Lea Linux - Contributions [fr]

Reseau-secu-firewall

2008-08-12T13:20:59Z

Leaserge : /* Firewall */

[[Category:Sécurité]]
= Firewall =

{{Historique}}

<div class="leatitre">Firewall</div><div class="leapar">par Serge (légèrement modifié par Jicé)</div><div class="leadesc">Protégez vous derrière un mur de feu.</div>
----

Ce document a été inspiré du [http://www.freenix.org/unix/linux/HOWTO/Firewall-HOWTO.html Firewall-HOWTO], de l'[http://www.freenix.org/unix/linux/HOWTO/IPCHAINS-HOWTO.html IPCHAINS-HOWTO] et du [http://www.freenix.org/unix/linux/HOWTO-vo/IP-Masquerade-HOWTO.html IP-Masquerade-HOWTO]. C'est la synthèse de ces trois documents pour permettre la mise en place des techniques de Firewalling. Je vous conseille quand même de lire ces HOWTO pour plus de compréhension. Je suppose que vous savez configurer un réseau IP, au cas où jeter un coup d'oeil sur la rubrique [[Reseau-cxion locale-lan|réseau local]]. Il se peut que des erreurs se soient glissées dans cette présentation, de plus je ne pourrai être tenu responsable d'une mauvaise configuration de votre système. La sécurité est un sujet vaste, toujours en évolution et je ne prétends pas vous fournir ici une solution exempte de tout danger. Ce document est à prendre comme une présentation de ces techniques.

'''''<font color="#FF0000">ATTENTION: rubrique non finie, le filtrage plus fin et les techniques de proxy ne sont pas encore décrits.</font>'''''

== Explications ==

<div style="margin-bottom: 0in">Bon qu'est un Firewall ? Si on traduit, cela nous donne « pare-feu » , vous allez me dire « ha bon mon micro me protège du feu ? », bien sûr que non, un Firewall sert en fait à protéger un réseau vis à vis d'un autre ou d'autre réseaux.</div><div style="margin-bottom: 0in">Plusieurs types de Firewall existent et ne travaillent pas de la même façon et n'offrent pas les mêmes sécurités.</div><div style="margin-bottom: 0in">Les Firewall sont de plus en plus utilisés pour protéger les réseaux locaux d'entreprises vis à vis de l'internet. Il s'agit en fait d'une machine qui est reliée vers l'extérieur (Internet) et vers le réseaux local aussi et qui en quelque sorte analyse le trafic réseau qui la traverse pour savoir si oui ou non elle laisse passer ce trafic que ça soit dans un sens ou dans l'autre :</div><blockquote><tt> _ ---- _ ________ +---> PC2</tt><br /><tt> ( ) | | |</tt><br /><tt>( INTERNET )<---->|FIREWALL|<---+---> PC3</tt><br /><tt> (_ _) |________| |</tt><br /><tt> ---- +---> PC4</tt></blockquote>

== Les différents types de Firewall ==

<div style="margin-bottom: 0in">Le Firewall le plus simple est une machine qui possède une connexion vers l'extérieur et une autre sur le réseau local et qui ne transmet pas le trafic réseau d'un réseau à l'autre. Si une machine du réseau local veut accéder vers l'extérieur, elle ouvre en fait une session sur le Firewall, et travaille directement sur cette machine pour accéder vers l'extérieur. De ce fait aucun trafic réseau de l'extérieur ne peut rentrer sur le réseau local.

Vous avez compris les problèmes que cela engendre :

* on travaille directement sur le Firewall donc chaque utilisateur qui va par exemple « naviguer » sur le web vas lancer un nouveau processus « navigateur »,
* on n'a pas accès directement à sa machine avec ses ressources mais à celle du Firewall, et la protection s'arrête juste a une authentification d'utilisateur.

Ce type de Firewall en fait ne filtre absolument rien et peut donc être sujet à la moindre attaque extérieure. En fait il n'est plus utilisé, on va dire que c'est le « Firewall préhistorique » en quelque sorte. Voyons maintenant les types de Firewall utilisés :</div>

=== <font color="#FF6666">Les Firewalls à filtrage de paquets</font> ===

<div style="text-indent: 0.49in; margin-bottom: 0in">Ils travaillent sur les paquets réseaux eux-même. Pour les personnes qui ont des connaissances réseaux, ce type de Firewall travaille sur la couche réseau du modèle OSI. Ils analysent les paquets entrants/sortants suivant leur type, leurs adresses source et destination et les ports. Comme ils travaillent directement sur la couche IP, ils sont très peu gourmands en mémoire.

Avec Linux ce style de filtrage au niveau de la couche IP est intégré directement dans le noyau, il suffit donc d'avoir un 486 avec 8 Mo de mémoire et d'une distribution Linux avec juste un kernel de base et la couche IP pour faire un tel Firewall.

De plus ils sont totalement transparents pour les utilisateurs, pas d'authentification pour aller vers l'extérieur et pas de paramétrages spécifiques sur les machines des utilisateurs. Un désavantage, c'est qu'il n'y a pas d'authentification possible par utilisateur mais par adresse IP. C'est à dire que si l'on veut en interne interdire à certaine personnes d'aller vers l'extérieur ce n'est possible que si l'on connaît l'adresse de la machine de cet utilisateur, on ne peut pas empêcher que la personne aille sur une autre machine et il faut de plus que les machines aient toujours la même adresse, ce qui peut poser problème lorsqu'on on utilise [[DHCP]].

</div>

=== <font color="#FF6666">Les Firewalls Proxy</font> ===

<div style="margin-bottom: 0in">Les Proxy serveur sont utilisés pour contrôler et analyser tout trafic avec l'extérieur. Certains proxies utilisent en plus un cache, c'est à dire qu'ils stockent des données en local, ce qui permet de réduire le trafic réseau, en effet si une même donnée est demandée plusieurs fois, au lieu d'aller la chercher au nouveau vers l'extérieur c'est le proxy lui même qui la fournit. Leur fonctionnement dépend de leur type :</div>

==== <font color="#CC33CC">Proxy d'applications</font> ====

<div style="margin-bottom: 0in">Leur fonctionnement ressemble un peu au fonctionnement du premier Firewall, c'est à dire quand une application d'une machine locale va vers l'extérieur, en fait elle se connecte sur le Proxy et c'est le Proxy lui-même qui va chercher l'information puis la renvoyer vers la machine demandeuse.</div><div style="margin-bottom: 0in">Un exemple : vous voulez récupérer un fichier via FTP sur internet, en fait votre client FTP vas se connecter sur le proxy qui va faire serveur FTP, le Proxy va en même temps ouvrir une session FTP sur le serveur distant, il va récupérer le fichier cible et vous le renvoyer via son serveur FTP. En fait c'est toujours le Proxy qui récupère les données et vous les renvoie.</div><div style="margin-bottom: 0in">Ça à l'avantage d'être très sécurisé pour la machine cliente, ça fait cache la plupart du temps donc ça réduit le trafic réseau, ça peut permettre l'authentification aussi si l'on oblige une authentification sur les applications du Proxy. Par contre ça demande des configurations spéciales sur les clients, ça demande aussi d'installer sur le proxy les applications serveur de chaque protocole que l'on souhaite fournir aux utilisateurs et ça consomme énormément de ressources.</div>

==== <font color="#CC33CC">Proxy « SOCKS »</font> ====

<div style="margin-bottom: 0in">Il ne travaille pas sur les applications, en fait il « refait » en quelque sorte les connexions. Le client passe par le Proxy qui lui en interne refait la connexion vers l'extérieur. Comme les Firewalls filtrants, ils ne font pas d'authentification, mais peuvent quand même enregistrer l'utilisateur qui a demandé la connexion.</div>

== Pré-installation d'un Firewall filtrant sous Linux ==

<div style="margin-bottom: 0in">On va dans cette partie configurer le kernel pour préparer notre système à devenir un Firewall filtrant.</div><div style="margin-bottom: 0in">Comme je l'ai dit plus haut, les Firewall filtrants sont facilement configurables sous Linux car ils sont pris en charge directement dans le noyau de Linux. Ce type de Firewall étant très léger, il vous suffit d'un 486 avec 16 voire 8 Mo de RAM. Vous avez besoin aussi suivant la version du kernel :</div>

* Version 1.x.x : une copie de <tt>ipfwadm</tt> (mais bon je vous conseille vivement de passer a une version supérieure de kernel).
* Version 2.0.x : <tt>ipwadm</tt> est sûrement déjà présent, vérifiez quand même.
* Version 2.2.x : <tt>ipchains</tt> (sûrement présent aussi).
* ''Version 2.3.x et 2.4 à venir : le format de firewall a encore changé, il n'est pas encore décrit dans ce document.''

<div style="margin-bottom: 0in">Pour ce document je décris la manière de mettre en place tout ça pour un kernel de version 2.2.X car à mon goût le Firewall est beaucoup plus sûr avec ce kernel (stack IP plus sûre et <tt>ipchains</tt> bien plus puissant que <tt>ipwadm</tt>), de plus il est facile de trouver une distribution à base de kernel 2.2.X, les 2.0.X deviennent rare.</div><div style="margin-bottom: 0in">Si vous voulez de plus faire un Proxy, récupérez l'un de ces programmes :</div>

* Squid
* TIS Firewall toolkit (FWTK)
* Socks

<div style="margin-bottom: 0in">Une recherche sur freshmeat vous trouvera ça :) Mais bon pour l'instant ce document ne traite que des Firewall filtrant, j'ajouterais une rubrique Proxy plus tard.</div><div style="margin-bottom: 0in">Bon il faut maintenant configurer le kernel pour activer ce filtrage. Cochez les options suivantes :</div><div style="margin-bottom: 0in"><tt><y> Enable experimental</tt></div><div style="margin-bottom: 0in"> <br /><tt><y> Enable loadable module support</tt></div><div style="margin-bottom: 0in"> <br /><tt><*> Packet socket</tt></div><div style="margin-bottom: 0in"><tt>[ ] Kernel/User netlink socket</tt></div><div style="margin-bottom: 0in"><tt>[y] Network firewalls</tt></div><div style="margin-bottom: 0in"><tt>[ ] Socket Filtering</tt></div><div style="margin-bottom: 0in"><tt><y> Unix domain sockets</tt></div><div style="margin-bottom: 0in"><tt>[y] TCP/IP networking</tt></div>

<tt>[ ] IP: multicasting</tt>

<tt>[y] IP: advanced router</tt>

<tt>[ ] IP: kernel level autoconfiguration</tt>

<tt>[y] IP: firewalling</tt>

<tt>[y] IP: always defragment (required for masquerading)</tt>

<tt>[y] IP: transparent proxy support</tt>

<tt>[M] IP: masquerading</tt>

<tt>--- Protocol-specific masquerading support will be built as modules.</tt>

<tt>[M] IP: ICMP masquerading</tt>

<tt>--- Protocol-specific masquerading support will be built as modules.</tt>

<tt>[Y] IP: masquerading special modules support <font color="#FF0000"><- Choisir tout les modules en répondant M</font></tt>

<tt>[y] IP: optimize as router not host</tt>

<tt>< > IP: tunneling</tt>

<tt>< > IP: GRE tunnels over IP</tt>

<tt>[y] IP: aliasing support</tt>

<tt>[y] IP: TCP syncookie support (not enabled per default)</tt>

<tt>--- (it is safe to leave these untouched)</tt>

<tt>< > IP: Reverse ARP</tt>

<tt>[y] IP: Allow large windows (not recommended if <16Mb of memory)</tt>

<tt>< > The IPv6 protocol (EXPERIMENTAL)</tt>

Cochez également toutes les autres options nécessaires (voir la [../kernel/kernel.php3 rubrique noyau]).

<div style="margin-bottom: 0in">Bon vous recompilez le noyau (<tt>make dep; make clean; make bzImage</tt>), déplacez votre ancien répertoire de module (<tt>mv /lib/module/votre_version /lib/module/votre_version.old</tt>), puis compilez et instakllez les modules (<tt>make modules; make modules_install</tt>), copiez alors le nouveau kernel (c<tt>p /usr/src/linux/arch/i386/boot/bzImage /boot</tt>) et si vous utilisez LILO, reconfigurez le pour qu'il pointe sur votre nouveau kernel (editez <tt>/etc/lilo.conf</tt>) et relancez lilo (<tt>/sbin/lilo</tt>), sinon reconfigurez votre loader (CHOS, LOADLIN, etc.). Enfin on reboute (<tt>reboot</tt>). Ouf ! :)</div>

; '''<u>Remarque</u>''' :
: Vérifiez la configuration réseau, assurez-vous que l'adresse de réseau de votre LAN est bien une des adresses réservée (192.168.2.0 par exemple, voir la [lan.php3 rubrique réseau local] pour ça). Pour la configuration de la carte externe, assurez vous aussi de sa bonne configuration pour accéder au net (testez votre connexion en fait), de même si la connexion se fait par modem. Pour tout ce qui suit je suppose que votre connexion au net se fait via une carte ethernet, en fait si vous utilisez un modem, de toute façon c'est identique. Bon avant de vraiment configurer le firewall on va tout d'abord mettre en place le « masquerading ».

== Mise en place du filtrage, du masquerading, routage LAN<tt><-></tt>NET et règles de base ==

<div style="margin-bottom: 0in"><font face="Times New Roman, serif">Assurez-vous d'avoir bien la configuration précédente pour votre kernel (validez les lors de la configuration du kernel).</font></div><div style="margin-bottom: 0in">Compilez le kernel puis les modules. Une fois tout ça réalisé, ajouter dans le fichier <tt>/etc/rc.d/rc.local</tt> (vérifiez le chemin, il peut être différent suivant les distributions) le chargement des modules de masquerade :</div><blockquote><div style="margin-bottom: 0in"><tt>/sbin/depmod -a </tt>''(n'ajoutez cette ligne que si elle n'est pas déjà présente)''</div><div style="margin-bottom: 0in"><tt>/sbin/modprobe ip_masq_ftp </tt>''(pour ftp)''</div><div style="margin-bottom: 0in"><tt>/sbin/modprobe ip_masq_raudio </tt>''(pour real audio)''</div><div style="margin-bottom: 0in"><tt>/sbin/modprobe ip_masq_irc </tt>''(pour IRC)''</div> </blockquote><div style="margin-bottom: 0in">et tout autre module comme <tt>ip_masq_cuseeme</tt>, <tt>ip_masq_vdolive</tt>, etc. que vous pouvez récupérer sur le net, si vous voulez bien sûr que de tels services soit accessibles par votre réseau local.</div>

<br />

; '''<u>Remarque</u>'' '''''<nowiki>:</nowiki>
: Je vous rappelle quand même que plus vous ouvrirez de services, plus votre sécurité baissera. En effet certains services « supplémentaires » peuvent contenir des bugs encore inconnus mais exploitables plus tard. Si vous voulez une sécurité accrue n'autorisez que le web ainsi que le FTP, surtout si vous êtes sur un réseau d'entreprise, je ne vois pas pourquoi l'IRC par exemple doit être activé, on n'en a pas besoin pour travailler dans une entreprise :).

<div style="margin-bottom: 0in; font-weight: medium; text-decoration: none">Avant de continuer vérifiez bien que votre LAN (réseau local) est bien sur une adresse réservée privé, c'est a dire du type:</div><blockquote><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none">'''10.0.0.0 - 10.255.255.255 Classe A'''</div><div style="margin-bottom: 0in">'''172.16.0.0 - 172.31.255.255 Classe B'''</div><div style="margin-bottom: 0in">'''192.168.0.0 - 192.168.255.255 Classe C'''</div> </blockquote><div style="margin-bottom: 0in">Pour plus de simplicité, je considère que votre LAN est sur l'adresse réseau '''192.168.1.0''' et que votre « passerelle » (le firewall Linux) a comme adresse '''192.168.1.1'''</div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none">Configurez aussi les autres machines de votre LAN avec bien sûr une adresse IP valide (de 192.168.1.2 jusqu'à 192.168.1.254), l'adresse de passerelle et de DNS, celle du Firewall (192.168.1.1).</div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none">Bon maintenant sur le Firewall, on va activer le masquerade avec:</div><div style="margin-bottom: 0in"><tt>'''<nowiki># </nowiki>'''ipchains -P forward DENY</tt></div><div style="margin-bottom: 0in"><tt>'''<nowiki># </nowiki>'''ipchains -A forward -s yyy.yyy.yyy.yyy/x -j MASQ</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none">avec '''x''' qui correspond au masque et '''yyy.yyy.yyy.yyy''' l'adresse réseau de votre LAN (ici 192.168.1.0)</div>

<br /> <br />

{| border="BORDER" cellpadding="2"
|- valign="TOP"
! width="197" | Masque
! width="198" | Valeur de x
! width="197" | Classe
|- valign="TOP"
! width="197" | '''''255.0.0.0'''''
! width="198" | '''''8'''''
! width="197" | '''''A'''''
|- valign="TOP"
| width="197" |
<center>'''''255.255.0.0'''''</center>
| width="198" |
<center>'''''16'''''</center>
| width="197" |
<center>'''''B'''''</center>
|- valign="TOP"
| width="197" |
<center>'''''255.255.255.0'''''</center>
| width="198" |
<center>'''''24'''''</center>
| width="197" |
<center>'''''C'''''</center>
|- valign="TOP"
| width="197" |
<center>'''''255.255.255.255'''''</center>
| width="198" |
<center>'''''32'''''</center>
| width="197" |
<center>'''''Point à point'''''</center>
|}

Si pour vous ce style de notation de masque vous gêne vous pouvez aussi utiliser la notation xxx.xxx.xxx.xxx du masque pour remplacer x.

Pour notre exemple on tape alors:

<tt>'''<nowiki># </nowiki>'''ipchains -P forward DENY</tt>

<div style="margin-bottom: 0in"><tt>'''<nowiki># </nowiki>'''ipchains -A forward -s 192.168.1.0/24 -j MASQ</tt></div><div style="margin-bottom: 0in">ou</div><div style="margin-bottom: 0in"><tt>'''<nowiki># </nowiki>'''ipchains -P forward DENY</tt></div><div style="margin-bottom: 0in"><tt>'''<nowiki># </nowiki>'''ipchains -A forward -s 192.168.1.0/255.255.255.0 -j MASQ</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none">Bon on a fait quoi au juste là ?</div>

* La première ligne indique au noyau de ne transmettre AUCUN paquet, donc on bloque TOUT en fait.
* La deuxième ligne elle indique de transmettre les paquets réseaux de notre LAN (192.168.1.0 avec masque 255.255.255.0).

