--- title: "Cybersécurité : 5 conseils simples pour protéger ton serveur contre les pirates" date: 2018-03-10 language: fr topics: ["SSH", "cloud", "cyber-security", "data", "hacking", "howto", "linux", "networking", "programming", "server", "web", "work"] source_url: https://willem.com/fr/2018-03-10_cybersecurite-5-conseils-simples-pour-proteger-ton-serveur-contre-les-pirates/ --- # Cybersécurité : 5 conseils simples pour protéger ton serveur contre les pirates *Les bonnes pratiques de durcissement de serveur pour Windows et Linux* > Cette semaine, un de mes clients s'est fait pirater et m'a demandé une aide d'urgence pour sécuriser son infrastructure de serveurs. C'était un serveur web qui faisait tourner des sites WordPress sur Apache (avec PHP/MySQL), dont quelques boutiques en ligne contenant des données clients. Ce piratage aurait facilement pu être évité avec les bonnes pratiques suivantes. Et //ton// serveur, est-il sécurisé ? ![Le centre de données, c'est là que vit ton serveur. Même s'il est physiquement sécurisé, vérifie aussi ses logiciels !](https://willem.com/global/images/4a3f2a7449c7.webp) ## 1) Installe moins de logiciels La cybersécurité est déjà assez difficile, alors facilite-toi la vie en installant moins de logiciels. Moins de programmes, de services, de plugins, c'est moins de choses dont s'inquiéter. Dans le jargon de la cybersécurité, cela s'appelle réduire le vecteur d'attaque. ### Réduis ton vecteur d'attaque en : - **partant d'un système de base minimal** : ne commence pas avec un système d'exploitation complet et gonflé, pars de presque rien et garde la trace de ce que tu ajoutes - **n'installant que ce dont tu as absolument besoin** : installe les outils, plugins, extensions et programmes dont tu as vraiment (vraiment) besoin. Sois dur et déterminé : moins, c'est mieux ! - **vérifiant les dépendances de ce que tu installes** : quand tu installes quelque chose, vérifie les dépendances ; un logiciel exige souvent d'autres logiciels (dont tu ne veux pas forcément) ## 2) Ferme tous les ports réseau, filtre ceux que tu ne peux pas bloquer Les pare-feu servent à filtrer le trafic réseau et sont fournis en standard avec la plupart des systèmes d'exploitation. Limite les ouvertures que les pirates ont vers ton serveur. ### La configuration du pare-feu devrait : - **adopter une politique de blocage par défaut :** la plupart des systèmes d'exploitation autorisent tout par défaut. Inverse cela et bloque tout, sauf le trafic que tu attends et dont tu as besoin. - **contrôler l'entrant et le sortant :** filtre le trafic réseau entrant et sortant. Cela rend beaucoup plus difficile pour les pirates d'entrer (et de ressortir, en cas de piratage réussi). - **filtrer les ports ouverts :** sécurise les ports réseau ouverts en filtrant le trafic selon sa source (adresse IP) et/ou son état, et n'autorise que le trafic qui vient d'où tu l'attends. ## 3) Cache toutes les informations de version Les logiciels de ton serveur ont des versions, souvent un numéro indiquant la date exacte de leur compilation. Les pirates peuvent utiliser ces informations de version pour chercher les problèmes de sécurité, vulnérabilités et faiblesses connus. ### Arrête d'aider les pirates en supprimant les informations de version de : - **serveurs web :** Apache, NGINX, Microsoft Internet Information Services, etc. Vérifie ton serveur en analysant les en-têtes HTTP. - **serveurs de messagerie :** Postfix, Exim, Dovecot, Sendmail, etc. Souvent, ces serveurs communiquent leur version dans une « bannière d'accueil », affichée juste après l'établissement d'une connexion en SMTP, IMAP, POP3. - **langages web :** PHP, .NET, Java, etc. Parfois, ces frameworks et langages de script ajoutent leur propre en-tête HTTP (« x-powered-by ») avec des informations de version. - **WordPress :** plugins, thèmes, formulaires, galeries, boutiques en ligne, etc. Les informations de version sont souvent incluses dans le HTML généré ou dans les noms de fichiers de CSS, JavaScript et d'images. - **serveurs de fichiers :** FTP, SFTP, WebDAV, etc. Ces serveurs communiquent leurs informations de version dans leur message d'accueil, affiché dès la connexion, souvent avant l'authentification - **SSH :** savais-tu qu'OpenSSH communique par défaut la version du système d'exploitation ? ## 4) Utilise l'authentification par certificat/clé plutôt que par mot de passe Si les connexions par mot de passe sont autorisées, les pirates peuvent essayer d'accéder au serveur sans arrêt. Avec la puissance de calcul actuelle, il est facile d'automatiser ces tentatives en essayant combinaison après combinaison jusqu'à trouver le bon mot de passe (force brute). ### Sécurise l'authentification en : - **utilisant l'authentification par clé SSH :** une clé SSH est bien plus longue qu'un mot de passe normal et contient d'autres caractères que les lettres et chiffres lisibles ordinaires. Cela donne beaucoup plus de combinaisons possibles et rend la tâche exponentiellement plus difficile aux pirates pour trouver la bonne clé. - **limitant le rythme des authentifications** : ralentis artificiellement la vérification des mots de passe / clés pour réduire la vitesse des tentatives automatisées - **bloquant les tentatives automatisées :** exclus les adresses IP qui ont échoué à se connecter. ## 5) Vérifie et mets à jour régulièrement Aujourd'hui, la plupart des piratages sont automatisés : des bots scannent en permanence chaque serveur et chaque site web à la recherche de failles à exploiter. La question n'est pas de savoir *SI* ils te trouveront, mais *QUAND*. ### Prends soin de ton serveur en : - **consultant ses journaux : ** les problèmes potentiels deviennent souvent visibles avant que quoi que ce soit de vraiment grave ne se produise. Vérifie dans les journaux du serveur les erreurs et les anomalies ; ce sont souvent les premiers signes d'ennuis. - **cherchant les mises à jour : ** soit avec le logiciel de ton serveur, soit sur le site de l'éditeur ou du logiciel. - **mettant à jour régulièrement : ** n'attends pas qu'il soit trop tard, installe les mises à jour dès que possible (mais *après* les avoir testées !) ![Contrôle ton serveur régulièrement, ou trouve quelqu'un qui le fait pour toi.](https://willem.com/global/images/82d99c9ffa6b.webp) ## Conclusion En appliquant ces mesures, tu peux nettement améliorer la cybersécurité de ton serveur. Protéger ton serveur, c'est une meilleure sécurité pour ton entreprise, ton organisation et les données de tes clients. Aucun consultant en sécurité (sensé) ne te donnera de garanties : avec assez de moyens et de détermination, les piratages resteront toujours possibles. Prépare-toi en faisant des sauvegardes et en chiffrant tes données. J'espère que ces conseils t'aideront. Si tu as besoin d'aide supplémentaire, tu trouveras mes coordonnées ici (https://willem.com) pour me joindre, ou découvre mes services_de_cybersécurité (http://digidef.nl).