Sécurisation des services / Linux Résolu/Fermé

Question

Bonjour,

J'ai développé une petite architecture constituée d'outils de Cyber Threat Intelligence et de surveillance. 

Ces différents outils, tels que TheHive, Wazuh, Cortex, MISP etc., sont des services installés sur différents conteneurs et qui sont exécutés en root soit automatiquement au démarrage, ou soit avec systemctl start.

Je me suis ensuite intéressé à la sécurisation de tout ces services. J'ai tout d'abord créer des certificats SSL/TLS pour chacun d'entre eux. Ensuite, j'aimerais savoir qu'elles sont les sécurités à apporter à ces services, ou alors aux conteneurs portant les services ... Je n'ai jamais effectué de sécurisation de ce type, j'ai vu quelques exemples sur internet qui parle de créer un utilisateur spécifique pour lancer le service ... Cependant, j'aimerais avoir un peu plus de précisions et d'idées si possible.

Merci par avance

mamiemando · Answer

Bonjour,

La sécurité est un vaste sujet, donc voici quelques éléments de réponses assez généraux :

 On minimise les droits / accès (au sens des utilisateurs et du réseau)
 On essaye de lancer un service avec un utilisateur dédié. Généralement il est automatiquement créé à l'installation et la chaîne de démarrage l'utilise pour lancer le démon. Cela évite, si le service est compromis, que l'intrus soit directement root. Cependant, certains services nécessitent des droits root (par exemple à cause du port qu'ils utilisent, parce qu'ils doivent avoir accès à des opérations administrateurs, etc...)
 On choisit une bind address adéquate. Par exemple un serveur mysql n'a généralement besoin d'être accédé que par le serveur web colocalisé, et donc n'a besoin que d'écouter que le trafic interne à la machine. Dans ce scénario très classique, mysqld sera bindé avec 127.0.0.1 au lieu de 0.0.0.0.
 On peut utiliser un pare-feu "réseau" iptables pour contrôler qui accède au service. Plus généralement, la manière dont tu architectures ton réseau et qui peut accéder à quoi (IP publique vs IP locale, redirections de ports, etc...) influence les points d'entrées sur lesquels tu peux être attaqués
 Cloisonner les services à l'aide de container limite aussi les risques d'escalade.
 On bannit les connexions suspectes
 On peut utiliser des solutions comme fail2ban pour automatiquement ajouter dans iptables un filtre empêchant une IP cliente suspecte de se connecter. fail2ban se base typiquement sur les erreurs d'authentifications recensées dans les logs.
 On peut utiliser des NIDS comme snort pour détecter des tentatives d'intrusions.
 On sécurise autant que possible les connexions entre clients et serveurs et on surveille l'activité.
 On évite autant que possible les authentifications par mot de passe. Par exemple on préfère une clé ssh à un mot de passe, ou plus généralement un token si le service concerné en propose (cf par exemple des services comme pypi pour la CI).
 On utilise autant que possible des protocoles sécurisés et certifiés (ssh, https...) pour éviter que le trafic soit sniffé et s'assurer d'avec qui on communique.
 Si on est contraint d'utiliser des mots de passe, on s'assure autant que possible que ceux-ci ne sont pas triviaux.
 Des solutions de monitoring (nagios, cacti, munin) permettent de surveiller en temps réel la disponibilité des services et le taux d'utilisation des ressources. Cela permet de détecter des anomalies au sens large et peut en cas d'intrusion te mettre la puce à l'oreille.
 On essaye de maintenir le système à jour pour bénéficier des dernières mises à jour de sécurité. Certains site comme https://blog.qualys.com permettent de se tenir informé des dernières grosses menaces.
 Pour les plus motivés, on fait des tests de pénétrations (pas forcément besoin d'une distribution spécifique pour en faire).

Bonne chance

Sécurisation des services / Linux

1 réponse

Discussions similaires