<div style="margin-bottom: 0in; font-weight: medium; text-decoration: none">Donc en fait notre Firewall Linux ne laissera passer au travers de lui que les communications LAN<->Extérieur.</div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none">Au lieu de laisser la possibilité à toutes les machines de notre LAN d'avoir accès vers l'extérieur, on aurait pu aussi ne spécifier que certaines machines, par exemple on veut que juste le patron de notre société ainsi que l'administrateur réseau par exemple qui ont des machines avec adresse IP 192.168.1.3 et 192.168.1.10. Pour cela il faut jouer sur le masque, ça nous donne:</div><div style="margin-bottom: 0in"><tt>'''<nowiki># </nowiki>'''ipchains -P forward DENY</tt></div><div style="margin-bottom: 0in"><tt>'''<nowiki># </nowiki>'''ipchains -A forward -s 192.168.1.3/32 -j MASQ</tt></div><div style="margin-bottom: 0in"><tt>'''<nowiki># </nowiki>'''ipchains -A forward -s 192.168.1.10/32 -j MASQ</tt></div><div style="margin-bottom: 0in"> <br />Pour rendre ces règles « permanentes » après chaque reboot, ajoutez-les aussi dans un fichier que vous appelez par exemple '''<tt>rc.firewall</tt>''' que vous placez dans <tt>/etc/rc.d</tt>, sinon vous allez devoir les taper à chaque reboot du système. <br /> </div><div style="margin-bottom: 0in">On résume alors ce qui peut se trouver dans un tel fichier:</div><div style="margin-bottom: 0in">
----
<tt><nowiki>#!/bin/bash</nowiki></tt></div><div style="margin-bottom: 0in"><tt><nowiki>#</nowiki></tt></div><div style="margin-bottom: 0in"><tt><nowiki># Firewall.rc</nowiki></tt></div><div style="margin-bottom: 0in"><tt><nowiki>#</nowiki></tt></div><div style="margin-bottom: 0in"><tt><nowiki># Script de démarrage des règles du firewall</nowiki></tt></div><div style="margin-bottom: 0in"><tt><nowiki>#</nowiki></tt></div><div style="margin-bottom: 0in"><tt><nowiki># Tchesmeli serge , Version 0.2</nowiki></tt></div><div style="margin-bottom: 0in"><tt><nowiki>#</nowiki></tt></div><div style="margin-bottom: 0in"><tt><nowiki># Lea : http://www.lea-linux.org</nowiki></tt></div><div style="margin-bottom: 0in"><tt><nowiki>#</nowiki></tt></div><div style="margin-bottom: 0in"><tt>echo "Démarrage FIREWALL :"</tt></div><div style="margin-bottom: 0in"> <div style="margin-bottom: 0in"><tt>echo "- Activation de l'IP forwarding..."</tt></div><tt>echo "1" > /proc/sys/net/ipv4/ip_forward</tt>

<tt><nowiki># D'abord on bloque tout</nowiki></tt>

</div><div style="margin-bottom: 0in"><tt>echo -n "- Arrêt total des transmissions réseau..."</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"><tt>if [ -x /sbin/ipchains ]; then</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"><tt> /sbin/ipchains -P forward DENY</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"><tt> echo "OK"</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"><tt>else</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"><tt> echo "Erreur !"</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"><tt> echo "Votre noyau n'est pas configuré pour\</tt><br /><tt>permettre le filtrage.... veuillez le recompiler."</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"><tt> exit</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"><tt>fi</tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"> <br /><tt><nowiki># On charge les modules de masquerade</nowiki></tt></div><div style="margin-bottom: 0in"><tt>echo -n "- Chargement des modules de masquerade... "</tt></div><div style="margin-bottom: 0in"><tt>/sbin/modprobe ip_masq_ftp</tt></div><div style="margin-bottom: 0in"><tt>/sbin/modprobe ip_masq_raudio</tt></div><div style="margin-bottom: 0in"><tt>/sbin/modprobe ip_masq_irc</tt></div>

<tt>echo "OK"</tt><br /><tt><nowiki># Vous pouvez y inclure ou enlever</nowiki></tt><br /><tt><nowiki># les modules de votre choix</nowiki></tt>

<tt><nowiki># Puis on applique les règles</nowiki></tt>

<div style="margin-bottom: 0in"><div style="margin-bottom: 0in"><tt>echo -n "- Chargement des règles de filtrage... "</tt></div><tt><nowiki># ipchains -P forward DENY</nowiki></tt></div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"><tt>ipchains -A forward -s 192.168.1.0/255.255.255.0 -j MASQ</tt></div>

<tt>echo "OK"</tt><br /><tt><nowiki># A vous de bien fixer les règles suivant votre réseau</nowiki></tt>

<div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"> </div><div style="margin-bottom: 0in; font-weight: medium; text-decoration: none"><tt>echo "Firewall prêt."</tt><br />
----

On peut alors appeler ce script depuis <tt>/etc/rc.d/rc.local</tt> en y ajoutant une ligne :

<blockquote><tt>source rc.firewall</tt></blockquote> Voilà ! Votre firewall est configuré ! A vous de jouer sur les règles afin d'optimiser la sécurité sur votre réseau local...</div><div class="merci">Cette page est issue de la documentation 'pré-wiki' de Léa a été convertie avec HTML::WikiConverter. Elle fut créée par Serge Tchesmeli le 05/06/2000.</div>

= Copyright =
Copyright © 05/06/2000, Serge Tchesmeli
{{LDL}}

=Autres ressources=
* [http://www.freenix.org/unix/linux/HOWTO/Firewall-HOWTO.html Firewall-HOWTO]
* [http://www.freenix.org/unix/linux/HOWTO/IPCHAINS-HOWTO.html IPCHAINS-HOWTO]
* [http://www.freenix.org/unix/linux/HOWTO-vo/IP-Masquerade-HOWTO.html IP-Masquerade HOWTO]
* [http://www.freenix.org/unix/linux/HOWTO/mini/IP-Masquerade.html IP-Masq. mini-HOWTO]
* [http://www.fwbuilder.org Firewall builder], un excellent outil pour configurer votre firewall sous Linux.
* La logithèque de Léa, [[Logithèque:Oldrub=21|section Sécurité]].

Installer Linux

2008-08-12T13:19:29Z

Leaserge :

[[Category:Installer Linux]]

{{Historique}}

= L'installation de Linux =

<div class="leatitre">L'installation de Linux</div><div class="leapar">Par Jean-Christophe sur la base du travail de Serge</div><div class="leadesc">Passons maintenant aux choses sérieuses: l'installation de Linux.</div>
----

Normalement, vous devez déjà avoir lu le chapitre [prepinstall.php3 précédent], ou bien vous connaissez déjà les bases de Linux ! :-)

== 4. Choisir ses packages. ==

Je ne vais pas faire la liste des milliers de packages existants, je ne suis pas fou. Je vous donne juste les packages essentiels à installer car vous en aurez besoin un jour ou l'autre.

* Tout ce qui est du système de base (jeu A et AP pour la Slackware),
* Tout ce qui concerne le développement (jeu D pour la Slackware) : C, C++ et librairies diverses : nécessaire pour compiler (voir rubrique "[../kernel/compil.php3 quels packages nécessaires]"),
* Les sources du noyau aussi (K pour la Slackware). Je sais c'est gros, les derniers noyaux font près de 50 Mo, mais un jour ou l'autre vous en aurez besoin pour [../software/compil.php3 compiler une appli] ou pour [../kernel/kernel.php3 régler votre noyau] suivant votre système ;
* Les packages réseau,
* Le reste n'est pas complètement indispensable mais :
* X (sous-système graphique) est bien utile quand même (que feriez-vous sans environnement graphique ?), sa partie développement aussi (pour certains programmes X que vous aurez à recompiler) et pourquoi pas les jeux aussi. Dans ce cas installez aussi un gestionnaire comme [http://www.kde.org KDE] ou [http://www.gnome.org Gnome] ou pourquoi pas tous les gestionnaires pour vous faire un avis avant d'en choisir un définitivement ?
* Après, suivant votre besoin, cherchez sur le net l'application qui vous intéresse, mais regardez avant si elle est pas contenue dans votre distribution : c'est presque toujours le cas. Même si vous trouvez une super application sur le net, vérifiez qu'elle n'est pas déjà sur les CD de votre distribution : ça vous évitera beaucoup de soucis.

Contrairement au monde Windows, Mac, etc. la majorité des applications sous Linux est "libre". Elles sont alors disponibles en tant que sources. Il vous faut alors les compiler sur votre machine pour obtenir les fichiers binaires (i.e. les exécutables). C'est pour ça que vous avez besoin des packages de développement, même si vous ne développez pas vous-même. <br /> J'insiste mais installez les packages de développement, c'est toujours râlant de passer 30 minutes à recompiler un truc et avoir une erreur parce qu'il vous manque juste une petite bibliothèque qui était comprise dans un de ces packages. Après vous passez des heures pour trouver le package où se trouve le fichier manquant ! En fait dès que vous lisez développement ou un truc du genre (devel...) installez-le, au pire ca vous prend un peu de place pour rien, mais au moins vous arriverez à compiler la toute dernière application que vous attendiez depuis 2 ans sur Linux.

== 5. Installer un chargeur Linux ou Comment booter Linux. ==

=== LILO ===

'''LILO''' ('''LI'''nux '''LO'''ader) est le petit utilitaire qui permet de faire démarrer Linux. D'où son importance.

C'est, en fait, deux programmes :

* un chargeur de linux
* le programme qui installe le chargeur sur votre disque.

Pendant trés longtemps, il y a eu des problèmes avec LILO : il n'y en a plus. Les versions actuelles de LILO gérent trés bien tous les types disques.

'''Désinstaller LILO'''<br /> De préférence depuis Linux : tapez <tt>lilo -u</tt>. <br /> Depuis DOS : tapez <tt>fdisk /mbr</tt>.

Voir aussi [../admin/LILO.php3 l'article LILO].

=== GRUB ===

Le GRUB est le bootloader du projet GNU.

Voir [[Admin-admin_boot-grub|l'article GRUB]] pour plus de détails.

=== LOADLIN ===

C'est un utilitaire fonctionnant sous DOS que vous pouvez utiliser pour démarrer Linux, si vous ne souhaitez/pouvez pas utiliser LILO, et que vous disposez d'une partition DOS/Windows bootable. Il est disponible en général sur les CD des distributions. Je ne crois pas qu'il ait le problème des 1024 cylindres, car le noyau de Linux est alors situé sur le système de fichiers de DOS/Windows. Cependant, j'ai entendu dire que certaines personnes avaient eu des problèmes d'incompatibilité avec leur matériel (plus reconnu sous Linux lorsqu'ils utilisent LOADLIN). Bref, à tester.

Pour le faire fonctionner, je vous conseille de créer un répertoire <tt>C:\LINUX</tt>, d'y placer LOADLIN, de copier le noyau <tt>/boot/vmlinuz-2.x.x</tt> sous Linux dans ce répertoire sous le nom <tt>VMLINUZ</tt>, et d'y créer un fichier <tt>linux.bat</tt> contenant la ligne de commande :

LOADLIN C:\LINUX\VMLINUZ root=/dev/hdb1 ro %1 %2

-> remplacez /dev/hdb1 par votre partition "racine" /

ou encore, si vous utilisez <tt>initrd</tt>, copiez /boot/initrd dans le même répertoire, et placez cette ligne dans <tt>linux.bat</tt> :

LOADLIN C:\LINUX\VMLINUZ initrd=C:\LINUX\INITRD %1 %2

Ainsi, vous pouvez créer une entrée dans votre <tt>c:\config.sys</tt> pour avoir un choix "Linux" au boot qui en fait lance <tt>linux.bat</tt>. Ou bien vous bootez en "ligne de commande seulement" et vous démarrez Linux en tapant <tt>linux</tt> au prompt <tt>C:\></tt>. De cette manière vous pouvez passer des paramètres au noyau, par exemple pour lui dire de démarrer en mode texte si X ne veut plus fonctionner, en tapant : <tt>C:\>linux 3</tt>, ou en mode maintenance par <tt>C:\>linux single</tt> (suivant votre distribution).

Voir aussi [../admin/loadlin.php3 l'article LOADLIN].

== 6. Problèmes courants. ==

'''Problèmes avec le CD-ROM :'''<br />

Essayez de copier le contenu du CD sur le disque dur et de lancer l'installation depuis le disque dur, cela règle bien des problèmes si votre lecteur de CD est mal reconnu.

<div class="merci">Cette page est issue de la documentation 'pré-wiki' de Léa a été convertie avec HTML::WikiConverter. Elle fut créée par J.C. Cardot & S. Tchesmeli le 04/10/1999.</div>

= Copyright =
Copyright © 04/10/1999, J.C. Cardot & S. Tchesmeli
{{CC-BY-SA}}

Installer Linux

2008-08-12T13:18:11Z

Leaserge :

[[Category:Installer Linux]]
{{Historique}}
= L'installation de Linux =

<div class="leatitre">L'installation de Linux</div><div class="leapar">Par Jean-Christophe sur la base du travail de Serge</div><div class="leadesc">Passons maintenant aux choses sérieuses: l'installation de Linux.</div>
----

Normalement, vous devez déjà avoir lu le chapitre [prepinstall.php3 précédent], ou bien vous connaissez déjà les bases de Linux ! :-)

== 4. Choisir ses packages. ==

Je ne vais pas faire la liste des milliers de packages existants, je ne suis pas fou. Je vous donne juste les packages essentiels à installer car vous en aurez besoin un jour ou l'autre.

* Tout ce qui est du système de base (jeu A et AP pour la Slackware),
* Tout ce qui concerne le développement (jeu D pour la Slackware) : C, C++ et librairies diverses : nécessaire pour compiler (voir rubrique "[../kernel/compil.php3 quels packages nécessaires]"),
* Les sources du noyau aussi (K pour la Slackware). Je sais c'est gros, les derniers noyaux font près de 50 Mo, mais un jour ou l'autre vous en aurez besoin pour [../software/compil.php3 compiler une appli] ou pour [../kernel/kernel.php3 régler votre noyau] suivant votre système ;
* Les packages réseau,
* Le reste n'est pas complètement indispensable mais :
* X (sous-système graphique) est bien utile quand même (que feriez-vous sans environnement graphique ?), sa partie développement aussi (pour certains programmes X que vous aurez à recompiler) et pourquoi pas les jeux aussi. Dans ce cas installez aussi un gestionnaire comme [http://www.kde.org KDE] ou [http://www.gnome.org Gnome] ou pourquoi pas tous les gestionnaires pour vous faire un avis avant d'en choisir un définitivement ?
* Après, suivant votre besoin, cherchez sur le net l'application qui vous intéresse, mais regardez avant si elle est pas contenue dans votre distribution : c'est presque toujours le cas. Même si vous trouvez une super application sur le net, vérifiez qu'elle n'est pas déjà sur les CD de votre distribution : ça vous évitera beaucoup de soucis.

Contrairement au monde Windows, Mac, etc. la majorité des applications sous Linux est "libre". Elles sont alors disponibles en tant que sources. Il vous faut alors les compiler sur votre machine pour obtenir les fichiers binaires (i.e. les exécutables). C'est pour ça que vous avez besoin des packages de développement, même si vous ne développez pas vous-même. <br /> J'insiste mais installez les packages de développement, c'est toujours râlant de passer 30 minutes à recompiler un truc et avoir une erreur parce qu'il vous manque juste une petite bibliothèque qui était comprise dans un de ces packages. Après vous passez des heures pour trouver le package où se trouve le fichier manquant ! En fait dès que vous lisez développement ou un truc du genre (devel...) installez-le, au pire ca vous prend un peu de place pour rien, mais au moins vous arriverez à compiler la toute dernière application que vous attendiez depuis 2 ans sur Linux.

== 5. Installer un chargeur Linux ou Comment booter Linux. ==

=== LILO ===

'''LILO''' ('''LI'''nux '''LO'''ader) est le petit utilitaire qui permet de faire démarrer Linux. D'où son importance.

C'est, en fait, deux programmes :

* un chargeur de linux
* le programme qui installe le chargeur sur votre disque.

Pendant trés longtemps, il y a eu des problèmes avec LILO : il n'y en a plus. Les versions actuelles de LILO gérent trés bien tous les types disques.

'''Désinstaller LILO'''<br /> De préférence depuis Linux : tapez <tt>lilo -u</tt>. <br /> Depuis DOS : tapez <tt>fdisk /mbr</tt>.

Voir aussi [../admin/LILO.php3 l'article LILO].

=== GRUB ===

Le GRUB est le bootloader du projet GNU.

Voir [[Admin-admin_boot-grub|l'article GRUB]] pour plus de détails.

=== LOADLIN ===

C'est un utilitaire fonctionnant sous DOS que vous pouvez utiliser pour démarrer Linux, si vous ne souhaitez/pouvez pas utiliser LILO, et que vous disposez d'une partition DOS/Windows bootable. Il est disponible en général sur les CD des distributions. Je ne crois pas qu'il ait le problème des 1024 cylindres, car le noyau de Linux est alors situé sur le système de fichiers de DOS/Windows. Cependant, j'ai entendu dire que certaines personnes avaient eu des problèmes d'incompatibilité avec leur matériel (plus reconnu sous Linux lorsqu'ils utilisent LOADLIN). Bref, à tester.

Pour le faire fonctionner, je vous conseille de créer un répertoire <tt>C:\LINUX</tt>, d'y placer LOADLIN, de copier le noyau <tt>/boot/vmlinuz-2.x.x</tt> sous Linux dans ce répertoire sous le nom <tt>VMLINUZ</tt>, et d'y créer un fichier <tt>linux.bat</tt> contenant la ligne de commande :

LOADLIN C:\LINUX\VMLINUZ root=/dev/hdb1 ro %1 %2

-> remplacez /dev/hdb1 par votre partition "racine" /

ou encore, si vous utilisez <tt>initrd</tt>, copiez /boot/initrd dans le même répertoire, et placez cette ligne dans <tt>linux.bat</tt> :

LOADLIN C:\LINUX\VMLINUZ initrd=C:\LINUX\INITRD %1 %2

Ainsi, vous pouvez créer une entrée dans votre <tt>c:\config.sys</tt> pour avoir un choix "Linux" au boot qui en fait lance <tt>linux.bat</tt>. Ou bien vous bootez en "ligne de commande seulement" et vous démarrez Linux en tapant <tt>linux</tt> au prompt <tt>C:\></tt>. De cette manière vous pouvez passer des paramètres au noyau, par exemple pour lui dire de démarrer en mode texte si X ne veut plus fonctionner, en tapant : <tt>C:\>linux 3</tt>, ou en mode maintenance par <tt>C:\>linux single</tt> (suivant votre distribution).

