Résumé des épisodes précédents. Nous avons évité les freeze de notre Dédibox puis avons commencé à la sécuriser.

Nous allons maintenant terminer le boulot.

Seconde partie – Chapitre 2 : Un peu de /proc, une once de fail2ban et un soupçon de chkrootkit

1/ Sécuriser les accès réseau :

Pour cette partie, je vous conseille de vous référer à cette excellente documentation.

• Protection contre le synflood :

Tapez^[1] :

# echo "1" > /proc/sys/net/ipv4/tcp_syncookies # echo "1024" > /proc/sys/net/ipv4/tcp_max_syn_backlog # echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

• Protection contre les redirections ICMP :

# echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects # echo "0" > /proc/sys/net/ipv4/conf/all/secure_redirects

• Logguer les Martiens^[2]

# echo "1" > /proc/sys/net/ipv4/conf/all/log_martians

• Faire fi du Source Routing :

# echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

• Yo. Pas de Smurf Attack chez moi :

# echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

Vous pouvez compléter en fouillant plus avant dans les options sysctl, si vous le souhaitez.

2/ Installer fail2ban :

Fail2ban permet d’éviter les gros nazes – et ils sont nombreux – qui tentent de s’introduire chez vous en les bannissant dès lors que le nombre de tentatives de connexion défini par vous est dépassé.

Installons la bête :

# apt-get install fail2ban

puis, éditons le fichier de configuration de fail2ban :

# nano /etc/fail2ban/jail.conf

Modifions les lignes de jail.conf comme suit :

 [ssh] enabled = true logpath = /var/log/auth.log port = ssh filter  = sshd timeregex = S{3}s{1,2}d{1,2} d{2}:d{2}:d{2} timepattern = %%b %%d %%H:%%M:%%S failregex = : (?:(?:Authentication failure|Failed [-/w+]+) for(?: illegal user)?|Illegal user|Did not receive identification) .$ maxretry = 3 findtime = 600 bantime = 1800 [postfix] enabled  = false port     = smtp filter   = postfix logpath  = /var/log/postfix.log

Redémarrons fail2ban-client et relançons le :

# fail2ban-client stop # fail2ban-client start

Et pour terminer, vérifions le bon fonctionnement :

# fail2ban-client -d

Vous devriez obtenir les premiers signes de fonctionnement de l’engin.

3/ Un détecteur de rootkit

Nous allons maintenant passer à l’installation de chkrootkit. Nous programmerons un envoi de mail automatique du rapport quotidien ensuite :

Tapez :

# sudo apt-get install chkrootkit

et éditez votre crontab

# crontab -e

et insérez cette ligne :

0 3 * * *  chkrootkit 2>&1 | mail votre@adresse.mail -s "Rapport quotidien RootKit"

De cette manière, vous recevrez tous les matins à 3 heures l’état des tentatives rootkit éventuelles.

C’est tout pour l’instant. La suite est consacrée à l’installation de PHP5, Mysql et Apache

Faites en profiter tout le monde :

Wikio