Hardening linux

Connexion SSH

Bien sur l'incontournalble Fail2ban un outil de hardening pour ssh.

sudo apt install fail2ban

Warning

Il arrive que dans certaine distribution le service fail2ban ne se lance pas automatiquement.

Bien vérifier que le service est bien lancé avec la commande suivante :

sudo systemctl status fail2ban

Si ce n'est pas le cas on peut le lancer avec la commande suivante regarder ce que le retour de la commande vous indique généralement fail2ban ne copmprend pas quelle système de journalisation vous utiliser vous pouvez le fix via la commande suivante :

touch /etc/fail2ban/jail.local
sudo tee /etc/fail2ban/jail.local > /dev/null <<'EOF'
[sshd]
backend = systemd
EOF
sudo systemctl restart fail2ban

Conteneurisation & Détection Runtime

Pour la détection d'anomalies sur les conteneurs et les appels système noyau, l'outil de référence est Falco.

Pour une mise en œuvre complète avec playbooks Ansible autonomes, sonde Modern eBPF et routage d'alertes : - Projet Détection Runtime Falco (Modern eBPF) - Démarrage Sécurisé Dracut UKI & TPM 2.0

Exemple de configuration très symple avec docker :

version: '3.3'
services:
    falco:
        image: falcosecurity/falco:latest
        container_name: falco
        privileged: true
        restart: always
        environment:
            - TZ=${TIME_ZONE}
        volumes:
            - /sys/kernel/tracing:/sys/kernel/tracing:ro
            - /var/run/docker.sock:/host/var/run/docker.sock
            - /proc:/host/proc:ro
            - /etc:/host/etc:ro
            - variable-falco_rules.local.yaml:/etc/falco/falco_rules.local.yaml

exemple aussi du fichier "whitelist" :

- macro: transmission_healthcheck                                                                          
  condition: (container.name = "transmission" and proc.name = "ping"

Tip

Dans cette exemple on whitelist les ping de transmission