Voir aussi [../admin/loadlin.php3 l'article LOADLIN].

== 6. Problèmes courants. ==

'''Problèmes avec le CD-ROM :'''<br />

Essayez de copier le contenu du CD sur le disque dur et de lancer l'installation depuis le disque dur, cela règle bien des problèmes si votre lecteur de CD est mal reconnu.

<div class="merci">Cette page est issue de la documentation 'pré-wiki' de Léa a été convertie avec HTML::WikiConverter. Elle fut créée par J.C. Cardot & S. Tchesmeli le 04/10/1999.</div>

= Copyright =
Copyright © 04/10/1999, J.C. Cardot & S. Tchesmeli
{{CC-BY-SA}}

Modèle:Historique

2008-08-08T13:46:11Z

Leaserge :

[[Catégorie:Pages_Historique]]
<cadre type=alert>Cette page est considérée comme étant historique, c'est à dire que les informations qu'elle contient ne sont plus du tout à jour par rapport aux évolutions de Linux et des autres Logiciels Libres.Il peut même s'avérer risqué d'essayer de suivre les recommandations de cette page.Cette page est donc conservée juste pour des raisons historiques.
</cadre>

Utilisateur:Leaserge

2008-08-08T09:21:09Z

Leaserge :

== Serge Tchesmeli ==

Fondateur du site Lea-linux en 1998 et président de l'association jusqu'en 2003.

Tenir compte de la sécurité au quotidien

2008-08-08T09:19:14Z

Leaserge :

[[Category:Fiche sécurité]]
<div class="leapar">Par [[Utilisateur:Merlin8282|merlin8282]], [[Utilisateur:Fleury|Fleury]] , mis à jour par [[Utilisateur:Leaserge|Leaserge]].</div>
== Introduction ==
Un ordinateur n'est jamais en sécurité, quand bien même on croit qu'il l'est. Un dicton informatique dit d'ailleurs que l'ordinateur le plus sûr est celui qui est éteint. Cet article est là pour vous faire découvrir les différents risques que l'on court en ayant un ordinateur connecté à un réseau, ainsi que les bonnes habitudes à prendre afin de sécuriser sa machine personnelle (nous ne parlerons pas de la sécurisation de serveur en production). Enfin nous aborderons les différents moyens d'analyse post-mortem d'une machine après une attaque et comment la nettoyer avant de la remettre en ligne.

Pour tout le document (et de manière générale), il est évidemment conseillé de lire les pages de manuel des commandes avant de poser des questions.
Lisez aussi les articles connexes en cliquant sur les hyperliens dans le texte car dans ce document je ne m'étale justement pas sur les sujets pour lesquels il existe déjà un article.

Pour lire ce document, il est aussi important d'être à l'aise avec les concepts essentiels de [http://fr.wikipedia.org/wiki/Linux Linux]. Cela permettra d'une part de mieux comprendre ce que vous faîtes et d'autre part de mieux réagir en cas d'attaque, donc, documentez vous sur ce système et son langage de commande ([[Admin-admin_env-shell|shell]]). Lisez aussi la documentation expliquant ce que sont [[Admin-admin_boot-daemons|les daemons et comment ils fonctionnent]], comment fonctionne un réseau, comment gérer les permissions des fichiers, et tout ce qui pourrait être relatif à l'administration Linux. Plus vous en saurez à propos de Linux mieux vous serez armé pour démarrer avec ce document.

== Petit survol de la sécurité informatique ==
La sécurité informatique est un domaine que l'on pourrait séparer en trois parties. La première s'occupe de la sécurité des données, c'est la cryptologie, la plus connue et la plus théorique des trois. La seconde s'occupe de la sécurité des protocoles, elle comprend notamment la sécurité réseau. Enfin, la dernière et la moins connue des trois est la sécurité logicielle, elle s'occupe notamment des failles du genre débordement de tampon (buffer-overflow) et autres (format string, integer overflow, etc).

Dans ce petit survol des risques potentiels en matière de sécurité informatique nous aborderons la sécurité réseau et la sécurité logicielle. La cryptologie ne sera pas abordée car c'est une science très complexe et de toute façon inaccessible au simple utilisateur. Pour finir nous aborderons l'ingénierie sociale qui reste inclassable mais qui est un risque non négligeable.

=== La sécurité réseau ===
Le but de la sécurité réseau est de connaître les forces et les faiblesses des protocoles. Du point de vue de l'attaquant, on se posera des questions comme: ''Comment abuser un firewall ? Comment tirer un maximum d'informations d'un serveur ? Comment aveugler un système de détection d'intrusion ?'' Du point de vue du défenseur, les questions qui se posent sont surtout comment détecter les comportements réseaux anormaux et empêcher (ou au moins réagir face à) une attaque.

Un certain nombre de mots clefs sont associés à la sécurité réseau. Ainsi on parle de firewalls, d'IDS, d'IPS, de scanneurs réseaux, de sniffeurs et autres. Nous allons ici définir quelques-uns de ces mots.

==== Firewalls ====
Pour le définir de manière concise, un firewall (pare-feu) est un filtre réseau qui va pouvoir stopper certains paquets réseau. Suivant le type de trafic qu'ils analysent et à quel niveau ils se placent sur la couche OSI on va parler de plusieurs types de firewalls:

* '''Stateless firewall''': Ce firewall est le plus basique, il ne fait que regarder les paquets réseau un par un et les accepte ou les rejette uniquement sur la base de son fichier de configuration.

* '''Stateful firewall''': Aussi appelé ''connection tracking firewall'', ce firewall permet de tirer parti d'une connaissance du protocole (TCP par exemple). Il garde en mémoire les connections qui sont en cours et l'état dans lequel elles sont (en cours d'établissement, établie, en train d'être achevées, etc). L'avantage de ce firewall est qu'il permet une configuration plus fine avec moins de lignes mais son inconvénient est qu'il utilise un peu de mémoire pour chaque connexion et qu'il est susceptible de se faire saturer (Déni de service).

* '''Firewall applicatif''': Il en existe plusieurs sortes : les proxy, les filtres de contenu (clamav), etc. sont tous des firewalls applicatifs. Contrairement aux firewalls précédents qui résident habituellement dans le noyau, les firewalls applicatifs sont habituellement basés dans l'espace utilisateur. Ces firewalls servent le plus souvent de relais avec éventuellement un contrôle sur le contenu de ce qui transite (quoique le plus souvent les proxy web ne contrôlent pas le contenu des requêtes même s'ils le pourraient).

Sous Linux, le firewall par défaut est [http://www.netfilter.org/ Netfilter], il possède la capacité de faire du Stateless et du Stateful pour divers protocoles. Les firewalls applicatifs existent aussi mais ne sont pas gérés par Netfilter. Nous verrons plus loin comment piloter Netfilter à l'aide de iptables.

==== Scanneur réseau ====
Un scanneur réseau est simplement un petit logiciel qui tente d'explorer un réseau ou une machine de façon distante (c'est à dire via le réseau). Pour cette exploration le scanneur va tenter de se connecter à une ou plusieurs machines de façon directe ou indirecte. Il faut bien comprendre que le but premier du scanneur de réseau est de collecter de l'information (présence/abscence de services) sur un réseau ou une machine et uniquement cela. L'usage d'un scanneur est par conséquent légal (sauf si vous avez signé une charte qui dit le contraire) mais collecter beaucoup d'informations sur un réseau peut vous rendre suspect aux yeux de ceux qui le gèrent.

Le plus connu des scanneur est sans conteste [http://www.insecure.org/nmap/ nmap]. Il possède un grand nombre d'options et permet d'extraire beaucoup d'informations sur votre environnement réseau. Pour peu que vous soyez root sur la machine que vous utilisez, vous pouvez tenter le jeu d'options suivant (regardez le manuel pour savoir ce qu'elles font): <code>nmap -F -O -sV <ip_cible></code>

<code>nmap</code> est bien sûr un scanneur réseau ''basique'', il en existe des bien plus avancés qui utilisent nmap comme brique de base mais qui scannent non plus les services réseau mais les vulnérabilités. On peut ainsi citer [http://www.nessus.org/ nessus] qui permet de tester son réseau contre un grand nombre d'attaques.

Lorsqu'un pirate veut s'en prendre à vous, la première chose qu'il fera sera de vous scanner et extraire un maximum d'informations sur votre réseau. Mieux vaut savoir quelles informations vous laissez filtrer à l'extérieur pour connaître vos faiblesses.

==== Sniffeurs ====
Un sniffeur est un petit logiciel qui va se mettre à l'écoute de tous les paquets réseau qui passent à la portée de votre ordinateur. Habituellement votre machine ne va considérer que les paquets qui vous sont addressés mais l'on peut pervertir l'usage habituel et faire en sorte que votre machine vous permette d'accéder aussi aux paquets qui ne vous sont pas adressés. On appelle cela le mode ''promiscuous'' pour les cartes ethernet et le mode ''monitor'' pour les cartes wifi.

Les sniffeurs sont largement utilisés à la fois par les pirates et par les ingénieurs systèmes. Les pirates les utilisent essentiellement pour récupérer des informations sur un réseau ou même plus. En effet, lorsqu'ils ont compromis une machine de votre réseau, il peuvent laisser tourner de façon cachée un de ces sniffeurs qui va collecter des informations qui transitent par la carte réseau de la machine piratée. Par exemple, tous les mots de passe en clair peuvent être récupérés à moindre frais. D'un autre coté, les administrateurs réseaux ont aussi un grand usage des sniffeurs, ils servent le plus souvent de débogueur réseau mais aussi d'espion pour essayer d'identifier des comportements sur le réseau qui ne seraient pas normal ou qui laisseraient supposer à une attaque (voir les IDS plus loin).

Il existe un très grand nombre de sniffeurs réseau, les deux plus connus sont sans doute [http://www.wireshark.org wireshark] (ex-[http://www.ethereal.com/ ethereal]) et [http://www.tcpdump.org tcpdump]. D'autres sont plus spécialisés comme par exemple [http://lcamtuf.coredump.cx/p0f.shtml p0f] (sniffeur passif de détection d'OS), [http://www.monkey.org/~dugsong/dsniff/ dsniff] (sniffeur de mots de passe) ou encore [http://www.kismetwireless.net/ kismet] (sniffeur wifi).

==== IDS, IPS et honeypots ====
Pour finir ce petit tour de la sécurité réseau nous allons faire un tour du coté des armes auxquelles vous avez accès pour vous défendre.

Pour faire court, les IDS (Intrusion Detection Systems) sont des sondes qui espionnent votre réseau et enregistrent les phénomènes bizarres ou qui pourraient ressembler à des attaques potentielles. Le rôle d'un IDS n'est pas de prévenir des attaques mais vraiment de jouer un rôle similaire à celui de la boîte noire d'un avion après une catastrophe afin de savoir ce qui s'est passé et éventuellement collecter des preuves contre les attaquants.

Il y a trois types d'IDS :
* les '''IDS réseaux''' du genre [http://www.snort.org snort] qui s'assurent de l'intégrité d'un réseau par une analyse du trafic qu'il y a dessus,
* les '''IDS systèmes''' du genre [http://sourceforge.net/projects/tripwire/ tripwire] qui s'assurent de l'intégrité d'un système en stockant un [http://fr.wikipedia.org/wiki/Cyclic_redundancy_check CRC] des principaux fichiers de configuration et des binaires pour s'assurer qu'ils n'ont pas été corrompu,
* les '''IDS hybrides''' qui tentent de rassembler les deux précédents, du genre [http://www.prelude-ids.org/ prelude-IDS].

Les IPS (Intrusion Prevention Systems) sont à peine différents des IDS puisqu'en cas de détection d'une attaque probable, alors que l'IDS se contente d'enregistrer les logs, l'IPS tente de contrer l'attaque en réagissant.

Enfin, les [http://fr.wikipedia.org/wiki/Honeypot honeypots] (pots de miel) sont des simulations de machines faibles. La constatation est simple, les pirates s'attaquent logiquement toujours au point le plus faible de votre réseau. Avoir des points faibles factices et bardés d'alarmes discrètes vous permet non seulement de détourner momentanément les pirates des vraies machines et de les freiner mais aussi de détecter plus facilement les intrus qui se laissent prendre au piège.

Voila, nous avons fait un (très) rapide tour des mots clefs importants en matière de sécurité réseau. Nous allons à présent quitter le réseau et nous intéresser de plus près à ce qui se passe sur vos serveurs et vos machines.

=== La sécurité logicielle ===
Lorsque les pirates n'en ont pas après ce qui circule sur votre réseau, c'est qu'ils tentent de pénétrer une (ou plusieurs) machine(s) et c'est là que commence la sécurité logicielle...

Contrairement à ce que vous pourriez croire, la plupart du temps, les attaques que subi votre ordinateur ne sont pas dûes à des humains mais plutôt à des logiciels automatiques. Les failles listées dans la catégorie ''sécurité logicielle'' sont donc exploitées le plus souvent par des logiciels ''malveillants'' ([http://fr.wikipedia.org/wiki/Logiciel_malveillant malware] en anglais). Ces logiciels peuvent être des ''virus'', des ''vers'', des ''chevaux de Troie'' ou encore des ''rootkits'' mais ils ont tous en commun d'exploiter des failles classiques ou de rendre les systèmes sur lesquels ils résident plus faibles face à des attaquants extérieurs. Nous allons ici lister ces malware et tenter d'en donner une définition succinte.

==== Virii et Vers ====
Un virus est un petit programme qui a la particularité de se reproduire et de se propager d'un système à l'autre suivant certains vecteurs. Cela peut être les mails ou même l'utilisateur lui-même qui va copier le logiciel sur d'autres systèmes. Les vers sont une sorte particulière de virus qui se propagent uniquement via le réseau Internet (l'un des plus célèbre fut Blaster en 2003 qui visait essentiellement des systèmes Microsoft Windows). Certains virus fonctionnent et infectent les systèmes linux, mais leur nombre est plus réduit que ceux qui attaquent les systèmes Windows. Grâce à la rareté de ces virus et à la réactivité de la communauté libre face aux nouvelles failles découvertes, ce genre de malware ne se propage que très difficilement sur les systèmes Linux, et par conséquent Unix.

Il est à signaler que le terme de ''virus'' n'est pas anodin, l'application des patchs de sécurité (l'équivalent d'un vaccin pour reprendre l'analogie biologique) pendant une attaque virale revient réellement à enrayer une épidémie. Ne pas ''vacciner'' votre PC pendant une épidémie virale revient presque exactement au même que refuser de vous vacciner contre la grippe en pleine épidémie (avec la différence que la propagation des virii informatiques est environs cent à mille fois plus rapide qu'avec les virii biologiques). Non seulement vous vous exposez au virus mais en plus vous créez un nouveau foyer d'infection qui va permettre au virus de se propager encore un peu plus. Il faut donc être vigilant et appliquer régulièrement les correctifs de sécurité de votre système pour ne pas s'exposer à des virii, qui pourraient alors s'infiltrer facilement via les failles que vous auriez laissé béantes.

==== Chevaux de Troie ====
Les chevaux de Troie sont des logiciels qui tentent d'abuser l'utilisateur en se faisant passer pour autre chose que ce qu'ils sont réellement (un jeu, un petit utilitaire, ou encore une commande classique comme <code>ssh</code>, etc). Ces logiciels semblent fonctionner exactement comme ils devraient mais peuvent accomplir des actions malveillantes contre votre système. Par exemple, si la commande <code>login</code> a été remplacée, on pourrait imaginer qu'un login particulier permette de se connecter en root de façon distante en plus de remplir sa tâche normalement. S'il s'agissait de la commande <code>ssh</code>, on pourrait effectuer une sauvegarde de toutes machines, les logins et les machines, les clefs privées, etc qui passent à travers cette commande (et même les envoyer vers un dépot quelque part sur l'Internet). Enfin, on peut imaginer un logiciel de jeu qui tous les vendredi 13 se mette à effacer le contenu de votre compte.

Les chevaux de Troie peuvent être aussi un vecteur de propagation pour les virus comme le célèbre ver "I love you" qui se propageait par mail ou aussi être contenu dans un virus qui va l'installer sur le système qu'il a infecté avant de tenter de se propager vers d'autres systèmes.

==== Rootkits ====
Enfin, les [http://fr.wikipedia.org/wiki/Rootkit rootkits] sont des logiciels qui facilitent l'accès réseau discret des pirates sur le système. Leur nom vient du fait qu'ils permettent aux pirates d'accéder au système infecté avec des droits équivalents (ou même supérieurs) au root. À l'origine ces rootkits étaient un ensemble de chevaux de Troie mimant les commandes classiques du système (<code>ps</code>, <code>login</code>, <code>ls</code>, etc). De nos jours, les rootkits sont quasi-essentiellement des kernel-rootkits, c'est à dire qu'ils se branchent directement sur le noyau pour modifier les informations que pourraient lire les utilisateurs du système. Ce dernier type de rootkit permet aux pirates une réelle invisibilité du point de vue des autres utilisateurs (y compris du root). Vous l'aurez compris, ces rootkits sont très difficiles à repérer avec des moyens standards et compromettent très profondément votre système. C'est pour cela qu'il n'est jamais mauvais d'installer et de lancer régulièrement des logiciels du type [http://www.chkrootkit.org/ chkrootkit], qui vérifient la présence de rootkits.

==== Attention aux mélanges !!! ====
Évidemment, tous ces malwares peuvent se combiner entre eux pour former des combinaisons souvent difficiles à contrer. On peut citer l'exemple du vers 1i0n ([http://www.cert.org/incident_notes/IN-2001-03.html rapport CERT], Mars 2001) qui ciblait essentiellement des failles sur les systèmes Unix faisant tourner un serveur BIND et qui installait le rootkit ''erkms'' avant de continuer à se propager. Ce malware combinait à la fois un ver et un rootkit lui-même composé d'un certain nombre de chevaux de Troie.

