La bonne configuration pour protéger un serveur

Pour jouir d’une liberté de configuration maximale, l’hébergement de votre propre serveur reste la solution optimale. Les serveurs racine dédiés (Dedicated Root Servers), qui peuvent être loués auprès de nombreux fournisseurs et qui permettent d’avoir accès au compte racine (root account), constituent une alternative adéquate. Mais les étapes de gestion de base comme l’installation, la structuration et la maintenance du serveur demeurent du ressort du locataire, comme dans le cas de l’auto-hébergement. Avec ce type d’offre de serveur, le fournisseur ne prend généralement en charge qu’une installation initiale du système d’exploitation si cela est nécessaire. 

Indépendamment de la solution d’hébergement choisie, il est recommandé d’être prudent et responsable dans la conception et dans l’utilisation du compte racine. À cet égard, la sécurité joue un rôle essentiel : premièrement, une procédure erronée dans la zone racine est assez difficile à traiter et deuxièmement, une configuration correcte et adaptée constitue la base idéale pour renforcer la sécurité du serveur, sa stabilité et sa performance. Par exemple, pour sécuriser un serveur dédié et le protéger des accès externes, la modification obligatoire du mot de passe n’est que l’une des nombreuses mesures nécessaires pour renforcer la sécurité du serveur.

Avant même de commencer avec les précautions réelles et la configuration de votre serveur en toute sécurité, vous pouvez influencer le potentiel de sécurité futur de votre projet Web. Que vous ayez choisi un système Windows ou Linux, le principe suivant s’applique à l’installation : un serveur ne doit contenir que le logiciel dont il a besoin pour accomplir ses tâches. Ceci s’explique par le fait que chaque application installée constitue un potentiel risque de sécurité, et peut avoir un impact négatif sur la performance. Afin de restreindre la zone d’attaque potentielle pour les cybercriminels, il est conseillé d’installer ou d’activer uniquement les composants systèmes nécessaire, et de n’utiliser que des logiciels supplémentaires vérifiés.

A la fin de l’installation, vous devez d’abord définir un mot de passe racine (système Linux). Par défaut, aucune valeur n’est définie et le compte administrateur est bloqué jusqu’à ce que vous effectuiez une entrée correspondante. Mais en règle générale, le système d’exploitation correspondant vous invite automatiquement après l’installation à créer un compte utilisateur avec un mot de passe, qui fonctionne désormais comme accès racine. Si jamais vous avez loué votre serveur auprès d’un fournisseur et que vous avez reçu un login racine existant, il est recommandé de changer le mot de passe. Pour ce faire, vous pouvez vous connecter à votre serveur via SSH (à partir de Linux) ou PuTTY (à partir d’un système Windows) et saisir la commande suivante dans le terminal approprié pour une connexion racine afin de changer le mot de passe :

Vous pouvez définir le mot de passe, qui nécessite d’être vérifié. Assurez-vous de choisir un mot de passe aussi long que possible, avec des lettres mais aussi des chiffres et des caractères spéciaux. II peut être intéressant ici d’utiliser un gestionnaire de mots de passe pour le retrouver à tout moment en cas de doute. Ensuite, essayez de vous connecter à la nouvelle connexion racine. Si cela fonctionne comme vous le souhaitez, vous pouvez déconnecter la connexion SSH utilisée au début.

Pour sécuriser votre serveur, il est aussi conseillé de bloquer la connexion directe SSH pour le compte racine. Sinon, un attaquant qui s’est emparé du mot de passe pourrait utiliser le compte « root » pour accéder à distance au serveur et bloquer la connexion directe SSH. Avant de pouvoir réaliser cette tâche, vous avez toutefois besoin d’au moins un compte utilisateur supplémentaire en plus de l’utilisateur root, qui peut se connecter au serveur afin de ne pas être complètement bloqué hors du système. Si vous n’avez pas encore créé de profil utilisateur correspondant, vous pouvez utiliser la commande suivante :

Vous créez ainsi le compte utilisateur utilisateur1, qui est ajouté au groupe users (-g). De plus, le répertoire personnel /home/utilisateur1 est affecté à ce profil utilisateur (-d). La commande (-s /bin/bash) spécifie le bash shell comme shell par défaut. Vous pouvez ensuite définir un mot de passe sécurisé pour ce nouveau compte login :

À présent, vous pouvez tester si la connexion fonctionne avec le compte utilisateur créé et l’utiliser seulement en cas de succès avec le projet actuel (en vous bloquant hors du compte racine). Pour cela, il est nécessaire d’ouvrir à nouveau le fichier de configuration SSH sshd_config, que vous pouvez ouvrir avec l’éditeur de votre choix. Il suffit de rechercher l’entrée « PermitRootLogin yes » et de la remplacer par « PermitRootLogin no ». Vient ensuite le redémarrage du service SSH via la commande suivante :

La ligne AllowGroups dans le fichier de configuration permet également de spécifier quels utilisateurs sont autorisés à se connecter au serveur via SSH. Pour cela, il vous suffit simplement de créer un groupe (addgroup) et d’y ajouter les utilisateurs souhaités (adduser). Vous complétez ensuite le nom du groupe sélectionné dans sshd_config (par exemple AllowGroups ssh_utilisateur).

