Cet article concerne l'audit de sécurité avec Lynis
Présentation
Au départ, j'avais l'intention d'écrire sur la manière de sécuriser un système serveur/poste de travail. Cependant, j'ai changé d'avis après avoir réalisé qu'il existait déjà cet outil éprouvé appelé lynis qui fait l'audit pour nous et aussi
nous fait des suggestions.
Lynis est un outil d'audit de sécurité pour les systèmes d'exploitation basés sur Unix. Dans cet article, je vais inspecter mon installation par défaut de Debian 11 avec lynis et essayez de sécuriser. Lynis effectue une analyse approfondie du système. Cela inclut des vérifications de base telles que les autorisations dans le système de fichiers pour même effectuer des tests spécifiques des logiciels et des bibliothèques installés sur un système.
Ainsi, il n'utilise et ne teste que les composants concernés par le système sur lequel il scanne. Par exemple, pour un serveur Web, il n'inclura que les tests liés au service Web après avoir effectué la vérification générale.
Audit de sécurité avec Lynis - Installation et réalisation d'audits
Lynis est un logiciel populaire. En tant que tel, nous l'installons facilement sur divers systèmes. Sur Debian, je peux l'installer en utilisant apt :
doas apt install -y lynis
Il est maintenant temps de l'essayer. On nous fournit un tas de commandes. Nous pouvons lire à leur sujet sur sa page de manuel. Demander à lynis pour effectuer une exécution d'audit système :
sudo lynis audit system
Cela prendra du temps.
Lynis donne à notre système un score de 61 , ce qui signifie qu'il a besoin de quelques travaux. Il nous a également fourni deux fichiers journaux que nous pouvons consulter. Le lynis.log stocke tous les détails techniques du scan et le lynis-report.dat contient les avertissements et les suggestions que nous devons examiner. Examinons donc les suggestions que Lynis nous a données. Il y aura des tonnes de suggestions.
Définir un mot de passe de chargeur de démarrage
L'une des suggestions fournies par lynis ici est de définir un mot de passe pour le chargeur de démarrage. Il est de notoriété publique que vous pouvez accéder au menu de votre chargeur de démarrage, modifier le paramètre des paramètres du noyau init=/bin/bash et réinitialisez facilement votre mot de passe root. Parfois, cela peut constituer une menace pour la sécurité. Nous pouvons vouloir nous assurer qu'aucun principal non autorisé ne peut modifier les paramètres de démarrage. Pourvu, la définition d'un mot de passe de chargeur de démarrage ne garantit pas nécessairement tout. C'est un niveau requis parmi les multiples niveaux de sécurité qu'un système devrait avoir.
Nous avons déjà abordé ce sujet sur notre blog. Cependant, la technologie évolue rapidement et certaines commandes sont obsolètes. Par conséquent, je vais simplement inclure les dernières techniques ici.
Voici comment définir un mot de passe pour grub. Exécutez le grub-mkpasswd-pbkdf2 commande et fournissez un mot de passe.
Maintenant, copiez le texte qui, selon grub, est votre mot de passe et ajoutez ce qui suit à /etc/grub.d/40_custom , en remplaçant les valeurs appropriées :
set superusers="<username>"
password_pbkdf2 <username> <copied password>
Changez maintenant les permissions du fichier de configuration pour qu'il ne soit modifiable que par root (doas est comme sudo ):
doas chmod 600 /etc/grub.d/40_custom
Régénérez les fichiers de configuration grub :
doas grub-mkconfig -o /boot/grub/grub.cfg
Ensuite, si nous redémarrons le système et essayons de modifier les paramètres de démarrage en entrant e dans le menu du chargeur de démarrage, GRUB nous demandera le nom d'utilisateur et le mot de passe.
Sécuriser un système est un processus très long. Par conséquent, j'ai décidé de ne pas couvrir toutes les suggestions que Lynis m'a données dans cet article unique. Au contraire, ce sera un peu comme une série d'articles en plusieurs parties où je passerai en revue les suggestions données par lynis et procéder à la sécurisation de mon système. C'est tout pour le moment; restez à l'écoute pour en savoir plus !
Références
- Site Web officiel
- Lynis – SourceForge
- Trucs et astuces GRUB – Arch Wiki