=== Ingénierie sociale ===
Une dernière technique de piratage existe. Et bien qu'elle soit inclassable du point de vue technique, c'est probablement la plus efficace.

Souvent, si le pirate est humain, c'est un ''insider'' (quelqu'un de l'intérieur), ou quelqu'un qui peut avoir un accès physique aux machines (stagiaire, agent d'entretien, ou simplement qui connaît votre numéro de téléphone ou votre adresse e-mail). Dans ces conditions, il aura simplement recours à de l'[http://fr.wikipedia.org/wiki/Ingénierie_sociale ingénierie sociale]. Cette méthode consiste à profiter de la crédulité des gens qui souvent écrivent leurs mots de passe sur un bout de papier et les laissent à proximité de l'ordinateur. D'autres victimes sont par exemple appelées par téléphone ou contactées via e-mail par l'attaquant qui se fait alors passer pour l'agent d'un service technique quelconque, il prétend avoir besoin de leur mot de passe pour faire des tests.

Cela peut paraître trivial mais c'est la technique qui donne le plus de résultats avec le moins d'investissement en temps et en connaissance. [http://fr.wikipedia.org/wiki/Kevin_Mitnick Kevin Mitnick], un des rois du piratage était passé maître dans ce type d'attaques. Il avait un aplomb et un génie de l'improvisation alliés à des connaissances techniques hors du commun qui lui ont permis de réaliser des miracles (du mauvais côté de la loi, hélas).

Se prémunir contre ce genre d'attaques est simple: Ne confiez vos mots de passe à personne et méfiez-vous lorsqu'on vous les demande.

== Sécuriser sa machine ==
[http://fr.wikipedia.org/wiki/Bruce_Schneier Bruce Schneier], un des pontes de la sécurité informatique, a dit un jour: "''La sécurité n'est pas un produit, c'est un processus''" (''Security is not a product, it's a process''). L'idée que vous pourriez sécuriser votre machine une bonne fois pour toute lors de l'installation et ne plus y toucher ensuite n'est tout simplement pas envisageable. Tout comme les virii biologiques qui mutent pour contourner les défenses immunitaires de leurs hôtes et pouvoir survivre, les pirates inventent constamment de nouvelles techniques ou se servent de failles inédites et produisent des malwares qui pourront contourner des défenses qui étaient parfaitement sûres quelques semaines auparavant. Maintenir une défense contre les agressions des pirates est une veille constante de l'état de votre machine. Évidemment, sans sombrer dans la paranoïa, il va vous falloir accorder une attention à la sécurité de votre machine qui est proportionnelle à la valeur que vous accordez à ce qu'elle protège.

Cette section essaye de donner quelques conseils pour rendre votre machine plus sûre en vous donnant les moyens de résister à la plupart des attaques. '''Attention''', même si vous suivez tous ces conseils votre machine ne sera pas invulnérable, elle sera seulement plus difficile d'accès (ce qui décourage déjà 99% des malwares et des attaquants).

=== Les 10 règles d'or en sécurité ===
Il existe certaines règles qui permettent de se prémunir contre la plupart des attaques. Certaines sont simples et faciles à mettre en œuvre, d'autres sont plus complexes. Voici une liste (non exhaustive) de dix règles à suivre pour sécuriser votre ordinateur. Ces règles sont classées dans un ordre de difficulté croissant. Suivre les règles les plus simples est '''indispensable''' alors que les plus complexes permettent de sécuriser un peu plus votre machine mais ne sont pas forcément aussi importantes. Le mieux est de s'arrêter à l'endroit de la liste qui vous semble trop obscur. Une mesure de protection mal configurée étant souvent pire qu'une absence de protection.

# '''Attention à vos mots de passe''' (choisissez les bien et ne les confiez pas à des inconnu(e)s)
# '''Préférez les protocoles chiffrés''' (préférez ssh à telnet, scp à ftp, pop+ssl à pop, ...)
# '''N'executez et/ou installez pas n'importe quoi''' (attention aux chevaux de Troie)
# '''Passez root le moins souvent possible''' (root a beaucoup de droits et cela peut se retourner contre vous)
# '''Appliquez le principe du privilège minimum''' (Ne donnez un droit que s'il est nécessaire)
# '''Minimisez vos services''' (Si c'est inutile alors c'est dangereux)
# '''Mettez votre distribution à jour''' (Appliquez les correctifs de sécurité aussi souvent que possible)
# '''Filtrez et surveillez votre trafic réseau''' (Activez le firewall et éventuellement un IDS)
# '''Gardez un œil sur vos données''' (Sauvegardez-les et utilisez des logiciels comme tripwire)
# '''Renforcez votre noyau''' (Ajoutez des modules de sécurité optionnels: SELinux, ASLR, ...)

Une fois ces dix règles édictées, nous allons creuser celles qui valent la peine de l'être.

=== Un bon mot de passe, c'est quoi ? ===
Votre mot de passe est la clef de voûte de votre sécurité, il est extrêmement important de le choisir correctement... mais aussi de le mémoriser facilement.

Pour commencer, un ''mauvais'' mot de passe est un mot de passe pour lequel vous pouvez répondre "oui" à l'une des 7 questions suivantes:

# Avez vous écrit sur un bout de papier votre mot de passe ?
# Votre mot de passe est-il un mot commun que l'on peut trouver dans le dictionnaire ?
# Votre mot de passe est-il un mot commun suivi de 2 chiffres ?
# Votre mot de passe est-il un nom de personne, de lieu ou d'animal ?
# Quelqu'un d'autre connait-il votre mot de passe ?
# Utilisez vous le meme mot de passe pour plusieurs comptes et pour une longue période ?
# Utilisez vous le mot de passe par défaut du constructeur ou de l'éditeur ?

Si vous vous trouvez dans la situation de générer un nouveau mot de passe, voici une technique simple mais qui a fait ses preuves:

# Choisissez un mot ou une phrase qui a un sens pour vous (mais qui reste obscur aux yeux des autres). Par exemple votre personnage préféré dans une pièce, l'animal que vous aviez pendant votre enfance, etc... Notre exemple pour la suite sera "'''mot de passe'''"
# Enlevez les espaces et le remplacez caractères non ASCII (difficile de trouver l'accent sur un clavier QWERTY-us si vous êtes en déplacement). Par exemple: "'''motdepasse'''"
# Substituez les lettres qui s'y prêtent par des nombres. Par exemple: "'''m0tdep4ss3'''"
# Mettez en majuscule certaines lettres. Par exemple: "'''m0TDep4SS3'''"
# Ajoutez des nombres en fin du mot de passe. Par exemple: "'''m0TDep4SS301'''"
# Ajoutez un ou plusieurs caractères qui ne sont ni des lettres, ni des nombres. Par exemple: "'''m0T'De'p4SS3#01'''"

Et voilà, vous avez un beau mot de passe difficilement reconaissable mais mémorisable.

Enfin, si vous n'avez toujours pas confiance dans votre mot de passe, il existe un certain nombre de logiciels de crackage de mots de passe qui peuvent tourner en tâche de fond et vous indiquer quand il est temps de changer de mot de passe. [http://www.openwall.com/john/ John The Ripper] est sans doute le plus célèbre de ces logiciels (un paquetage doit exister pour votre distribution).

=== Politique de restriction des privilèges ===
Comme nous l'avons dit plus haut, accorder des privilèges non nécessaires à des utilisateurs ou des programmes peut s'avérer très dangereux si l'attaquant prend leur contrôle. Il pourra profiter de ces privilèges supplémentaires et les exploiter comme des failles de votre système.

==== Principe du privilège minimum ====
Le principe du privilège minimum est apparu au milieu des années 70 et sa formulation originale était la suivante: "'''Chaque programme et chaque utilisateur du système devrait opérer en utilisant le plus petit nombre de privilèges possible pour accomplir sa tâche.'''"

Sous Linux, le [[Permissions|modèle des privilèges]] de base identifie des objets (les fichiers), des actions (read, write, execute) et des acteurs (les utilisateurs et les groupes). Le type de contrôle que l'on peut exercer sur les privilèges est donné par le modèle du ''Discretionary Access Control'' (DAC) qui veut qu'une fois un utilisateur authentifié il ait tous les droits sur tous les objets qu'il possède.

Pour appliquer le principe du privilège minimum, il faut vous demander si chaque objet qui vous appartient a vraiment besoin d'être ouvert en lecture, écriture ou encore exécution. Si ce n'est pas le cas, supprimez ce droit. Par exemple, pourquoi laisser les autres utilisateurs avoir accès à votre compte en lecture ? C'est certes plus pratiques de temps en temps, mais si vous n'y prêtez pas attention, un attaquant pourrait s'infiltrer dans votre compte et voler des informations que vous ne voudriez pas voir partir. Le mieux est donc de mettre votre <code>umask</code> à <code>700</code> et de restreindre ainsi l'accès à votre compte.

'''Note''': D'autres modèles de contrôle existent, notamment de le ''Mandatory Access Control'' (MAC) implémenté par SELinux et d'autres (''Role-Based Access Control'', RBAC).

==== Bit setuid et sudo, avantages et inconvénients ====
Le bit setuid permet d'exécuter un binaire avec les droits, non pas de celui qui lance le programme, mais de celui qui le possède. Évidemment, les bit setuid sont très pratiques mais provoquent souvent des failles importantes dans le système. L'exemple le plus flagrant étant celui d'une commande comme <code>halt</code> qui n'est habituellement utilisable que par root mais qui est bien pratique pour l'utilisateur de la machine. Mettre le bit setuid sur la commande <code>halt</code> permettra à n'importe quel utilisateur de stopper la machine... Si un attaquant arrive sur votre machine via un compte crée à la va vite, il peut provoquer l'arrêt inconditionnel de votre machine même si vous êtes en train de travailler dessus.

En fait, si c'est votre propre machine, ce que vous désireriez, c'est simplement donner à l'utilisateur principal le droit de faire cela (sans avoir à passer root) et non pas à TOUS les utilisateurs à la fois. Un programme nommé <code>sudo</code> permet de gérer les autorisations de ce type (exécution ou accès sur la base de l'utilisateur et non des groupes).

=== Restreindre les failles de votre système ===
==== Mise à jour de votre distribution ====
Toutes les distributions classiques ont un système qui permet la mise à jour automatique de vos logiciels. D'autres ont même des mises à jour spécifiquement orientées sécurité (Debian, RedHat, Mandriva). Si votre machine est importante n'hésitez pas à le faire souvent.

==== Fermer les services inutiles ====

Par défaut plusieurs services réseaux sont installés et démarrés sur les distributions Linux pour faciliter la vie des utilisateurs. Mais par défaut ces services ne sont pas vraiment configurés de maniére sécurisés et certains de ces services peuvent donner accés à des informations personelles au reste du monde.

Ces services peuvent être lancés de plusieurs façons:

* Par des scripts d'init SysVinit (la plupart des distribution sauf la slackware)

Les scripts d'init sont les scripts qui se trouvent dans <code>/etc/init.d</code>. Ils lancent automatiquement le service qui leur est associé dés qu'un lien ayant comme nom:

<code>SXXservice</code> (avec XX allant de 00 à 99 et service le nom du service)

qui se trouvent dans le répertoire du niveau d'init de démarrage du système (répertoire <code>/etc/rcX.d</code>).
Par exemple pour démarrer le service '''samba''' au niveau d'init 2 et 3, je vais trouver dans les répertoire <code>/etc/rc2.d</code> et <code>/etc/rc3.d</code> un lien pointant vers <code>/etc/init.d/samba</code> qui porte le nom <code>S20samba</code> (le numéro peut varier d'une distribution à l'autre).

Pour désactiver le service il suffit alors de supprimer ce lien et le service ne sera plus démarrer au prochain boot.

* Par des scripts rc (distribution basé sur Slackware)

Le principe est le même, mais les fichiers se trouvent dans <code>/etc/rc.d</code>, et se nomment <code>rc.service</code>.
Cette fois ci pas besoin de liens pour activer les services, le simple fait que le fichier soit executable (bit +x) active le service au boot.
Donc pour désactiver un service:

<code multi>
chmod -x /etc/rc.d/rc.service
</code>

* Par le "super serveur" inetd

Le "super serveur" '''inetd''' est un programme qui permet de lancer nimporte quel autre programme dés qu'une requête réseau est effectué sur le port sur lequel le service est configuré.
La configuration est contenu dans les fichier <code>/etc/inetd.conf</code> et correspond à cette syntaxe:

<code multi>
<service_name> <sock_type> <proto> <flags> <user> <server_path> <args>
</code>

Nous allons pas expliquer ici la configuration de inetd, mais sachez tout simplement que chaques lignes non commentées (ne commençant pas par un #) configure le service <service_name>.

Pour desactiver le service, il suffit alors de commenter la ligne en ajoutant un # au debut. Le service ne sera alors plus activer au prochain redémarrage.

* Par le "super serveur" xinetd

C'est le même principe que précédement, xinetd est le succésseur de inetd, permettant des configuration plus complétes. Mais le principe reste le même: ecouter le réseau et repondre aux requétes en lançant le programme associé à la requéte.
Cette fois ci la configuration est légèrement différente: chaque service à son propre fichier, dans le répertoire <code>/etc/xinetd.d</code>

Cette fois pour désactiver le service il faut alors éditer la configuration de ce dernier dans ce répertoire.
Dans le fichier, il faut editer la ligne "disable" de façon à la mettre à "no" de cette façon:
<code multi>
disable = no
</code>

Et le service sera bien désactiver lors du prochain re-démarrage.

De mnaiére plus générale et plus compléte, apprenez à gérer vos [[Admin-admin_boot-daemons|services]].

==== Sécuriser les services utiles ====

Quand un service est necessaire pour votre travail, essayer autant que possible de limiter son accés aux personnes qui ont en besoin. Bien sur dans le cas d'un service public, comme une site web par exemple, on doit bien sur laissé l'accés du service à tout le monde.
Mais par exemple on peu trés bien imaginer un serveur samba limité à certain utilisateur. La plupart du temps ces services permettent de configurer une liste d'adresse IP à qui ils doivent répondre. A vous de bien les configurer.

Pour les services lancés par les "super serveurs" (inetd ou xinetd) les autorisations d'accés se configurent par /etc/hosts.allow et /etc/hosts.deny. La régle est toujours la même, on autorise PERSONNE sauf ceux qui sont exlicitements autorisés, par cette maniére:

On refuse tout le monde avec le fichier <code>/etc/hosts.deny</code>:
<code multi>
ALL:ALL
</code>

Et on autorise le service aux personnes autorisées, via le fichier <code>/etc/hosts.allow</code>:

<code multi>
ALL:LOCAL
ALL:127.0.0.1
imap:88.88.88.88
proftpd:ALL
</code>

Dans l'exemple ci-dessus on autorise tout les services à tout ce qui est local (réseau local privé et la machine elle même), le service imap (mail) qu'a la machine 88.88.88.88 et le service proftpd (FTP) à tout le monde. Je vous conseille de lire les nombreuses documentation sur ces deux fichiers d'autorisation présentes sur le Net.

=== Firewalls et IDS réseaux ===
==== Configuration minimale de Netfilter ====
Une fois limité les ports réseau attendant des connexions, il faut mettre en place un firewall filtrant grâce à iptables (ou autre). Netfilter est le nom de la couche du noyau qui permet de filtrer tout ce qui passe par les interfaces réseau, tandis que iptables est une interface permettant de piloter Netfilter. Ne pas confondre, donc.
Des articles ont déjà été écrits à ce propos :
* [[Reseau-secu-iptables|iptables par l'exemple]]
* [[Reseau-secu-murdefeu|Mur de feu pas à pas]]
* [[Leapro-pro_reseau-qos|QoS via iptables]]

De manière très succincte, il faut fermer tous les ports puis ouvrir ceux dont on a besoin : le port 80 (et le 443 pour du https) doit être ouvert si l'on a un serveur web, le port 110 si l'on a un serveur pop dont on veut qu'il soit accessible d'internet, etc.

Voici un bon script de base qu'on peut adapter :
<code>#!/bin/sh
# firewall v1.0.1 Oct 13 09:48:57 PDT 2003 written by : Kernel <kernel@trustonme.net>
# Modifié par merlin8282 (je ne sais plus où j'ai pioché l'original mais il y ressemble encore vraiment beaucoup).
# this script is free software according to the GNU General Public License (see [www.gnu.org])
# Start/stop/restart/status firewall:

firewall_start() {

echo "[Démarrage du firewall]"

############################### REGLES PAR DEFAUT ###########################

echo "[Initialisation de la table filter]"
iptables -F
iptables -X

echo "[Politique par défaut de la table filter]"

# On ignore tout ce qui entre ou transite par la passerelle
iptables -P INPUT DROP
iptables -P FORWARD DROP

# On accepte, ce qui sort
iptables -P OUTPUT ACCEPT

# Pour éviter les mauvaises suprises, on va autoriser l'accès à la loopback :
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

############################### LOCAL-INTERNET ###########################

echo "[On autorise les clients à accéder à internet]"

#On créé une nouvelle chaîne, le nom est indifférent
# appelons-la "local-internet"
iptables -N local-internet

# On définit le profil de ceux qui appartiendront à "local-internet"
# "local-internet" concerne toutes les connections sauf celles venant d'internet ( ! = non)
# En gros avec ça, vous rendez, vos serveurs inaccessibles depuis internet.
# Pas de panique, certains serveurs seront autorisés explicitement dans la suite.
# (Remplacer ppp0 en fonction de votre configuration)
iptables -A local-internet -m state --state NEW -i ! ppp0 -j ACCEPT

#Evidemment, une fois acceptées comme "local-internet", les connections peuvent continuer
# et faire des petits :
iptables -A local-internet -m state --state ESTABLISHED,RELATED -j ACCEPT

# On termine en indiquant que les connections appartenant à "local-internet"
# accèdent à internet de manière transparente.
iptables -A INPUT -j local-internet
iptables -A FORWARD -j local-internet

############################### LES TABLES NAT ET MANGLE #############################

echo "[Initialisation des tables nat et mangle]"

iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P OUTPUT ACCEPT

############################### LE MASQUERADING #########################

# Commentez ces 2 lignes, si vous ne faîtes pas du masquerading (nat)
#echo "[Mise en place du masquerading]"
#iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j MASQUERADE

########################### ACTIVATION DE LA PASSERELLE ##################

#echo "[Activation de la passerelle]"
#echo 1 > /proc/sys/net/ipv4/ip_forward

############################## PAS DE SPOOFING ##########################

echo "[Pas de spoofing]"
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ] ; then
for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
do
echo 1 > $filtre
done
fi

########################## PAS DE SYNFLOOD ####################

echo "[Pas de synflood]"
if [ -e /proc/sys/net/ipv4/tcp_syncookies ] ; then
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
fi

############################### PAS DE PING ############################

# commentez ces 6 lignes, si vous autorisez les pings sur votre passerelle
echo "[Pas ping]"
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
if [ -e /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ] ; then
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
fi

############# Priorisation de la bande passante et des connections - QoS ############

echo "[priorisation des connections ssh ...]";
iptables -A PREROUTING -t mangle -p tcp --sport 443 -j TOS --set-tos Minimize-Delay

echo "[priorisation des connections http ...]";
iptables -A PREROUTING -t mangle -p tcp --sport http -j TOS --set-tos Maximize-throughput
iptables -A PREROUTING -t mangle -p tcp --sport 3129 -j TOS --set-tos Maximize-throughput

############################ Fonctionnalités serveurs #####################################

echo "[Etude des fonctionalités serveurs, visibles depuis internet]"

# A ce stade, tous vos clients du réseau local et de la passerelle ont accès à internet. Mieux,
# vos clients du réseau local, ont accès à vos serveurs apache, proftp ... localement. Mais personne
# depuis internet ne peux accéder à l'un des serveurs que vous hébergez.

