Vérifier les vulnérabilités de mon site web

Bonjour,

J'ai récemment hébergé mon premier site web, qui n'est pas très complexe pour l'instant car il permet uniquement l'accès à des listes de répertoires. Par exemple, j'ai un URL qui permet d'accéder à une liste et un autre qui permet aussi d'accéder à une liste mais avec authentification basique. Cela représente deux Virtualhost dans la configuration Apache.

Bref, je m’intéresse principalement à sa sécurité avant de le faire évoluer.

Je viens vers vous pour pouvoir discuter des observations faites et des problèmes de sécurité auxquels je me questionne. De plus, les outils que j'utilise pourront peut-être donner des idées de recherche à certain ...

Tout d'abord, j'utilise un pare-feu Iptables avec lequel, pour l'instant, je ferme toutes les entrées hormis mes adresses IP.

Ensuite, j'ai installé Rapidscan sur une machine ayant accès à mon serveur, et je l'ai lancé.

• La première vulnérabilité observée étant que je n'avais pas de WAF, j'ai donc mis en place le WAF utilisé par Apache nommé ModSecurity. Bien évidemment pas n'importe comment, j'ai adapté les règles car beaucoup de faux-positifs sont présents. L'outil qui permet cette vérification s'appelle Wafw00f. L'idée est d'envoyer des requêtes avec différentes syntaxes de type injection,XSS, etc. afin de détecter un blocage. Pour mon cas, cela fonctionne 1 fois sur 3, c'est-à-dire que le WAF n'est pas toujours détecté. Mon WAF ne détecte donc pas toutes les "attaques" envoyées par l'outil et ce qui est dommage c'est que l'on a pas connaissance des requêtes envoyées ...
• Ensuite, plusieurs outils de brute force DNS du type Fierce, AMass, ils ont détectés certains noms de domaines, mais j'avoue ne pas trop comprendre les résultats. Il est donné un nom de domaine sous OVH, mais je n'arrive pas à comprendre le lien avec le mien (qui est sous OVH également). On me donne également une IP en /16 du type 192.168.0.0, sachant que mon IP du serveur est du type 192.168.1.0/24. Je ne comprends vraiment pas le truc :/
• J'ai eu une vulnérabilité concernant le XSS, il me dit que je n'ai pas l'en-tête de protection XSS. Je l'ai donc ajouté sur Apache. A savoir qu'il le détecte bien sur un URL lambda par contre lorsque je donne un URL avec authentification, il ne le trouve pas donc me redonne la vulnérabilité, je pense que c'est normal ? Outil utilisé : WhatWeb
• Avec Nmap, je détecte les ports basiques, 80,443,ssh, ce qui est normal
• Avec DirB, outil qui va permettre de chercher les répertoires ou fichiers ouverts, j'ai eu un seul résultat. Le répertoire hxxps://monserveur/javascript/query/query est ouvert et je ne sais pas d'où il sort. J'ai un peu cherché à comprendre, mais je n'arrive pas à savoir si c'est dangereux ou non et sinon comment le supprimer, s'il le faut ...
• Pour finir, j'ai été averti que mon serveur utilise la renégociation TLS. Cependant je me suis renseigné et ce protocole est utilisé uniquement pour les versions TLS avec les vulnérabilités patchées : "la renégociation n'est accordée qu'aux clients qui supportent la nouvelle extension du protocole" Source : https://httpd.apache.org/docs/current/mod/mod_ssl.html#ssloptions. Pour moi, je peux donc laisser comme ceci. Outil : SSLyze

A savoir que pour l'authentification, j'utilise mod_authn_dbd qui va permettre l'utilisation des identifiants en hash MD5 et des requêtes préparées. De plus, chaque Virutalhost compose les filtres supplémentaires "require ip" selon la volonté.

EDIT : une dernière vulnérabilité étant la version d'Apache, trop ancienne, cependant il suffit de vérifier les correctifs appliqués dans le paquet debian. Debian vérifie les CVE et applique les correctifs directement sur le paquet de la version "stable" sans modifier la version.