Sujet : hardening
-
Préparer la reprise avant un changement de durcissement : accès console, sauvegarde, retour arrière automatique planifié et journal des modifications
Méthode pour rendre tout changement de durcissement réversible avant de l'appliquer : vérifier l'accès hors bande, sauvegarder ce qui va changer, armer un retour arrière planifié qui se déclenche si rien ne confirme le succès, et journaliser le changement. Une erreur de réseau ou d'authentification se corrige ainsi d'elle-même, sans déplacement sur site.
-
Surveillance de l'intégrité des fichiers avec AIDE : construire la référence, comparer le système à celle-ci et conserver la base hors de l'hôte
AIDE compare le système de fichiers actuel à une base qu'il a construite auparavant : aide --init crée cette base, l'opérateur doit la mettre en place, et aide --check n'est fiable que si un attaquant ayant modifié l'hôte ne peut pas altérer aussi la référence stockée.
-
Installer et sécuriser le serveur OpenSSH intégré à Windows Server
Add-WindowsCapability installe la fonctionnalité OpenSSH Server ; le fichier sshd_config se trouve sous %ProgramData%\ssh. Les clés autorisées d'un administrateur doivent figurer dans administrators_authorized_keys, protégé par une ACL restrictive, faute de quoi le serveur les ignore, et DefaultShell détermine ce qu'exécute réellement une session SSH.
-
Benchmarks CIS et STIG DISA comme référentiel de durcissement : présentation et application sélective
Les CIS Benchmarks et les STIG de la DISA sont deux ensembles de recommandations de configuration maintenus indépendamment, qui proposent des niveaux de profil au choix plutôt qu'une cible unique. Appliquer un profil en bloc sans consigner les exceptions est une manière courante de casser un service de production lors d'un durcissement.
-
Analyser un hôte Linux par rapport à une référence de sécurité avec OpenSCAP
oscap xccdf eval exécute un profil SCAP Security Guide sur un hôte en fonctionnement ou sur une image hors ligne et produit un rapport lisible ; relire le script de remédiation généré avant de l'exécuter évite qu'une analyse automatisée ne provoque une panne automatisée.
Lisible par machine : JSON