# Il est bien-sûr possible de dévérrouiller pontuellement l'accès à un serveur depuis internet,
# en décommentant les 2 ou 3 lignes correspondantes.

#echo "[autorisation du serveur ssh(22) ...]"
#iptables -A INPUT -p tcp --dport ssh -j ACCEPT

#echo "[autorisation du serveur smtp(25) ...]"
#iptables -A INPUT -p tcp --dport smtp -j ACCEPT

#echo "[autorisation du serveur http(80) ...]"
#iptables -A INPUT -p tcp --dport www -j ACCEPT

#echo "[autorisation du serveur https(443) ...]"
#iptables -A INPUT -p tcp --dport 443 -j ACCEPT

#echo "[autorisation du serveur DNS(53) ...]"
#iptables -A INPUT -p udp --dport domain -j ACCEPT
#iptables -A INPUT -p tcp --dport domain -j ACCEPT

#echo "[autorisation du serveur irc(6667) ...]"
#iptables -A INPUT -p tcp --dport ircd -j ACCEPT

#echo "[autorisation du serveur cvs (2401) ...]"
#iptables -A INPUT -p tcp --dport cvspserver -j ACCEPT

#echo "[autorisation du serveur FTP(21 et 20) ...]"
#iptables -A INPUT -p tcp --dport ftp -j ACCEPT
#iptables -A INPUT -p tcp --dport ftp-data -j ACCEPT

# Ne pas décommenter les 3 lignes qui suivent.
# Plus généralement :
#echo "[autorisation du serveur Mon_truc(10584) ...]"
#iptables -A INPUT -p tcp --dport 10584 -j ACCEPT

#echo "[autorisation du serveur aMule (4662/tcp) ...]"
#iptables -A INPUT -p tcp --dport 4662 -j ACCEPT

#echo "[autorisation du serveur BitTorrent (6881-6889/tcp) ...]"
#iptables -A INPUT -p tcp --dport 6881:6889 -j ACCEPT

echo "[firewall activé !]"
}

firewall_stop() {

iptables -F
iptables -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P OUTPUT ACCEPT

echo " [firewall descativé!]"
}

firewall_restart() {
firewall_stop
sleep 2
firewall_start
}

case "$1" in
'start')
firewall_start
;;
'stop')
firewall_stop
;;
'restart')
firewall_restart
;;
'status')
iptables -L
iptables -t nat -L
iptables -t mangle -L
;;
*)
echo "Usage: firewall {start|stop|restart|status}"
esac</code>
Ce script est à mettre généralement dans un fichier du dossier <code>/etc/init.d/</code> .

==== Configuration minimale de Snort ====
Voir : [[Reseau-secu-SNORT|Installation de SNORT]] (doc Lea).

=== Sauvegardes et IDS systèmes ===
==== Mettre en place un système de sauvegarde ====
Le mieux est encore de lire une [[Catégorie:Trucs_Sauvegarde|documentation correcte à ce sujet]], en l'occurence [[Les_sauvegardes|cet article]].

==== Configuration minimale de Tripwire ====

== Détecter les intrusions, connaître les outils ==
=== Les symptômes ===

# Votre système a un comportement étrange ou inhabituel.
# Un des comptes a été utilisé ou des fichiers ont été modifiés à l'insu de son propriétaire légitime.
# Un programme ou un utilisateur inconnu se balade sur votre système.
# L'un de vos IDS vous signale une trace très probablement dûe à une attaque (attention aux faux positifs) ou une corruption anormale de votre système de fichiers.
# Des outils d'audit révèlent des anomalies sur votre système.

=== who ===
La commande <code>who</code> ou <code>w</code> permet de voir les utilisateurs actuellement connectés (loggés) au système. Attention cependant car un agresseur peut être -- et l'est certainement si c'est le cas -- connecté sous votre nom, s'il est parvenu à s'immiscer dans votre système.

=== ps ===
La commande <code>ps</code> liste tous les processus actuellement en cours d'exécution sur le système. S'il en est un que vous ne connaissez pas, identifiez-le. Si vous ne savez toujours pas ce que c'est, pas d'affollement : utilisez la commande <code>lsof</code> et voyez si vous trouvez des fichiers en rapport avec ce processus. Vous pouvez alors identifier le processus et déterminer si c'est un processus "inoffensif". Si ce n'est pas le cas, vous pouvez supprimer les fichiers qu'il faut. Attention toutefois à bien être certain que ce soit un logiciel malveillant que vous supprimez ! En revanche, si c'est un logiciel qui s'est fait infecter (par exemple apache) il suffit de réinstaller celui-ci, après avoir vidé le cache des paquets de votre gestionnaire de packages. Vérifiez aussi la configuration après réinstallation. Nul besoin de redémarrer, sauf si évidemment c'est le noyau qui est corrompu, chose qui est à mon avis très rare.

=== netstat ===
La commande <code>netstat</code> est une commande qui liste toutes les connexions réseau actives sur votre machine ainsi que l'état dans lequel elles sont (listening, connected, established, etc.) :
<code>Proto Recv-Q Send-Q Adresse locale Adresse distante Etat
tcp 0 0 0.0.0.0:3129 0.0.0.0:* LISTEN
tcp6 0 0 :::443 :::* LISTEN</code>
On voit ici par exemple que le port 3129 écoute (LISTEN) sur la machine locale (0.0.0.0) et que le port 443 en fait de même.
Vérifiez les connexions actives, les ports ouverts, et faites le lien avec vos démons et autres programmes qui tournent. Si un port ne vous dit rien, informez-vous.

=== lsof ===
La commande <code>lsof</code> liste tous les fichiers ouverts actuellement. Elle indique aussi quel utilisateur utilise quel fichier.
<code>COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
init 1 root mem REG 3,65 31432 1720343 /sbin/init
apache2 597 root mem REG 3,65 385484 25423 /usr/sbin/apache2</code>
Les informations parlent d'elle-mêmes. Ce sont deux cas précis parce-que le processus <code>init</code> a le fichier <code>/sbin/init</code> d'ouvert (de même pour apache).

=== fcheck ===
C'est un utilitaire qui notifie l'administrateur en cas de modification de fichiers. On précise dans le fichier de configuration quels fichiers ou dossiers on veut surveiller et un mail est envoyé en cas de changement.

=== logcheck ===
<code>logcheck</code> est un outil qui scrute les logs, en fait un résumé et envoie un courriel à l'administrateur (généralement root en local) régulièrement. Evidemment, il est possible de configurer le niveau de ce qui est rapporté.

=== chkrootkit ===
C'est un logiciel important, puisqu'il détecte la présence de rootkits. Son principe de fonctionnement est l'écoute des ports réseau. Relativement souvent, cependant, des logiciels tels les clients peer2peer sont détectés comme une menace, bien qu'ils soient inoffensifs. En effet, ils utilisent des ports qui ne sont pas "officiellement" connus (contrairement au port 80, par exemple, qui est celui de tout serveur web). Donc pas d'affolement.

== Récupération d'une machine corrompue ==

==== Règles d'urgence ====
Que faut-il faire avant toute chose ? Comment réagir ? Comment se prémunir d'autres attaques ?

# Mettre la machine hors-ligne (débranchez simplement la prise réseau)
# Faites une sauvegarde '''complète''' du système sur des supports qui seront mis en lieu sûr (cette image du système servira à l'analyse post-mortem).
# Redémarrez à partir d'une image sûre de votre système, restaurez les données. Dans l'idéal, réinstallez complètement votre système (si possible).
# Changez tous les mots de passe.
# Faites une mise à jour '''complète''' de la distribution (installez éventuellement quelques contre-mesures supplémentaires).
# Remettez-la en ligne (en la surveillant plus attentivement que d'habitude, les pirates reviennent souvent sur les machines qu'ils ont réussi à pirater).

Une fois ceci fait, rien ne vous dit que la ou les failles utilisées par les pirates ont disparues. Il vous faut donc procéder à l'analyse post-mortem de l'image de votre système pour déterminer quelle méthode ont utilisé les pirates pour compromettre votre ordinateur et vérifier que la ou les failles ont bien disparues sur votre système actuel.

==== Analyse Post-mortem ====
==== À qui signaler les intrusions et comment réagir face à la loi ? ====

== Voir aussi ==
=== Sur le forum ===
* [http://lea-linux.org/pho/read/1/311418#debut Hack VulnScan par perl... (lolotux)]

=== Liens externes ===
* [http://fr.wikipedia.org/wiki/Cat%C3%A9gorie:Logiciel_de_s%C3%A9curit%C3%A9_informatique Wikipédia : Catégorie:Logiciel de sécurité informatique]
* [http://fr.wikipedia.org/wiki/S%C3%A9curit%C3%A9_informatique Wikipédia : Sécurité des systèmes d'information]
* [http://fr.wikipedia.org/wiki/Risques_en_s%C3%A9curit%C3%A9_informatique Wikipédia : Risques en sécurité informatique]
* [http://www.debian.org/doc/manuals/securing-debian-howto/index.fr.html Une excellente documentation concernant la sécurisation de la distribution Debian GNU/Linux]

== Conclusion ==
Même si l'on connaît les risques, il est toujours impératif de rester sur ses gardes. De nouvelles menaces apparaissent régulièrement, de nouvelles failles sont découvertes chaque jour, de nouveaux virus aussi, etc. L'avenir nous dira si un jour on aura des ordinateurs sûrs à 100%, chose qui n'est pas impossible mais cependant improbable.

{{Copy|2006|[[Utilisateur:Merlin8282|Merlin8282]], [[Utilisateur:Fleury|Fleury]]|CC-BY-SA}}

Utilisateur:Leaserge

2008-08-08T09:18:46Z

Leaserge :

Serge Tchesmeli

Tenir compte de la sécurité au quotidien

2008-08-05T13:28:13Z

Leaserge : /* sécuriser les services utiles */

[[Category:Fiche sécurité]]
<div class="leapar">Par [[Utilisateur:Merlin8282|merlin8282]] et [[Utilisateur:Fleury|Fleury]].</div>
== Introduction ==
Un ordinateur n'est jamais en sécurité, quand bien même on croit qu'il l'est. Un dicton informatique dit d'ailleurs que l'ordinateur le plus sûr est celui qui est éteint. Cet article est là pour vous faire découvrir les différents risques que l'on court en ayant un ordinateur connecté à un réseau, ainsi que les bonnes habitudes à prendre afin de sécuriser sa machine personnelle (nous ne parlerons pas de la sécurisation de serveur en production). Enfin nous aborderons les différents moyens d'analyse post-mortem d'une machine après une attaque et comment la nettoyer avant de la remettre en ligne.

Pour tout le document (et de manière générale), il est évidemment conseillé de lire les pages de manuel des commandes avant de poser des questions.
Lisez aussi les articles connexes en cliquant sur les hyperliens dans le texte car dans ce document je ne m'étale justement pas sur les sujets pour lesquels il existe déjà un article.

Pour lire ce document, il est aussi important d'être à l'aise avec les concepts essentiels de [http://fr.wikipedia.org/wiki/Linux Linux]. Cela permettra d'une part de mieux comprendre ce que vous faîtes et d'autre part de mieux réagir en cas d'attaque, donc, documentez vous sur ce système et son langage de commande ([[Admin-admin_env-shell|shell]]). Lisez aussi la documentation expliquant ce que sont [[Admin-admin_boot-daemons|les daemons et comment ils fonctionnent]], comment fonctionne un réseau, comment gérer les permissions des fichiers, et tout ce qui pourrait être relatif à l'administration Linux. Plus vous en saurez à propos de Linux mieux vous serez armé pour démarrer avec ce document.

== Petit survol de la sécurité informatique ==
La sécurité informatique est un domaine que l'on pourrait séparer en trois parties. La première s'occupe de la sécurité des données, c'est la cryptologie, la plus connue et la plus théorique des trois. La seconde s'occupe de la sécurité des protocoles, elle comprend notamment la sécurité réseau. Enfin, la dernière et la moins connue des trois est la sécurité logicielle, elle s'occupe notamment des failles du genre débordement de tampon (buffer-overflow) et autres (format string, integer overflow, etc).

Dans ce petit survol des risques potentiels en matière de sécurité informatique nous aborderons la sécurité réseau et la sécurité logicielle. La cryptologie ne sera pas abordée car c'est une science très complexe et de toute façon inaccessible au simple utilisateur. Pour finir nous aborderons l'ingénierie sociale qui reste inclassable mais qui est un risque non négligeable.

=== La sécurité réseau ===
Le but de la sécurité réseau est de connaître les forces et les faiblesses des protocoles. Du point de vue de l'attaquant, on se posera des questions comme: ''Comment abuser un firewall ? Comment tirer un maximum d'informations d'un serveur ? Comment aveugler un système de détection d'intrusion ?'' Du point de vue du défenseur, les questions qui se posent sont surtout comment détecter les comportements réseaux anormaux et empêcher (ou au moins réagir face à) une attaque.

Un certain nombre de mots clefs sont associés à la sécurité réseau. Ainsi on parle de firewalls, d'IDS, d'IPS, de scanneurs réseaux, de sniffeurs et autres. Nous allons ici définir quelques-uns de ces mots.

==== Firewalls ====
Pour le définir de manière concise, un firewall (pare-feu) est un filtre réseau qui va pouvoir stopper certains paquets réseau. Suivant le type de trafic qu'ils analysent et à quel niveau ils se placent sur la couche OSI on va parler de plusieurs types de firewalls:

* '''Stateless firewall''': Ce firewall est le plus basique, il ne fait que regarder les paquets réseau un par un et les accepte ou les rejette uniquement sur la base de son fichier de configuration.

* '''Stateful firewall''': Aussi appelé ''connection tracking firewall'', ce firewall permet de tirer parti d'une connaissance du protocole (TCP par exemple). Il garde en mémoire les connections qui sont en cours et l'état dans lequel elles sont (en cours d'établissement, établie, en train d'être achevées, etc). L'avantage de ce firewall est qu'il permet une configuration plus fine avec moins de lignes mais son inconvénient est qu'il utilise un peu de mémoire pour chaque connexion et qu'il est susceptible de se faire saturer (Déni de service).

* '''Firewall applicatif''': Il en existe plusieurs sortes : les proxy, les filtres de contenu (clamav), etc. sont tous des firewalls applicatifs. Contrairement aux firewalls précédents qui résident habituellement dans le noyau, les firewalls applicatifs sont habituellement basés dans l'espace utilisateur. Ces firewalls servent le plus souvent de relais avec éventuellement un contrôle sur le contenu de ce qui transite (quoique le plus souvent les proxy web ne contrôlent pas le contenu des requêtes même s'ils le pourraient).

Sous Linux, le firewall par défaut est [http://www.netfilter.org/ Netfilter], il possède la capacité de faire du Stateless et du Stateful pour divers protocoles. Les firewalls applicatifs existent aussi mais ne sont pas gérés par Netfilter. Nous verrons plus loin comment piloter Netfilter à l'aide de iptables.

==== Scanneur réseau ====
Un scanneur réseau est simplement un petit logiciel qui tente d'explorer un réseau ou une machine de façon distante (c'est à dire via le réseau). Pour cette exploration le scanneur va tenter de se connecter à une ou plusieurs machines de façon directe ou indirecte. Il faut bien comprendre que le but premier du scanneur de réseau est de collecter de l'information (présence/abscence de services) sur un réseau ou une machine et uniquement cela. L'usage d'un scanneur est par conséquent légal (sauf si vous avez signé une charte qui dit le contraire) mais collecter beaucoup d'informations sur un réseau peut vous rendre suspect aux yeux de ceux qui le gèrent.

Le plus connu des scanneur est sans conteste [http://www.insecure.org/nmap/ nmap]. Il possède un grand nombre d'options et permet d'extraire beaucoup d'informations sur votre environnement réseau. Pour peu que vous soyez root sur la machine que vous utilisez, vous pouvez tenter le jeu d'options suivant (regardez le manuel pour savoir ce qu'elles font): <code>nmap -F -O -sV <ip_cible></code>

<code>nmap</code> est bien sûr un scanneur réseau ''basique'', il en existe des bien plus avancés qui utilisent nmap comme brique de base mais qui scannent non plus les services réseau mais les vulnérabilités. On peut ainsi citer [http://www.nessus.org/ nessus] qui permet de tester son réseau contre un grand nombre d'attaques.

Lorsqu'un pirate veut s'en prendre à vous, la première chose qu'il fera sera de vous scanner et extraire un maximum d'informations sur votre réseau. Mieux vaut savoir quelles informations vous laissez filtrer à l'extérieur pour connaître vos faiblesses.

