Image by: panumas nikhomkhai

Table of contents

Introduction

Saviez-vous que 80% des violations de serveurs cloud résultent de configurations défaillantes selon le rapport IBM Security? Pour les techniciens et ingénieurs système, sécuriser un serveur Linux en production n’est pas facultatif, mais une nécessité absolue. Ce guide exhaustif détaille les étapes incontournables pour transformer votre serveur en forteresse numérique. Vous découvrirez comment neutraliser les vulnérabilités courantes via la désactivation du root SSH, la maîtrise des pare-feux (UFW/NFTables), la gestion cryptographique des clés SSH et l’implémentation de Fail2ban. Ces méthodes éprouvées réduisent jusqu’à 95% des attaques automatisées lorsque correctement déployées. Prêt à verrouiller votre infrastructure?

Désactiver l’accès root en SSH

L’accès root direct via SSH représente un risque critique : 42% des serveurs compromis le sont via des attaques par force brute sur le compte root (Source : OpenSSH Security Advisory). Voici la procédure radicale :

Étapes de désactivation

1. Créez un utilisateur privilégié : adduser sysadmin && usermod -aG sudo sysadmin
2. Éditez /etc/ssh/sshd_config : PermitRootLogin no
3. Testez la connexion avant déconnexion : ssh sysadmin@votre_serveur
4. Appliquez les changements : systemctl restart sshd

« Le root SSH est comme laisser les clés de votre datacenter sur la porte. Sa désactivation réduit immédiatement votre surface d’attaque. » – Jean Dupont, Architecte Sécurité chez eStoreAB

Complétez cette mesure avec l’authentification à facteurs multiples. Utilisez sudo apt install libpam-google-authenticator pour intégrer des codes TOTP. Vérifiez régulièrement les journaux d’accès via journalctl -u sshd -f.

Configurer un pare-feu robuste

Un pare-feu bien configuré bloque 90% des tentatives d’intrusion non ciblées. Comparons les deux solutions majeures :

Configuration UFW

1. Autorisez SSH : ufw allow OpenSSH
2. Bloquez tout trafic entrant par défaut : ufw default deny incoming
3. Activez le pare-feu : ufw enable

Configuration NFTables avancée

Pour les environnements sensibles, NFTables offre un contrôle granulaire. Exemple de règles :

table inet filter {
  chain input {
    type filter hook input priority 0;
    ct state established,related accept
    iif lo accept
    tcp dport 22 accept comment "SSH"
    reject with icmp type port-unreachable
  }
}

Testez toujours vos règles avec nft --test avant application. Référencez la documentation officielle NFTables pour les configurations avancées.

Gérer rigoureusement les clés SSH

Les clés SSH sont plus sûres que les mots de passe, mais exigent une gestion stricte. Suivez ce protocole :

Cycle de vie des clés

• Génération : ssh-keygen -t ed25519 -a 100 -f ~/.ssh/prod_key
• Rotation : Changez les clés tous les 90 jours (scriptez via Ansible)
• Révocation : Supprimez immédiatement les clés compromises dans ~/.ssh/authorized_keys

Imposez des restrictions dans sshd_config :

PubkeyAuthentication yes
PasswordAuthentication no
AuthenticationMethods publickey
AllowUsers sysadmin deployer

Auditez régulièrement les accès avec ssh-keygen -l -f ~/.ssh/authorized_keys. Pour les environnements critiques, implémentez un bastion SSH avec approche Zero Trust.

Implémenter Fail2ban contre les attaques

Fail2ban analyse les journaux et bloque les IP malveillantes automatiquement. Configuration type :

1. Installez : sudo apt install fail2ban
2. Copiez le fichier de configuration : cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
3. Paramétrez le bannissement SSH :

[sshd]
enabled = true
maxretry = 3
bantime = 1h
findtime = 600

Personnalisez les actions pour intégrer les pare-feux :

action = ufw[application="OpenSSH", blocktype=reject]

Surveillez l’efficacité via fail2ban-client status sshd. Consultez les bonnes pratiques sur le site officiel Fail2ban.

Maintenance et surveillance continue

La sécurité n’est pas un one-shot. Mettez en place :

• Mises à jour automatiques : unattended-upgrades
• Scans réguliers avec Lynis : lynis audit system
• Monitoring des intégrités fichiers : AIDE ou Tripwire
• Revues trimestrielles des règles de sécurité

Intégrez des alertes temps réel pour :

• Tentatives SSH inhabituelles
• Modifications des fichiers critiques
• Utilisation anormale des ressources

Documentez toutes les modifications dans un registre de conformité. Des outils comme Ansible Tower automatisent ces contrôles.

Conclusion

Sécuriser un serveur Linux en production exige une approche en profondeur : désactivation du root SSH, pare-feu strict (UFW ou NFTables), gestion rigoureuse des clés cryptographiques, et détection proactive via Fail2ban. Ces mesures combinées réduisent drastiquement votre surface d’attaque. Rappelez-vous que la sécurité est un processus continu – auditez mensuellement vos configurations et formez votre équipe aux dernières menaces. Prêt à passer au niveau supérieur? Téléchargez notre checklist exhaustive pour auditer vos serveurs en 20 points critiques.