 (le port SSH que nous avons configuré précédemment)

Pour autoriser les ports 80 et 443 (HTTP et HTTPS) on peut utiliser le nom de l'application :

ufw allow 'WWW Full'

ufw delete allow 'WWW'

ufw allow openssh

Pour voir l'effet des règles que vous avez tapé, vous pouvez obtenir un résumé avec la commande status :

ufw status verbose

On se retrouve souvent à ouvrir les mêmes ports suivant les applications que l'on a lancé sur notre serveur. ufw contient une liste d'application avec les ports standards à ouvrir :

ufw app list

Supprimer une règle :

ufw delete allow 80

ufw delete allow "WWW"

Activer le pare-feu :

ufw enable

Insérez dans votre procédure une capture d'écran montrant la configuration de votre pare-feu. Vous devez avoir un minimum de règles et uniquement des règles utiles à votre infrastructure.

Fail2ban : pour empêcher les "brute force attack"

Vous effectuerez cette étape depuis la console de votre VM, afin de ne pas vous couper l'accès par erreur si vous utilisez Putty.

Fail2ban, comme son nom l'indique, est un utilitaire conçu pour aider à protéger les machines Linux contre les attaques par force brute sur certains ports ouverts, en particulier le port SSH. Pour des raisons de fonctionnalité et de gestion du système, ces ports ne peuvent pas être fermés à l'aide d'un pare-feu. Dans ce cas, il est judicieux d'utiliser Fail2ban comme mesure de sécurité supplémentaire à un pare-feu pour limiter le trafic d'attaque par force brute sur ces ports.

Dans votre cas, vous n'avez pas ouvert le port SSH sur votre box (pas de redirection de port). Ce point de configuration ne va donc rien changer. Vous allez uniquement le configurer par intérêt pédagogique. (continuez de lire, c'est obligatoire )

Installez le paquet fail2ban :

apt-get install fail2ban -y

Après l'installation, le service Fail2ban démarre automatiquement. Vous pouvez utiliser la commande suivante pour afficher son état:

service fail2ban status

Pour information :

Sur Debian, les paramètres par défaut du filtre Fail2ban seront stockés dans le fichier:

/etc/fail2ban/jail.conf

et le fichier :

/etc/fail2ban/jail.d/defaults-debian.conf

Attention ! les paramètres de ce dernier remplace les paramètres correspondants du premier !

Vous pouvez utiliser les commandes suivantes pour avoir plus de détails :

cat /etc/fail2ban/jail.conf | less

cat /etc/fail2ban/jail.d/defaults-debian.conf

fail2ban-client status

fail2ban-client status sshd

Voyons à présent comment configurer fail2ban pour protéger le port SSH.

Exemple de configuration pour le fichier /etc/fail2ban/jail.conf :

[DEFAULT]bantime = 600 durée du bannissement en secondemaxretry = 5 nombre maximum de tentatives avant banissement[sshd] nom du service à surveillerenabled = true pour activer cette règleport = ssh port du service en question (ssh ou 22000)logpath = %(sshd_log)s l'emplacement des fichiers de log à surveillerbackend = %(sshd_backend)s le moteur de surveillance des logs

Étant donné que le contenu des deux fichiers de configuration ci-dessus pourrait changer dans les futures mises à jour du système, vous devez créer un fichier de configuration local pour stocker vos propres règles de filtrage fail2ban. Encore une fois, les paramètres de ce fichier remplaceront les paramètres correspondants des deux fichiers mentionnés ci-dessus.

vim /etc/fail2ban/jail.local

Votre mission à présent est de configurer ce fichier pour :

configuration pour SSHD pour le port 22000
autoriser 3 tentatives de connexion maximum
bannir l'IP pour 60 secondes

Inspirez vous des lignes de conf que je vous ai donné un peu plus haut.

N'oubliez pas de redémarrer le service pour appliquer la configuration :

service fail2ban restart

Validation :

connectez vous avec Putty en SSH sur votre VM en rentrant un mauvais mot de passe
recommencez 4 fois
si vous êtes banni, félicitation, fail2ban est correctement configuré

Pour information :

Redémarrer le service fail2ban permet de réinitialiser les blocages.

Insérez dans votre procédure :

une capture d'écran de la configuration de votre fichier :
- /etc/fail2ban/jail.local
une capture d'écran de l'accès refusé dans Putty après 3 échecs de connexion
une capture du fichier de logs montrant que votre IP est bien bannie
- /var/log/fail2ban.log

Pour aller plus loin :

Documentation complète de fail2ban en français :https://doc.ubuntu-fr.org/fail2ban

Sécuriser (un peu) son serveur LAMP