==== Sniffeurs ====
Un sniffeur est un petit logiciel qui va se mettre à l'écoute de tous les paquets réseau qui passent à la portée de votre ordinateur. Habituellement votre machine ne va considérer que les paquets qui vous sont addressés mais l'on peut pervertir l'usage habituel et faire en sorte que votre machine vous permette d'accéder aussi aux paquets qui ne vous sont pas adressés. On appelle cela le mode ''promiscuous'' pour les cartes ethernet et le mode ''monitor'' pour les cartes wifi.

Les sniffeurs sont largement utilisés à la fois par les pirates et par les ingénieurs systèmes. Les pirates les utilisent essentiellement pour récupérer des informations sur un réseau ou même plus. En effet, lorsqu'ils ont compromis une machine de votre réseau, il peuvent laisser tourner de façon cachée un de ces sniffeurs qui va collecter des informations qui transitent par la carte réseau de la machine piratée. Par exemple, tous les mots de passe en clair peuvent être récupérés à moindre frais. D'un autre coté, les administrateurs réseaux ont aussi un grand usage des sniffeurs, ils servent le plus souvent de débogueur réseau mais aussi d'espion pour essayer d'identifier des comportements sur le réseau qui ne seraient pas normal ou qui laisseraient supposer à une attaque (voir les IDS plus loin).

Il existe un très grand nombre de sniffeurs réseau, les deux plus connus sont sans doute [http://www.wireshark.org wireshark] (ex-[http://www.ethereal.com/ ethereal]) et [http://www.tcpdump.org tcpdump]. D'autres sont plus spécialisés comme par exemple [http://lcamtuf.coredump.cx/p0f.shtml p0f] (sniffeur passif de détection d'OS), [http://www.monkey.org/~dugsong/dsniff/ dsniff] (sniffeur de mots de passe) ou encore [http://www.kismetwireless.net/ kismet] (sniffeur wifi).

==== IDS, IPS et honeypots ====
Pour finir ce petit tour de la sécurité réseau nous allons faire un tour du coté des armes auxquelles vous avez accès pour vous défendre.

Pour faire court, les IDS (Intrusion Detection Systems) sont des sondes qui espionnent votre réseau et enregistrent les phénomènes bizarres ou qui pourraient ressembler à des attaques potentielles. Le rôle d'un IDS n'est pas de prévenir des attaques mais vraiment de jouer un rôle similaire à celui de la boîte noire d'un avion après une catastrophe afin de savoir ce qui s'est passé et éventuellement collecter des preuves contre les attaquants.

Il y a trois types d'IDS :
* les '''IDS réseaux''' du genre [http://www.snort.org snort] qui s'assurent de l'intégrité d'un réseau par une analyse du trafic qu'il y a dessus,
* les '''IDS systèmes''' du genre [http://sourceforge.net/projects/tripwire/ tripwire] qui s'assurent de l'intégrité d'un système en stockant un [http://fr.wikipedia.org/wiki/Cyclic_redundancy_check CRC] des principaux fichiers de configuration et des binaires pour s'assurer qu'ils n'ont pas été corrompu,
* les '''IDS hybrides''' qui tentent de rassembler les deux précédents, du genre [http://www.prelude-ids.org/ prelude-IDS].

Les IPS (Intrusion Prevention Systems) sont à peine différents des IDS puisqu'en cas de détection d'une attaque probable, alors que l'IDS se contente d'enregistrer les logs, l'IPS tente de contrer l'attaque en réagissant.

Enfin, les [http://fr.wikipedia.org/wiki/Honeypot honeypots] (pots de miel) sont des simulations de machines faibles. La constatation est simple, les pirates s'attaquent logiquement toujours au point le plus faible de votre réseau. Avoir des points faibles factices et bardés d'alarmes discrètes vous permet non seulement de détourner momentanément les pirates des vraies machines et de les freiner mais aussi de détecter plus facilement les intrus qui se laissent prendre au piège.

Voila, nous avons fait un (très) rapide tour des mots clefs importants en matière de sécurité réseau. Nous allons à présent quitter le réseau et nous intéresser de plus près à ce qui se passe sur vos serveurs et vos machines.

=== La sécurité logicielle ===
Lorsque les pirates n'en ont pas après ce qui circule sur votre réseau, c'est qu'ils tentent de pénétrer une (ou plusieurs) machine(s) et c'est là que commence la sécurité logicielle...

Contrairement à ce que vous pourriez croire, la plupart du temps, les attaques que subi votre ordinateur ne sont pas dûes à des humains mais plutôt à des logiciels automatiques. Les failles listées dans la catégorie ''sécurité logicielle'' sont donc exploitées le plus souvent par des logiciels ''malveillants'' ([http://fr.wikipedia.org/wiki/Logiciel_malveillant malware] en anglais). Ces logiciels peuvent être des ''virus'', des ''vers'', des ''chevaux de Troie'' ou encore des ''rootkits'' mais ils ont tous en commun d'exploiter des failles classiques ou de rendre les systèmes sur lesquels ils résident plus faibles face à des attaquants extérieurs. Nous allons ici lister ces malware et tenter d'en donner une définition succinte.

==== Virii et Vers ====
Un virus est un petit programme qui a la particularité de se reproduire et de se propager d'un système à l'autre suivant certains vecteurs. Cela peut être les mails ou même l'utilisateur lui-même qui va copier le logiciel sur d'autres systèmes. Les vers sont une sorte particulière de virus qui se propagent uniquement via le réseau Internet (l'un des plus célèbre fut Blaster en 2003 qui visait essentiellement des systèmes Microsoft Windows). Certains virus fonctionnent et infectent les systèmes linux, mais leur nombre est plus réduit que ceux qui attaquent les systèmes Windows. Grâce à la rareté de ces virus et à la réactivité de la communauté libre face aux nouvelles failles découvertes, ce genre de malware ne se propage que très difficilement sur les systèmes Linux, et par conséquent Unix.

Il est à signaler que le terme de ''virus'' n'est pas anodin, l'application des patchs de sécurité (l'équivalent d'un vaccin pour reprendre l'analogie biologique) pendant une attaque virale revient réellement à enrayer une épidémie. Ne pas ''vacciner'' votre PC pendant une épidémie virale revient presque exactement au même que refuser de vous vacciner contre la grippe en pleine épidémie (avec la différence que la propagation des virii informatiques est environs cent à mille fois plus rapide qu'avec les virii biologiques). Non seulement vous vous exposez au virus mais en plus vous créez un nouveau foyer d'infection qui va permettre au virus de se propager encore un peu plus. Il faut donc être vigilant et appliquer régulièrement les correctifs de sécurité de votre système pour ne pas s'exposer à des virii, qui pourraient alors s'infiltrer facilement via les failles que vous auriez laissé béantes.

==== Chevaux de Troie ====
Les chevaux de Troie sont des logiciels qui tentent d'abuser l'utilisateur en se faisant passer pour autre chose que ce qu'ils sont réellement (un jeu, un petit utilitaire, ou encore une commande classique comme <code>ssh</code>, etc). Ces logiciels semblent fonctionner exactement comme ils devraient mais peuvent accomplir des actions malveillantes contre votre système. Par exemple, si la commande <code>login</code> a été remplacée, on pourrait imaginer qu'un login particulier permette de se connecter en root de façon distante en plus de remplir sa tâche normalement. S'il s'agissait de la commande <code>ssh</code>, on pourrait effectuer une sauvegarde de toutes machines, les logins et les machines, les clefs privées, etc qui passent à travers cette commande (et même les envoyer vers un dépot quelque part sur l'Internet). Enfin, on peut imaginer un logiciel de jeu qui tous les vendredi 13 se mette à effacer le contenu de votre compte.

Les chevaux de Troie peuvent être aussi un vecteur de propagation pour les virus comme le célèbre ver "I love you" qui se propageait par mail ou aussi être contenu dans un virus qui va l'installer sur le système qu'il a infecté avant de tenter de se propager vers d'autres systèmes.

==== Rootkits ====
Enfin, les [http://fr.wikipedia.org/wiki/Rootkit rootkits] sont des logiciels qui facilitent l'accès réseau discret des pirates sur le système. Leur nom vient du fait qu'ils permettent aux pirates d'accéder au système infecté avec des droits équivalents (ou même supérieurs) au root. À l'origine ces rootkits étaient un ensemble de chevaux de Troie mimant les commandes classiques du système (<code>ps</code>, <code>login</code>, <code>ls</code>, etc). De nos jours, les rootkits sont quasi-essentiellement des kernel-rootkits, c'est à dire qu'ils se branchent directement sur le noyau pour modifier les informations que pourraient lire les utilisateurs du système. Ce dernier type de rootkit permet aux pirates une réelle invisibilité du point de vue des autres utilisateurs (y compris du root). Vous l'aurez compris, ces rootkits sont très difficiles à repérer avec des moyens standards et compromettent très profondément votre système. C'est pour cela qu'il n'est jamais mauvais d'installer et de lancer régulièrement des logiciels du type [http://www.chkrootkit.org/ chkrootkit], qui vérifient la présence de rootkits.

==== Attention aux mélanges !!! ====
Évidemment, tous ces malwares peuvent se combiner entre eux pour former des combinaisons souvent difficiles à contrer. On peut citer l'exemple du vers 1i0n ([http://www.cert.org/incident_notes/IN-2001-03.html rapport CERT], Mars 2001) qui ciblait essentiellement des failles sur les systèmes Unix faisant tourner un serveur BIND et qui installait le rootkit ''erkms'' avant de continuer à se propager. Ce malware combinait à la fois un ver et un rootkit lui-même composé d'un certain nombre de chevaux de Troie.

=== Ingénierie sociale ===
Une dernière technique de piratage existe. Et bien qu'elle soit inclassable du point de vue technique, c'est probablement la plus efficace.

Souvent, si le pirate est humain, c'est un ''insider'' (quelqu'un de l'intérieur), ou quelqu'un qui peut avoir un accès physique aux machines (stagiaire, agent d'entretien, ou simplement qui connaît votre numéro de téléphone ou votre adresse e-mail). Dans ces conditions, il aura simplement recours à de l'[http://fr.wikipedia.org/wiki/Ingénierie_sociale ingénierie sociale]. Cette méthode consiste à profiter de la crédulité des gens qui souvent écrivent leurs mots de passe sur un bout de papier et les laissent à proximité de l'ordinateur. D'autres victimes sont par exemple appelées par téléphone ou contactées via e-mail par l'attaquant qui se fait alors passer pour l'agent d'un service technique quelconque, il prétend avoir besoin de leur mot de passe pour faire des tests.

Cela peut paraître trivial mais c'est la technique qui donne le plus de résultats avec le moins d'investissement en temps et en connaissance. [http://fr.wikipedia.org/wiki/Kevin_Mitnick Kevin Mitnick], un des rois du piratage était passé maître dans ce type d'attaques. Il avait un aplomb et un génie de l'improvisation alliés à des connaissances techniques hors du commun qui lui ont permis de réaliser des miracles (du mauvais côté de la loi, hélas).

Se prémunir contre ce genre d'attaques est simple: Ne confiez vos mots de passe à personne et méfiez-vous lorsqu'on vous les demande.

== Sécuriser sa machine ==
[http://fr.wikipedia.org/wiki/Bruce_Schneier Bruce Schneier], un des pontes de la sécurité informatique, a dit un jour: "''La sécurité n'est pas un produit, c'est un processus''" (''Security is not a product, it's a process''). L'idée que vous pourriez sécuriser votre machine une bonne fois pour toute lors de l'installation et ne plus y toucher ensuite n'est tout simplement pas envisageable. Tout comme les virii biologiques qui mutent pour contourner les défenses immunitaires de leurs hôtes et pouvoir survivre, les pirates inventent constamment de nouvelles techniques ou se servent de failles inédites et produisent des malwares qui pourront contourner des défenses qui étaient parfaitement sûres quelques semaines auparavant. Maintenir une défense contre les agressions des pirates est une veille constante de l'état de votre machine. Évidemment, sans sombrer dans la paranoïa, il va vous falloir accorder une attention à la sécurité de votre machine qui est proportionnelle à la valeur que vous accordez à ce qu'elle protège.

Cette section essaye de donner quelques conseils pour rendre votre machine plus sûre en vous donnant les moyens de résister à la plupart des attaques. '''Attention''', même si vous suivez tous ces conseils votre machine ne sera pas invulnérable, elle sera seulement plus difficile d'accès (ce qui décourage déjà 99% des malwares et des attaquants).

=== Les 10 règles d'or en sécurité ===
Il existe certaines règles qui permettent de se prémunir contre la plupart des attaques. Certaines sont simples et faciles à mettre en œuvre, d'autres sont plus complexes. Voici une liste (non exhaustive) de dix règles à suivre pour sécuriser votre ordinateur. Ces règles sont classées dans un ordre de difficulté croissant. Suivre les règles les plus simples est '''indispensable''' alors que les plus complexes permettent de sécuriser un peu plus votre machine mais ne sont pas forcément aussi importantes. Le mieux est de s'arrêter à l'endroit de la liste qui vous semble trop obscur. Une mesure de protection mal configurée étant souvent pire qu'une absence de protection.

# '''Attention à vos mots de passe''' (choisissez les bien et ne les confiez pas à des inconnu(e)s)
# '''Préférez les protocoles chiffrés''' (préférez ssh à telnet, scp à ftp, pop+ssl à pop, ...)
# '''N'executez et/ou installez pas n'importe quoi''' (attention aux chevaux de Troie)
# '''Passez root le moins souvent possible''' (root a beaucoup de droits et cela peut se retourner contre vous)
# '''Appliquez le principe du privilège minimum''' (Ne donnez un droit que s'il est nécessaire)
# '''Minimisez vos services''' (Si c'est inutile alors c'est dangereux)
# '''Mettez votre distribution à jour''' (Appliquez les correctifs de sécurité aussi souvent que possible)
# '''Filtrez et surveillez votre trafic réseau''' (Activez le firewall et éventuellement un IDS)
# '''Gardez un œil sur vos données''' (Sauvegardez-les et utilisez des logiciels comme tripwire)
# '''Renforcez votre noyau''' (Ajoutez des modules de sécurité optionnels: SELinux, ASLR, ...)

Une fois ces dix règles édictées, nous allons creuser celles qui valent la peine de l'être.

=== Un bon mot de passe, c'est quoi ? ===
Votre mot de passe est la clef de voûte de votre sécurité, il est extrêmement important de le choisir correctement... mais aussi de le mémoriser facilement.

Pour commencer, un ''mauvais'' mot de passe est un mot de passe pour lequel vous pouvez répondre "oui" à l'une des 7 questions suivantes:

# Avez vous écrit sur un bout de papier votre mot de passe ?
# Votre mot de passe est-il un mot commun que l'on peut trouver dans le dictionnaire ?
# Votre mot de passe est-il un mot commun suivi de 2 chiffres ?
# Votre mot de passe est-il un nom de personne, de lieu ou d'animal ?
# Quelqu'un d'autre connait-il votre mot de passe ?
# Utilisez vous le meme mot de passe pour plusieurs comptes et pour une longue période ?
# Utilisez vous le mot de passe par défaut du constructeur ou de l'éditeur ?

Si vous vous trouvez dans la situation de générer un nouveau mot de passe, voici une technique simple mais qui a fait ses preuves:

# Choisissez un mot ou une phrase qui a un sens pour vous (mais qui reste obscur aux yeux des autres). Par exemple votre personnage préféré dans une pièce, l'animal que vous aviez pendant votre enfance, etc... Notre exemple pour la suite sera "'''mot de passe'''"
# Enlevez les espaces et le remplacez caractères non ASCII (difficile de trouver l'accent sur un clavier QWERTY-us si vous êtes en déplacement). Par exemple: "'''motdepasse'''"
# Substituez les lettres qui s'y prêtent par des nombres. Par exemple: "'''m0tdep4ss3'''"
# Mettez en majuscule certaines lettres. Par exemple: "'''m0TDep4SS3'''"
# Ajoutez des nombres en fin du mot de passe. Par exemple: "'''m0TDep4SS301'''"
# Ajoutez un ou plusieurs caractères qui ne sont ni des lettres, ni des nombres. Par exemple: "'''m0T'De'p4SS3#01'''"

Et voilà, vous avez un beau mot de passe difficilement reconaissable mais mémorisable.

Enfin, si vous n'avez toujours pas confiance dans votre mot de passe, il existe un certain nombre de logiciels de crackage de mots de passe qui peuvent tourner en tâche de fond et vous indiquer quand il est temps de changer de mot de passe. [http://www.openwall.com/john/ John The Ripper] est sans doute le plus célèbre de ces logiciels (un paquetage doit exister pour votre distribution).

=== Politique de restriction des privilèges ===
Comme nous l'avons dit plus haut, accorder des privilèges non nécessaires à des utilisateurs ou des programmes peut s'avérer très dangereux si l'attaquant prend leur contrôle. Il pourra profiter de ces privilèges supplémentaires et les exploiter comme des failles de votre système.

==== Principe du privilège minimum ====
Le principe du privilège minimum est apparu au milieu des années 70 et sa formulation originale était la suivante: "'''Chaque programme et chaque utilisateur du système devrait opérer en utilisant le plus petit nombre de privilèges possible pour accomplir sa tâche.'''"

Sous Linux, le [[Permissions|modèle des privilèges]] de base identifie des objets (les fichiers), des actions (read, write, execute) et des acteurs (les utilisateurs et les groupes). Le type de contrôle que l'on peut exercer sur les privilèges est donné par le modèle du ''Discretionary Access Control'' (DAC) qui veut qu'une fois un utilisateur authentifié il ait tous les droits sur tous les objets qu'il possède.

Pour appliquer le principe du privilège minimum, il faut vous demander si chaque objet qui vous appartient a vraiment besoin d'être ouvert en lecture, écriture ou encore exécution. Si ce n'est pas le cas, supprimez ce droit. Par exemple, pourquoi laisser les autres utilisateurs avoir accès à votre compte en lecture ? C'est certes plus pratiques de temps en temps, mais si vous n'y prêtez pas attention, un attaquant pourrait s'infiltrer dans votre compte et voler des informations que vous ne voudriez pas voir partir. Le mieux est donc de mettre votre <code>umask</code> à <code>700</code> et de restreindre ainsi l'accès à votre compte.

