Fiche : Sécuriser un serveur tout neuf

À retenir

• Ordre sûr : autoriser SSH, puis activer le pare-feu ; installer la clé, puis couper les mots de passe.
• Toujours sudo sshd -t avant de recharger SSH, et une session de secours ouverte.
• CrowdSec = agent + bouncer, et une liste blanche pour soi.
• Correctifs automatiques avec unattended-upgrades, sauvegarde nocturne avec cron, copie hors du serveur.

Mémo

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable
ssh-copy-id eleve@serveur
echo "PasswordAuthentication no" | sudo tee /etc/ssh/sshd_config.d/10-securite.conf
sudo sshd -t && sudo systemctl reload ssh
sudo apt install crowdsec crowdsec-firewall-bouncer-iptables unattended-upgrades

Pièges à éviter

• Activer le pare-feu ou couper les mots de passe avant d'avoir un autre moyen d'entrer.
• Installer CrowdSec sans bouncer.
• Des sauvegardes uniquement sur le serveur lui-même.

Revoir la leçon et ses exercices