PCTAMALOU

🔬 Mission pratique – Laboratoire (2 heures)

Architecture du Lab Hardening

⚠️ Préparation de l'Environnement

Étapes Détaillées de Hardening

Étape 1 : Installation et Audit Initial

# Mise à jour système
sudo apt update && sudo apt upgrade -y

# Installation Lynis
sudo apt install lynis -y

# Audit complet initial (notez le score)
sudo lynis audit system --quick
# ou pour un audit détaillé
sudo lynis audit system

# Sauvegarde du rapport initial
sudo lynis audit system --quick --report-file /tmp/lynis-before.txt
cat /tmp/lynis-before.txt | grep -A5 "Hardening Index"Copier

Étape 2 : Hardening CIS Level 1 Systématique

2.1 : Mises à Jour Automatiques

# CIS 1.1.1.1 - Ensure unattended upgrades are installed
sudo apt install unattended-upgrades apt-listchanges -y

# Configuration
sudo dpkg-reconfigure --priority=low unattended-upgrades

# Vérification
sudo systemctl status unattended-upgrades
cat /etc/apt/apt.conf.d/50unattended-upgrades | grep -i "update"Copier

2.2 : Hardening SSH (Critique)

# Backup de la configuration originale
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

# CIS 5.2.1 - Ensure permissions on /etc/ssh/sshd_config are configured
sudo chmod 600 /etc/ssh/sshd_config
sudo chown root:root /etc/ssh/sshd_config

# Modification de la configuration SSH
sudo nano /etc/ssh/sshd_configCopier

# Ajouter/modifier ces lignes :
PermitRootLogin no                    # CIS 5.2.8
Protocol 2                            # CIS 5.2.2
MaxAuthTries 4                        # CIS 5.2.4
ClientAliveInterval 300               # CIS 5.2.13
ClientAliveCountMax 2
LoginGraceTime 60
AllowUsers votre_utilisateur          # Restreindre aux utilisateurs autorisés
PubkeyAuthentication yes              # CIS 5.2.11
PasswordAuthentication yes            # À désactiver en prod avec clés SSH
X11Forwarding no                      # CIS 5.2.15

# Redémarrer SSH
sudo systemctl restart sshd

# Test de connexion (dans une autre session pour éviter le lockout)
ssh -o ConnectTimeout=5 localhost echo "SSH fonctionnel"Copier

2.3 : Permissions des Fichiers Système

# CIS 6.1.2 - Ensure permissions on /etc/passwd are configured
sudo chmod 644 /etc/passwd

# CIS 6.1.3 - Ensure permissions on /etc/shadow are configured
sudo chmod 600 /etc/shadow
sudo chown root:shadow /etc/shadow

# CIS 6.1.4 - Ensure permissions on /etc/group are configured
sudo chmod 644 /etc/group

# CIS 6.1.5 - Ensure permissions on /etc/gshadow are configured
sudo chmod 600 /etc/gshadow
sudo chown root:shadow /etc/gshadow

# CIS 6.1.6 - Ensure permissions on /etc/passwd- are configured
sudo chmod 600 /etc/passwd-

# Vérification
ls -la /etc/passwd /etc/shadow /etc/groupCopier

2.4 : Désactivation des Services Inutiles

# Liste des services courants inutiles sur un serveur
SERVICES="bluetooth cups avahi-daemon rpcbind nfs-kernel-server"

for service in $SERVICES; do
    if systemctl is-active --quiet $service 2>/dev/null; then
        echo "Désactivation de $service"
        sudo systemctl stop $service
        sudo systemctl disable $service
    fi
done

# Vérification
sudo systemctl list-units --type=service --state=running | grep -E "$(echo $SERVICES | tr ' ' '|')"Copier

2.5 : Configuration du Firewall (UFW)

# CIS 3.5.1.1 - Ensure ufw is installed
sudo apt install ufw -y

# Configuration basique
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Autoriser SSH (adaptez le port si modifié)
sudo ufw allow OpenSSH