'''Note''': D'autres modèles de contrôle existent, notamment de le ''Mandatory Access Control'' (MAC) implémenté par SELinux et d'autres (''Role-Based Access Control'', RBAC).

==== Bit setuid et sudo, avantages et inconvénients ====
Le bit setuid permet d'exécuter un binaire avec les droits, non pas de celui qui lance le programme, mais de celui qui le possède. Évidemment, les bit setuid sont très pratiques mais provoquent souvent des failles importantes dans le système. L'exemple le plus flagrant étant celui d'une commande comme <code>halt</code> qui n'est habituellement utilisable que par root mais qui est bien pratique pour l'utilisateur de la machine. Mettre le bit setuid sur la commande <code>halt</code> permettra à n'importe quel utilisateur de stopper la machine... Si un attaquant arrive sur votre machine via un compte crée à la va vite, il peut provoquer l'arrêt inconditionnel de votre machine même si vous êtes en train de travailler dessus.

En fait, si c'est votre propre machine, ce que vous désireriez, c'est simplement donner à l'utilisateur principal le droit de faire cela (sans avoir à passer root) et non pas à TOUS les utilisateurs à la fois. Un programme nommé <code>sudo</code> permet de gérer les autorisations de ce type (exécution ou accès sur la base de l'utilisateur et non des groupes).

=== Restreindre les failles de votre système ===
==== Mise à jour de votre distribution ====
Toutes les distributions classiques ont un système qui permet la mise à jour automatique de vos logiciels. D'autres ont même des mises à jour spécifiquement orientées sécurité (Debian, RedHat, Mandriva). Si votre machine est importante n'hésitez pas à le faire souvent.

==== Fermer les services inutiles ====

Par défaut plusieurs services réseaux sont installés et démarrés sur les distributions Linux pour faciliter la vie des utilisateurs. Mais par défaut ces services ne sont pas vraiment configurés de maniére sécurisés et certains de ces services peuvent donner accés à des informations personelles au reste du monde.

Ces services peuvent être lancés de plusieurs façons:

* Par des scripts d'init SysVinit (la plupart des distribution sauf la slackware)

Les scripts d'init sont les scripts qui se trouvent dans <code>/etc/init.d</code>. Ils lancent automatiquement le service qui leur est associé dés qu'un lien ayant comme nom:

<code>SXXservice</code> (avec XX allant de 00 à 99 et service le nom du service)

qui se trouvent dans le répertoire du niveau d'init de démarrage du système (répertoire <code>/etc/rcX.d</code>).
Par exemple pour démarrer le service '''samba''' au niveau d'init 2 et 3, je vais trouver dans les répertoire <code>/etc/rc2.d</code> et <code>/etc/rc3.d</code> un lien pointant vers <code>/etc/init.d/samba</code> qui porte le nom <code>S20samba</code> (le numéro peut varier d'une distribution à l'autre).

Pour désactiver le service il suffit alors de supprimer ce lien et le service ne sera plus démarrer au prochain boot.

* Par des scripts rc (distribution basé sur Slackware)

Le principe est le même, mais les fichiers se trouvent dans <code>/etc/rc.d</code>, et se nomment <code>rc.service</code>.
Cette fois ci pas besoin de liens pour activer les services, le simple fait que le fichier soit executable (bit +x) active le service au boot.
Donc pour désactiver un service:

<code multi>
chmod -x /etc/rc.d/rc.service
</code>

* Par le "super serveur" inetd

Le "super serveur" '''inetd''' est un programme qui permet de lancer nimporte quel autre programme dés qu'une requête réseau est effectué sur le port sur lequel le service est configuré.
La configuration est contenu dans les fichier <code>/etc/inetd.conf</code> et correspond à cette syntaxe:

<code multi>
<service_name> <sock_type> <proto> <flags> <user> <server_path> <args>
</code>

Nous allons pas expliquer ici la configuration de inetd, mais sachez tout simplement que chaques lignes non commentées (ne commençant pas par un #) configure le service <service_name>.

Pour desactiver le service, il suffit alors de commenter la ligne en ajoutant un # au debut. Le service ne sera alors plus activer au prochain redémarrage.

* Par le "super serveur" xinetd

C'est le même principe que précédement, xinetd est le succésseur de inetd, permettant des configuration plus complétes. Mais le principe reste le même: ecouter le réseau et repondre aux requétes en lançant le programme associé à la requéte.
Cette fois ci la configuration est légèrement différente: chaque service à son propre fichier, dans le répertoire <code>/etc/xinetd.d</code>

Cette fois pour désactiver le service il faut alors éditer la configuration de ce dernier dans ce répertoire.
Dans le fichier, il faut editer la ligne "disable" de façon à la mettre à "no" de cette façon:
<code multi>
disable = no
</code>

Et le service sera bien désactiver lors du prochain re-démarrage.

De mnaiére plus générale et plus compléte, apprenez à gérer vos [[Admin-admin_boot-daemons|services]].

==== Sécuriser les services utiles ====

Quand un service est necessaire pour votre travail, essayer autant que possible de limiter son accés aux personnes qui ont en besoin. Bien sur dans le cas d'un service public, comme une site web par exemple, on doit bien sur laissé l'accés du service à tout le monde.
Mais par exemple on peu trés bien imaginer un serveur samba limité à certain utilisateur. La plupart du temps ces services permettent de configurer une liste d'adresse IP à qui ils doivent répondre. A vous de bien les configurer.

Pour les services lancés par les "super serveurs" (inetd ou xinetd) les autorisations d'accés se configurent par /etc/hosts.allow et /etc/hosts.deny. La régle est toujours la même, on autorise PERSONNE sauf ceux qui sont exlicitements autorisés, par cette maniére:

On refuse tout le monde avec le fichier <code>/etc/hosts.deny</code>:
<code multi>
ALL:ALL
</code>

Et on autorise le service aux personnes autorisées, via le fichier <code>/etc/hosts.allow</code>:

<code multi>
ALL:LOCAL
ALL:127.0.0.1
imap:88.88.88.88
proftpd:ALL
</code>

Dans l'exemple ci-dessus on autorise tout les services à tout ce qui est local (réseau local privé et la machine elle même), le service imap (mail) qu'a la machine 88.88.88.88 et le service proftpd (FTP) à tout le monde. Je vous conseille de lire les nombreuses documentation sur ces deux fichiers d'autorisation présentes sur le Net.

=== Firewalls et IDS réseaux ===
==== Configuration minimale de Netfilter ====
Une fois limité les ports réseau attendant des connexions, il faut mettre en place un firewall filtrant grâce à iptables (ou autre). Netfilter est le nom de la couche du noyau qui permet de filtrer tout ce qui passe par les interfaces réseau, tandis que iptables est une interface permettant de piloter Netfilter. Ne pas confondre, donc.
Des articles ont déjà été écrits à ce propos :
* [[Reseau-secu-iptables|iptables par l'exemple]]
* [[Reseau-secu-murdefeu|Mur de feu pas à pas]]
* [[Leapro-pro_reseau-qos|QoS via iptables]]

De manière très succincte, il faut fermer tous les ports puis ouvrir ceux dont on a besoin : le port 80 (et le 443 pour du https) doit être ouvert si l'on a un serveur web, le port 110 si l'on a un serveur pop dont on veut qu'il soit accessible d'internet, etc.

Voici un bon script de base qu'on peut adapter :
<code>#!/bin/sh
# firewall v1.0.1 Oct 13 09:48:57 PDT 2003 written by : Kernel <kernel@trustonme.net>
# Modifié par merlin8282 (je ne sais plus où j'ai pioché l'original mais il y ressemble encore vraiment beaucoup).
# this script is free software according to the GNU General Public License (see [www.gnu.org])
# Start/stop/restart/status firewall:

firewall_start() {

echo "[Démarrage du firewall]"

############################### REGLES PAR DEFAUT ###########################

echo "[Initialisation de la table filter]"
iptables -F
iptables -X

echo "[Politique par défaut de la table filter]"

# On ignore tout ce qui entre ou transite par la passerelle
iptables -P INPUT DROP
iptables -P FORWARD DROP

# On accepte, ce qui sort
iptables -P OUTPUT ACCEPT

# Pour éviter les mauvaises suprises, on va autoriser l'accès à la loopback :
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

############################### LOCAL-INTERNET ###########################

echo "[On autorise les clients à accéder à internet]"

#On créé une nouvelle chaîne, le nom est indifférent
# appelons-la "local-internet"
iptables -N local-internet

# On définit le profil de ceux qui appartiendront à "local-internet"
# "local-internet" concerne toutes les connections sauf celles venant d'internet ( ! = non)
# En gros avec ça, vous rendez, vos serveurs inaccessibles depuis internet.
# Pas de panique, certains serveurs seront autorisés explicitement dans la suite.
# (Remplacer ppp0 en fonction de votre configuration)
iptables -A local-internet -m state --state NEW -i ! ppp0 -j ACCEPT

#Evidemment, une fois acceptées comme "local-internet", les connections peuvent continuer
# et faire des petits :
iptables -A local-internet -m state --state ESTABLISHED,RELATED -j ACCEPT

# On termine en indiquant que les connections appartenant à "local-internet"
# accèdent à internet de manière transparente.
iptables -A INPUT -j local-internet
iptables -A FORWARD -j local-internet

############################### LES TABLES NAT ET MANGLE #############################

echo "[Initialisation des tables nat et mangle]"

iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P OUTPUT ACCEPT

############################### LE MASQUERADING #########################

# Commentez ces 2 lignes, si vous ne faîtes pas du masquerading (nat)
#echo "[Mise en place du masquerading]"
#iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j MASQUERADE

########################### ACTIVATION DE LA PASSERELLE ##################

#echo "[Activation de la passerelle]"
#echo 1 > /proc/sys/net/ipv4/ip_forward

############################## PAS DE SPOOFING ##########################

echo "[Pas de spoofing]"
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ] ; then
for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
do
echo 1 > $filtre
done
fi

########################## PAS DE SYNFLOOD ####################

echo "[Pas de synflood]"
if [ -e /proc/sys/net/ipv4/tcp_syncookies ] ; then
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
fi

############################### PAS DE PING ############################

# commentez ces 6 lignes, si vous autorisez les pings sur votre passerelle
echo "[Pas ping]"
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
if [ -e /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ] ; then
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
fi

############# Priorisation de la bande passante et des connections - QoS ############

echo "[priorisation des connections ssh ...]";
iptables -A PREROUTING -t mangle -p tcp --sport 443 -j TOS --set-tos Minimize-Delay

echo "[priorisation des connections http ...]";
iptables -A PREROUTING -t mangle -p tcp --sport http -j TOS --set-tos Maximize-throughput
iptables -A PREROUTING -t mangle -p tcp --sport 3129 -j TOS --set-tos Maximize-throughput

############################ Fonctionnalités serveurs #####################################

echo "[Etude des fonctionalités serveurs, visibles depuis internet]"

# A ce stade, tous vos clients du réseau local et de la passerelle ont accès à internet. Mieux,
# vos clients du réseau local, ont accès à vos serveurs apache, proftp ... localement. Mais personne
# depuis internet ne peux accéder à l'un des serveurs que vous hébergez.

# Il est bien-sûr possible de dévérrouiller pontuellement l'accès à un serveur depuis internet,
# en décommentant les 2 ou 3 lignes correspondantes.

#echo "[autorisation du serveur ssh(22) ...]"
#iptables -A INPUT -p tcp --dport ssh -j ACCEPT

#echo "[autorisation du serveur smtp(25) ...]"
#iptables -A INPUT -p tcp --dport smtp -j ACCEPT

#echo "[autorisation du serveur http(80) ...]"
#iptables -A INPUT -p tcp --dport www -j ACCEPT

#echo "[autorisation du serveur https(443) ...]"
#iptables -A INPUT -p tcp --dport 443 -j ACCEPT

#echo "[autorisation du serveur DNS(53) ...]"
#iptables -A INPUT -p udp --dport domain -j ACCEPT
#iptables -A INPUT -p tcp --dport domain -j ACCEPT

#echo "[autorisation du serveur irc(6667) ...]"
#iptables -A INPUT -p tcp --dport ircd -j ACCEPT

#echo "[autorisation du serveur cvs (2401) ...]"
#iptables -A INPUT -p tcp --dport cvspserver -j ACCEPT

#echo "[autorisation du serveur FTP(21 et 20) ...]"
#iptables -A INPUT -p tcp --dport ftp -j ACCEPT
#iptables -A INPUT -p tcp --dport ftp-data -j ACCEPT

# Ne pas décommenter les 3 lignes qui suivent.
# Plus généralement :
#echo "[autorisation du serveur Mon_truc(10584) ...]"
#iptables -A INPUT -p tcp --dport 10584 -j ACCEPT

#echo "[autorisation du serveur aMule (4662/tcp) ...]"
#iptables -A INPUT -p tcp --dport 4662 -j ACCEPT

#echo "[autorisation du serveur BitTorrent (6881-6889/tcp) ...]"
#iptables -A INPUT -p tcp --dport 6881:6889 -j ACCEPT

echo "[firewall activé !]"
}

firewall_stop() {

iptables -F
iptables -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P OUTPUT ACCEPT

echo " [firewall descativé!]"
}

firewall_restart() {
firewall_stop
sleep 2
firewall_start
}

case "$1" in
'start')
firewall_start
;;
'stop')
firewall_stop
;;
'restart')
firewall_restart
;;
'status')
iptables -L
iptables -t nat -L
iptables -t mangle -L
;;
*)
echo "Usage: firewall {start|stop|restart|status}"
esac</code>
Ce script est à mettre généralement dans un fichier du dossier <code>/etc/init.d/</code> .

==== Configuration minimale de Snort ====
Voir : [[Reseau-secu-SNORT|Installation de SNORT]] (doc Lea).

=== Sauvegardes et IDS systèmes ===
==== Mettre en place un système de sauvegarde ====
Le mieux est encore de lire une [[Catégorie:Trucs_Sauvegarde|documentation correcte à ce sujet]], en l'occurence [[Les_sauvegardes|cet article]].

==== Configuration minimale de Tripwire ====

== Détecter les intrusions, connaître les outils ==
=== Les symptômes ===

# Votre système a un comportement étrange ou inhabituel.
# Un des comptes a été utilisé ou des fichiers ont été modifiés à l'insu de son propriétaire légitime.
# Un programme ou un utilisateur inconnu se balade sur votre système.
# L'un de vos IDS vous signale une trace très probablement dûe à une attaque (attention aux faux positifs) ou une corruption anormale de votre système de fichiers.
# Des outils d'audit révèlent des anomalies sur votre système.

=== who ===
La commande <code>who</code> ou <code>w</code> permet de voir les utilisateurs actuellement connectés (loggés) au système. Attention cependant car un agresseur peut être -- et l'est certainement si c'est le cas -- connecté sous votre nom, s'il est parvenu à s'immiscer dans votre système.

=== ps ===
La commande <code>ps</code> liste tous les processus actuellement en cours d'exécution sur le système. S'il en est un que vous ne connaissez pas, identifiez-le. Si vous ne savez toujours pas ce que c'est, pas d'affollement : utilisez la commande <code>lsof</code> et voyez si vous trouvez des fichiers en rapport avec ce processus. Vous pouvez alors identifier le processus et déterminer si c'est un processus "inoffensif". Si ce n'est pas le cas, vous pouvez supprimer les fichiers qu'il faut. Attention toutefois à bien être certain que ce soit un logiciel malveillant que vous supprimez ! En revanche, si c'est un logiciel qui s'est fait infecter (par exemple apache) il suffit de réinstaller celui-ci, après avoir vidé le cache des paquets de votre gestionnaire de packages. Vérifiez aussi la configuration après réinstallation. Nul besoin de redémarrer, sauf si évidemment c'est le noyau qui est corrompu, chose qui est à mon avis très rare.

=== netstat ===
La commande <code>netstat</code> est une commande qui liste toutes les connexions réseau actives sur votre machine ainsi que l'état dans lequel elles sont (listening, connected, established, etc.) :
<code>Proto Recv-Q Send-Q Adresse locale Adresse distante Etat
tcp 0 0 0.0.0.0:3129 0.0.0.0:* LISTEN
tcp6 0 0 :::443 :::* LISTEN</code>
On voit ici par exemple que le port 3129 écoute (LISTEN) sur la machine locale (0.0.0.0) et que le port 443 en fait de même.
Vérifiez les connexions actives, les ports ouverts, et faites le lien avec vos démons et autres programmes qui tournent. Si un port ne vous dit rien, informez-vous.

=== lsof ===
La commande <code>lsof</code> liste tous les fichiers ouverts actuellement. Elle indique aussi quel utilisateur utilise quel fichier.
<code>COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
init 1 root mem REG 3,65 31432 1720343 /sbin/init
apache2 597 root mem REG 3,65 385484 25423 /usr/sbin/apache2</code>
Les informations parlent d'elle-mêmes. Ce sont deux cas précis parce-que le processus <code>init</code> a le fichier <code>/sbin/init</code> d'ouvert (de même pour apache).

=== fcheck ===
C'est un utilitaire qui notifie l'administrateur en cas de modification de fichiers. On précise dans le fichier de configuration quels fichiers ou dossiers on veut surveiller et un mail est envoyé en cas de changement.

=== logcheck ===
<code>logcheck</code> est un outil qui scrute les logs, en fait un résumé et envoie un courriel à l'administrateur (généralement root en local) régulièrement. Evidemment, il est possible de configurer le niveau de ce qui est rapporté.

=== chkrootkit ===
C'est un logiciel important, puisqu'il détecte la présence de rootkits. Son principe de fonctionnement est l'écoute des ports réseau. Relativement souvent, cependant, des logiciels tels les clients peer2peer sont détectés comme une menace, bien qu'ils soient inoffensifs. En effet, ils utilisent des ports qui ne sont pas "officiellement" connus (contrairement au port 80, par exemple, qui est celui de tout serveur web). Donc pas d'affolement.

== Récupération d'une machine corrompue ==

==== Règles d'urgence ====
Que faut-il faire avant toute chose ? Comment réagir ? Comment se prémunir d'autres attaques ?

