Principes généraux de sécurité et de durcissement
Minimisation
Seuls les composants strictement nécessaires au service rendu par le système sont installés.
Tout service (particulièrement en écoute active sur le réseau) est un élément sensible. Seuls ceux connus et requis pour le fonctionnement et la maintenance sont installés. Ceux dont la présence ne peut être justifiée sont désactivés,
désinstallés ou supprimés.
Les fonctionnalités configurées au niveau des services démarrés doivent être limitées
au strict nécessaire.
Moindre privilège
Tout objet ou entité gérée par un système ne dispose que des droits strictement nécessaires à son exécution, et rien de plus.
Défense en profondeur
Les services réseau sont autant que possible hébergés sur des environnements
distincts. Cela évite d’avoir d’autres services potentiellement affectés si l’un d’eux se
retrouve compromis sous le même environnement.
Veille et maintenance
Les mises à jour sont effectuées régulièrement. La distribution stable debian est utilisée.
Installation des systèmes
Installation de paquets réduite au strict nécessaire
Le choix des paquets conduit à une installation aussi petite que possible, se
bornant à ne sélectionner que ce qui est nécessaire au besoin.
Choix des dépôts de paquets
Seuls les dépôts officiels à jour de la distribution sont utilisés.
Mot de passe root et comptes administrateur
Le mot de passe root est choisi avec le plus grand soin et conformément aux recommandations actuelles. Sa connaissance est limitée aux seules personnes ayant le besoin d’en connaître.
Imputabilité des opérations d'administration
Chaque administrateur possède un compte dédié (local ou distant), et n’utilise pas le compte root comme compte d’accès pour l’administration du système.
Les opérations de changement de privilèges reposent sur des exécutables permettant de surveiller les activités réalisées (sudo).
Configuration et services système
Durcissement et surveillance des services soumis à des flux arbitraires
L’accès SSH n’est autorisé que via l’utilisation du VPN. La configuration interdit la connexion via l’utilisateur root. L’authentification se fait par clé ssh.
Paramétrage des sysctl réseau
L’ip_forwarding est systématiquement désactivé pour les serveurs ne faisant pas office de routeur.
Unicité et exclusivité des comptes de services
Chaque service possède son propre compte système qui lui est dédié exclusivement.
Droits d'accès aux fichiers de contenu sensible
Les fichiers à contenu sensible (exemple: certificats) ne sont lisibles que par les utilisateurs ayant le strict besoin d’en connaître.
Services et démons résidents en mémoire
Seuls les démons réseau strictement nécessaires au fonctionnement du système et du
service qu’ils rendent sont résidents et ne sont en écoute que sur les interfaces
réseau adéquates.
Les autres démons sont désactivés et autant que possible désinstallés.