Cependant, en cas  d’accès SSH à votre serveur, vous devriez garder un œil sur toutes les activités distantes par la suite. Vous pouvez ainsi déterminer si vous avez sécurisé correctement le service SSH de votre serveur. En outre, la surveillance de ces activités signifie que vous êtes averti à un stade précoce par une bonne surveillance des connexions établies en cas d’accès non autorisé et vous permet de prendre les contre-mesures appropriées. Il suffit pour cela d’un simple script shell qui envoie automatiquement un email de notification à votre adresse à chaque fois qu’une connexion à distance à votre serveur est effectuée. 

Un script correspondant (ici : /opt/shell-login.sh), que vous pouvez facilement créer vous-même, ne doit contenir pour ce faire que le code suivant :

Ajoutez ensuite au fichier /etc/profile la ligne suivante :

Avec cette entrée, vous vous assurez que le script soit exécuté et en cas de connexion réussie, vous recevrez un email de notification à l’adresse désirée. La condition préalable est d’affecter le script au droit 755, ce que vous pouvez faire avec la commande suivante :

De base, aucun logiciel n’est exempt des vulnérabilités de sécurité mentionnées dans la section précédente. Cependant, les cybercriminels doivent d’abord découvrir la mauvaise programmation exploitable avant de pouvoir lancer une attaque. Généralement, les vulnérabilités connues sont comblées en très peu de temps à l’aide de la publication des mises à jour. En s’informant régulièrement des nouvelles mises à jour du système d’exploitation et des programmes installés, et en les effectuant en temps voulu, vous assurerez la meilleure protection possible à votre serveur. Presque tous les systèmes de serveur permettent de télécharger et d’installer automatiquement des mises à jour de sécurité importantes et en arrière-plan.

Par exemple, si vous souhaitez sécuriser un serveur Windows avec des mises à jour automatiques, vous pouvez définir des politiques spécifiques pour le processus de mise à jour dans « Windows Update ». De cette façon, vous pouvez configurer la fréquence et la date de vérification des mises à jour, si vous voulez que les mises à jour soient installées et enfin quand le système doit être redémarré. Il existe des scripts spécifiques pour les systèmes Linux comme apt-listchanges ou apticron, qui vous informent quotidiennement sur les nouveaux progiciels disponibles et les téléchargent. D’autres scripts comme unattended-upgrades se chargent de l’installation automatique.

Les hackers qui veulent accéder à votre serveur ou aux applications qui sont exécutées sur celui-ci ont à la base plusieurs options pour attaquer. L’un des types d’attaques les plus simples et les plus courants est la méthode dite par force brute. Dans ce cas, le pirate essaie d’accéder aux mots de passe à l’aide d’un outil qui essaie une option de connexion après l’autre. Cependant, plus vous avez été prévoyant et prudent dans l’attribution de vos mots de passe, moins il est probable que cette méthode soit efficace. Gardez à l'esprit que, surtout si vous offrez un service avec une option d'enregistrement, vous devez supposer que tous les utilisateurs ne seront pas aussi consciencieux et prudents qu’il est recommandé.

Heureusement, aucun logiciel complexe et coûteux n’est nécessaire pour se protéger contre de telles attaques : comme chaque tentative de connexion est enregistrée, traitée et enregistrée dans des fichiers journaux par votre serveur, des outils d’analyse simples peuvent vous aider. Fail2ban (Linux-/POSIX-Systeme) ou RdpGuard (Windows) vérifient les fichiers journaux pertinents, détectent les comportements inhabituels et permettent de bloquer l’adresse IP des utilisateurs suspects. Vous pouvez individuellement régler le nombre de tentatives infructueuses et l’imposition d’un verrouillage ou la durée de la validité.

Avec les suggestions de configurations recommandées, vous pouvez augmenter de manière significative la sécurité du serveur. Les différents paramétrages pour le processus de connexion et la restriction du compte racine confèrent à votre serveur un très haut niveau de sécurité en combinaison avec des mises à jour continues, des outils de surveillance et des logiciels de sécurité obligatoires. Cependant, même la meilleure configuration et maintenance dédiée ne peuvent assurer une protection totale du serveur. Les erreurs de programmes, les pannes matérielles ou la négligence personnelle peuvent facilement entrainer la perte de données dans le pire des cas. Il s’agit donc donc d’établir une stratégie de sauvegarde appropriée qui vous permettra, dans un tel scénario, de récupérer les fichiers.

Vous avez l’embarras du choix en ce qui concerne les outils puissants pour vous aider non seulement à créer des copies de sauvegarde mais aussi pour pouvoir les importer : une application gratuite qui doit être cependant mentionnée est le programme de synchronisation rsync, qui porte le nom du protocole du même nom et reste disponible en différentes versions pour presque toutes les plateformes courantes (MacOs, Windows, Linux). Cet outil permet de maintenir à jour la copie des données de votre serveur en reprenant toutes les modifications apportées à l’original en temps réel. La sauvegarde générale du serveur inclut également la sauvegarde des bases de données au programme obligatoire.