# Optionnel : autoriser HTTP/HTTPS si serveur web
# sudo ufw allow 80/tcp
# sudo ufw allow 443/tcp

# Activation
sudo ufw --force enable

# Vérification
sudo ufw status verboseCopier

2.6 : Sécurisation de sudo

# CIS 5.3.1 - Ensure sudo is installed
sudo apt install sudo -y

# CIS 5.3.2 - Ensure sudo commands use pty
echo "Defaults use_pty" | sudo tee -a /etc/sudoers

# CIS 5.3.3 - Ensure sudo log file exists
echo "Defaults logfile=\"/var/log/sudo.log\"" | sudo tee -a /etc/sudoers

# Vérification
sudo visudo -cCopier

2.7 : Configuration sysctl pour sécurité réseau

# CIS 3.1.1 - Ensure IP forwarding is disabled
echo "net.ipv4.ip_forward=0" | sudo tee -a /etc/sysctl.conf

# CIS 3.2.1 - Ensure source routed packets are not accepted
echo "net.ipv4.conf.all.accept_source_route=0" | sudo tee -a /etc/sysctl.conf
echo "net.ipv4.conf.default.accept_source_route=0" | sudo tee -a /etc/sysctl.conf

# CIS 3.2.2 - Ensure ICMP redirects are not accepted
echo "net.ipv4.conf.all.accept_redirects=0" | sudo tee -a /etc/sysctl.conf
echo "net.ipv4.conf.default.accept_redirects=0" | sudo tee -a /etc/sysctl.conf

# Application
sudo sysctl -pCopier

Étape 3 : Audit Final et Vérification

# Audit final
sudo lynis audit system --quick --report-file /tmp/lynis-after.txt

# Comparaison des scores
echo "=== AVANT ==="
cat /tmp/lynis-before.txt | grep -A5 "Hardening Index"
echo ""
echo "=== APRÈS ==="
cat /tmp/lynis-after.txt | grep -A5 "Hardening Index"

# Rapport détaillé des améliorations
sudo lynis audit system --tests-from-group authentication
sudo lynis audit system --tests-from-group networkingCopier

Étape 4 : Documentation Professionnelle

# Rapport de Hardening CIS - Ubuntu Server
## Informations Générales
- **Date** : {{date}}
- **Système** : Ubuntu Server 22.04 LTS
- **Responsable** : Votre Nom
- **Scope** : CIS Level 1 Benchmark

## Métriques de Performance
| Métrique | Avant | Après | Amélioration |
|----------|-------|-------|--------------|
| Score Lynis | 48 | 85 | +37 points |
| Services actifs | 45 | 32 | -13 services |
| Ports ouverts | 8 | 3 | -5 ports |

## Contrôles Appliqués
### Catégorie 1 : Accès Initial
- [x] Désactivation root SSH (CIS 5.2.8)
- [x] Configuration timeout SSH (CIS 5.2.13)
- [x] Restriction utilisateurs SSH

### Catégorie 2 : Services
- [x] Désactivation bluetooth, cups, avahi
- [x] Configuration firewall UFW
- [x] Mises à jour automatiques

### Catégorie 3 : Permissions
- [x] Sécurisation /etc/shadow (600)
- [x] Sécurisation /etc/passwd (644)
- [x] Configuration sudo sécurisée

## Tests de Validation
1. ✅ Connexion SSH avec utilisateur autorisé
2. ✅ Refus connexion SSH root
3. ✅ Firewall bloque ports non autorisés
4. ✅ Mises à jour automatiques fonctionnelles

## Recommandations Futures (CIS Level 2)
1. Implémentation SELinux/AppArmor
2. Configuration auditd avancée
3. Intégration centralisée des logs
4. MFA pour SSH

## Annexes
- [Rapport Lynis complet](lynis_report.txt)
- [Liste commandes exécutées](commands.log)
- [Backup configurations](backups/)

Exercice Avancé : Script d'automatisation

#!/bin/bash
# cis_hardener.sh - Automatisation hardening CIS
set -e

BACKUP_DIR="/backup/$(date +%Y%m%d_%H%M%S)"
mkdir -p "$BACKUP_DIR"

backup_config() {
    echo "Backup de $1..."
    cp "$1" "$BACKUP_DIR/"
}

apply_cis_control() {
    echo "Application: $1"
    # Implémentation des contrôles
}

# Structure principale
main() {
    echo "=== CIS Hardener ==="
    backup_config "/etc/ssh/sshd_config"
    backup_config "/etc/sudoers"
    # ... autres backups
    
    apply_cis_control "ssh_hardening"
    apply_cis_control "file_permissions"
    # ... autres contrôles
    
    echo "Hardening complet. Backup dans: $BACKUP_DIR"
}

main "$@"