# Mettre la machine hors-ligne (débranchez simplement la prise réseau)
# Faites une sauvegarde '''complète''' du système sur des supports qui seront mis en lieu sûr (cette image du système servira à l'analyse post-mortem).
# Redémarrez à partir d'une image sûre de votre système, restaurez les données. Dans l'idéal, réinstallez complètement votre système (si possible).
# Changez tous les mots de passe.
# Faites une mise à jour '''complète''' de la distribution (installez éventuellement quelques contre-mesures supplémentaires).
# Remettez-la en ligne (en la surveillant plus attentivement que d'habitude, les pirates reviennent souvent sur les machines qu'ils ont réussi à pirater).

Une fois ceci fait, rien ne vous dit que la ou les failles utilisées par les pirates ont disparues. Il vous faut donc procéder à l'analyse post-mortem de l'image de votre système pour déterminer quelle méthode ont utilisé les pirates pour compromettre votre ordinateur et vérifier que la ou les failles ont bien disparues sur votre système actuel.

==== Analyse Post-mortem ====
==== À qui signaler les intrusions et comment réagir face à la loi ? ====

== Voir aussi ==
=== Sur le forum ===
* [http://lea-linux.org/pho/read/1/311418#debut Hack VulnScan par perl... (lolotux)]

=== Liens externes ===
* [http://fr.wikipedia.org/wiki/Cat%C3%A9gorie:Logiciel_de_s%C3%A9curit%C3%A9_informatique Wikipédia : Catégorie:Logiciel de sécurité informatique]
* [http://fr.wikipedia.org/wiki/S%C3%A9curit%C3%A9_informatique Wikipédia : Sécurité des systèmes d'information]
* [http://fr.wikipedia.org/wiki/Risques_en_s%C3%A9curit%C3%A9_informatique Wikipédia : Risques en sécurité informatique]
* [http://www.debian.org/doc/manuals/securing-debian-howto/index.fr.html Une excellente documentation concernant la sécurisation de la distribution Debian GNU/Linux]

== Conclusion ==
Même si l'on connaît les risques, il est toujours impératif de rester sur ses gardes. De nouvelles menaces apparaissent régulièrement, de nouvelles failles sont découvertes chaque jour, de nouveaux virus aussi, etc. L'avenir nous dira si un jour on aura des ordinateurs sûrs à 100%, chose qui n'est pas impossible mais cependant improbable.

{{Copy|2006|[[Utilisateur:Merlin8282|Merlin8282]], [[Utilisateur:Fleury|Fleury]]|CC-BY-SA}}

Tenir compte de la sécurité au quotidien

2008-08-05T13:24:35Z

Leaserge : /* Fermer les services inutiles */

[[Category:Fiche sécurité]]
<div class="leapar">Par [[Utilisateur:Merlin8282|merlin8282]] et [[Utilisateur:Fleury|Fleury]].</div>
== Introduction ==
Un ordinateur n'est jamais en sécurité, quand bien même on croit qu'il l'est. Un dicton informatique dit d'ailleurs que l'ordinateur le plus sûr est celui qui est éteint. Cet article est là pour vous faire découvrir les différents risques que l'on court en ayant un ordinateur connecté à un réseau, ainsi que les bonnes habitudes à prendre afin de sécuriser sa machine personnelle (nous ne parlerons pas de la sécurisation de serveur en production). Enfin nous aborderons les différents moyens d'analyse post-mortem d'une machine après une attaque et comment la nettoyer avant de la remettre en ligne.

Pour tout le document (et de manière générale), il est évidemment conseillé de lire les pages de manuel des commandes avant de poser des questions.
Lisez aussi les articles connexes en cliquant sur les hyperliens dans le texte car dans ce document je ne m'étale justement pas sur les sujets pour lesquels il existe déjà un article.

Pour lire ce document, il est aussi important d'être à l'aise avec les concepts essentiels de [http://fr.wikipedia.org/wiki/Linux Linux]. Cela permettra d'une part de mieux comprendre ce que vous faîtes et d'autre part de mieux réagir en cas d'attaque, donc, documentez vous sur ce système et son langage de commande ([[Admin-admin_env-shell|shell]]). Lisez aussi la documentation expliquant ce que sont [[Admin-admin_boot-daemons|les daemons et comment ils fonctionnent]], comment fonctionne un réseau, comment gérer les permissions des fichiers, et tout ce qui pourrait être relatif à l'administration Linux. Plus vous en saurez à propos de Linux mieux vous serez armé pour démarrer avec ce document.

== Petit survol de la sécurité informatique ==
La sécurité informatique est un domaine que l'on pourrait séparer en trois parties. La première s'occupe de la sécurité des données, c'est la cryptologie, la plus connue et la plus théorique des trois. La seconde s'occupe de la sécurité des protocoles, elle comprend notamment la sécurité réseau. Enfin, la dernière et la moins connue des trois est la sécurité logicielle, elle s'occupe notamment des failles du genre débordement de tampon (buffer-overflow) et autres (format string, integer overflow, etc).

Dans ce petit survol des risques potentiels en matière de sécurité informatique nous aborderons la sécurité réseau et la sécurité logicielle. La cryptologie ne sera pas abordée car c'est une science très complexe et de toute façon inaccessible au simple utilisateur. Pour finir nous aborderons l'ingénierie sociale qui reste inclassable mais qui est un risque non négligeable.

=== La sécurité réseau ===
Le but de la sécurité réseau est de connaître les forces et les faiblesses des protocoles. Du point de vue de l'attaquant, on se posera des questions comme: ''Comment abuser un firewall ? Comment tirer un maximum d'informations d'un serveur ? Comment aveugler un système de détection d'intrusion ?'' Du point de vue du défenseur, les questions qui se posent sont surtout comment détecter les comportements réseaux anormaux et empêcher (ou au moins réagir face à) une attaque.

Un certain nombre de mots clefs sont associés à la sécurité réseau. Ainsi on parle de firewalls, d'IDS, d'IPS, de scanneurs réseaux, de sniffeurs et autres. Nous allons ici définir quelques-uns de ces mots.

==== Firewalls ====
Pour le définir de manière concise, un firewall (pare-feu) est un filtre réseau qui va pouvoir stopper certains paquets réseau. Suivant le type de trafic qu'ils analysent et à quel niveau ils se placent sur la couche OSI on va parler de plusieurs types de firewalls:

* '''Stateless firewall''': Ce firewall est le plus basique, il ne fait que regarder les paquets réseau un par un et les accepte ou les rejette uniquement sur la base de son fichier de configuration.

* '''Stateful firewall''': Aussi appelé ''connection tracking firewall'', ce firewall permet de tirer parti d'une connaissance du protocole (TCP par exemple). Il garde en mémoire les connections qui sont en cours et l'état dans lequel elles sont (en cours d'établissement, établie, en train d'être achevées, etc). L'avantage de ce firewall est qu'il permet une configuration plus fine avec moins de lignes mais son inconvénient est qu'il utilise un peu de mémoire pour chaque connexion et qu'il est susceptible de se faire saturer (Déni de service).

* '''Firewall applicatif''': Il en existe plusieurs sortes : les proxy, les filtres de contenu (clamav), etc. sont tous des firewalls applicatifs. Contrairement aux firewalls précédents qui résident habituellement dans le noyau, les firewalls applicatifs sont habituellement basés dans l'espace utilisateur. Ces firewalls servent le plus souvent de relais avec éventuellement un contrôle sur le contenu de ce qui transite (quoique le plus souvent les proxy web ne contrôlent pas le contenu des requêtes même s'ils le pourraient).

Sous Linux, le firewall par défaut est [http://www.netfilter.org/ Netfilter], il possède la capacité de faire du Stateless et du Stateful pour divers protocoles. Les firewalls applicatifs existent aussi mais ne sont pas gérés par Netfilter. Nous verrons plus loin comment piloter Netfilter à l'aide de iptables.

==== Scanneur réseau ====
Un scanneur réseau est simplement un petit logiciel qui tente d'explorer un réseau ou une machine de façon distante (c'est à dire via le réseau). Pour cette exploration le scanneur va tenter de se connecter à une ou plusieurs machines de façon directe ou indirecte. Il faut bien comprendre que le but premier du scanneur de réseau est de collecter de l'information (présence/abscence de services) sur un réseau ou une machine et uniquement cela. L'usage d'un scanneur est par conséquent légal (sauf si vous avez signé une charte qui dit le contraire) mais collecter beaucoup d'informations sur un réseau peut vous rendre suspect aux yeux de ceux qui le gèrent.

Le plus connu des scanneur est sans conteste [http://www.insecure.org/nmap/ nmap]. Il possède un grand nombre d'options et permet d'extraire beaucoup d'informations sur votre environnement réseau. Pour peu que vous soyez root sur la machine que vous utilisez, vous pouvez tenter le jeu d'options suivant (regardez le manuel pour savoir ce qu'elles font): <code>nmap -F -O -sV <ip_cible></code>

<code>nmap</code> est bien sûr un scanneur réseau ''basique'', il en existe des bien plus avancés qui utilisent nmap comme brique de base mais qui scannent non plus les services réseau mais les vulnérabilités. On peut ainsi citer [http://www.nessus.org/ nessus] qui permet de tester son réseau contre un grand nombre d'attaques.

Lorsqu'un pirate veut s'en prendre à vous, la première chose qu'il fera sera de vous scanner et extraire un maximum d'informations sur votre réseau. Mieux vaut savoir quelles informations vous laissez filtrer à l'extérieur pour connaître vos faiblesses.

==== Sniffeurs ====
Un sniffeur est un petit logiciel qui va se mettre à l'écoute de tous les paquets réseau qui passent à la portée de votre ordinateur. Habituellement votre machine ne va considérer que les paquets qui vous sont addressés mais l'on peut pervertir l'usage habituel et faire en sorte que votre machine vous permette d'accéder aussi aux paquets qui ne vous sont pas adressés. On appelle cela le mode ''promiscuous'' pour les cartes ethernet et le mode ''monitor'' pour les cartes wifi.

Les sniffeurs sont largement utilisés à la fois par les pirates et par les ingénieurs systèmes. Les pirates les utilisent essentiellement pour récupérer des informations sur un réseau ou même plus. En effet, lorsqu'ils ont compromis une machine de votre réseau, il peuvent laisser tourner de façon cachée un de ces sniffeurs qui va collecter des informations qui transitent par la carte réseau de la machine piratée. Par exemple, tous les mots de passe en clair peuvent être récupérés à moindre frais. D'un autre coté, les administrateurs réseaux ont aussi un grand usage des sniffeurs, ils servent le plus souvent de débogueur réseau mais aussi d'espion pour essayer d'identifier des comportements sur le réseau qui ne seraient pas normal ou qui laisseraient supposer à une attaque (voir les IDS plus loin).

Il existe un très grand nombre de sniffeurs réseau, les deux plus connus sont sans doute [http://www.wireshark.org wireshark] (ex-[http://www.ethereal.com/ ethereal]) et [http://www.tcpdump.org tcpdump]. D'autres sont plus spécialisés comme par exemple [http://lcamtuf.coredump.cx/p0f.shtml p0f] (sniffeur passif de détection d'OS), [http://www.monkey.org/~dugsong/dsniff/ dsniff] (sniffeur de mots de passe) ou encore [http://www.kismetwireless.net/ kismet] (sniffeur wifi).

==== IDS, IPS et honeypots ====
Pour finir ce petit tour de la sécurité réseau nous allons faire un tour du coté des armes auxquelles vous avez accès pour vous défendre.

Pour faire court, les IDS (Intrusion Detection Systems) sont des sondes qui espionnent votre réseau et enregistrent les phénomènes bizarres ou qui pourraient ressembler à des attaques potentielles. Le rôle d'un IDS n'est pas de prévenir des attaques mais vraiment de jouer un rôle similaire à celui de la boîte noire d'un avion après une catastrophe afin de savoir ce qui s'est passé et éventuellement collecter des preuves contre les attaquants.

Il y a trois types d'IDS :
* les '''IDS réseaux''' du genre [http://www.snort.org snort] qui s'assurent de l'intégrité d'un réseau par une analyse du trafic qu'il y a dessus,
* les '''IDS systèmes''' du genre [http://sourceforge.net/projects/tripwire/ tripwire] qui s'assurent de l'intégrité d'un système en stockant un [http://fr.wikipedia.org/wiki/Cyclic_redundancy_check CRC] des principaux fichiers de configuration et des binaires pour s'assurer qu'ils n'ont pas été corrompu,
* les '''IDS hybrides''' qui tentent de rassembler les deux précédents, du genre [http://www.prelude-ids.org/ prelude-IDS].

Les IPS (Intrusion Prevention Systems) sont à peine différents des IDS puisqu'en cas de détection d'une attaque probable, alors que l'IDS se contente d'enregistrer les logs, l'IPS tente de contrer l'attaque en réagissant.

Enfin, les [http://fr.wikipedia.org/wiki/Honeypot honeypots] (pots de miel) sont des simulations de machines faibles. La constatation est simple, les pirates s'attaquent logiquement toujours au point le plus faible de votre réseau. Avoir des points faibles factices et bardés d'alarmes discrètes vous permet non seulement de détourner momentanément les pirates des vraies machines et de les freiner mais aussi de détecter plus facilement les intrus qui se laissent prendre au piège.

Voila, nous avons fait un (très) rapide tour des mots clefs importants en matière de sécurité réseau. Nous allons à présent quitter le réseau et nous intéresser de plus près à ce qui se passe sur vos serveurs et vos machines.

=== La sécurité logicielle ===
Lorsque les pirates n'en ont pas après ce qui circule sur votre réseau, c'est qu'ils tentent de pénétrer une (ou plusieurs) machine(s) et c'est là que commence la sécurité logicielle...

Contrairement à ce que vous pourriez croire, la plupart du temps, les attaques que subi votre ordinateur ne sont pas dûes à des humains mais plutôt à des logiciels automatiques. Les failles listées dans la catégorie ''sécurité logicielle'' sont donc exploitées le plus souvent par des logiciels ''malveillants'' ([http://fr.wikipedia.org/wiki/Logiciel_malveillant malware] en anglais). Ces logiciels peuvent être des ''virus'', des ''vers'', des ''chevaux de Troie'' ou encore des ''rootkits'' mais ils ont tous en commun d'exploiter des failles classiques ou de rendre les systèmes sur lesquels ils résident plus faibles face à des attaquants extérieurs. Nous allons ici lister ces malware et tenter d'en donner une définition succinte.

==== Virii et Vers ====
Un virus est un petit programme qui a la particularité de se reproduire et de se propager d'un système à l'autre suivant certains vecteurs. Cela peut être les mails ou même l'utilisateur lui-même qui va copier le logiciel sur d'autres systèmes. Les vers sont une sorte particulière de virus qui se propagent uniquement via le réseau Internet (l'un des plus célèbre fut Blaster en 2003 qui visait essentiellement des systèmes Microsoft Windows). Certains virus fonctionnent et infectent les systèmes linux, mais leur nombre est plus réduit que ceux qui attaquent les systèmes Windows. Grâce à la rareté de ces virus et à la réactivité de la communauté libre face aux nouvelles failles découvertes, ce genre de malware ne se propage que très difficilement sur les systèmes Linux, et par conséquent Unix.

Il est à signaler que le terme de ''virus'' n'est pas anodin, l'application des patchs de sécurité (l'équivalent d'un vaccin pour reprendre l'analogie biologique) pendant une attaque virale revient réellement à enrayer une épidémie. Ne pas ''vacciner'' votre PC pendant une épidémie virale revient presque exactement au même que refuser de vous vacciner contre la grippe en pleine épidémie (avec la différence que la propagation des virii informatiques est environs cent à mille fois plus rapide qu'avec les virii biologiques). Non seulement vous vous exposez au virus mais en plus vous créez un nouveau foyer d'infection qui va permettre au virus de se propager encore un peu plus. Il faut donc être vigilant et appliquer régulièrement les correctifs de sécurité de votre système pour ne pas s'exposer à des virii, qui pourraient alors s'infiltrer facilement via les failles que vous auriez laissé béantes.

==== Chevaux de Troie ====
Les chevaux de Troie sont des logiciels qui tentent d'abuser l'utilisateur en se faisant passer pour autre chose que ce qu'ils sont réellement (un jeu, un petit utilitaire, ou encore une commande classique comme <code>ssh</code>, etc). Ces logiciels semblent fonctionner exactement comme ils devraient mais peuvent accomplir des actions malveillantes contre votre système. Par exemple, si la commande <code>login</code> a été remplacée, on pourrait imaginer qu'un login particulier permette de se connecter en root de façon distante en plus de remplir sa tâche normalement. S'il s'agissait de la commande <code>ssh</code>, on pourrait effectuer une sauvegarde de toutes machines, les logins et les machines, les clefs privées, etc qui passent à travers cette commande (et même les envoyer vers un dépot quelque part sur l'Internet). Enfin, on peut imaginer un logiciel de jeu qui tous les vendredi 13 se mette à effacer le contenu de votre compte.

Les chevaux de Troie peuvent être aussi un vecteur de propagation pour les virus comme le célèbre ver "I love you" qui se propageait par mail ou aussi être contenu dans un virus qui va l'installer sur le système qu'il a infecté avant de tenter de se propager vers d'autres systèmes.

==== Rootkits ====
Enfin, les [http://fr.wikipedia.org/wiki/Rootkit rootkits] sont des logiciels qui facilitent l'accès réseau discret des pirates sur le système. Leur nom vient du fait qu'ils permettent aux pirates d'accéder au système infecté avec des droits équivalents (ou même supérieurs) au root. À l'origine ces rootkits étaient un ensemble de chevaux de Troie mimant les commandes classiques du système (<code>ps</code>, <code>login</code>, <code>ls</code>, etc). De nos jours, les rootkits sont quasi-essentiellement des kernel-rootkits, c'est à dire qu'ils se branchent directement sur le noyau pour modifier les informations que pourraient lire les utilisateurs du système. Ce dernier type de rootkit permet aux pirates une réelle invisibilité du point de vue des autres utilisateurs (y compris du root). Vous l'aurez compris, ces rootkits sont très difficiles à repérer avec des moyens standards et compromettent très profondément votre système. C'est pour cela qu'il n'est jamais mauvais d'installer et de lancer régulièrement des logiciels du type [http://www.chkrootkit.org/ chkrootkit], qui vérifient la présence de rootkits.

==== Attention aux mélanges !!! ====
Évidemment, tous ces malwares peuvent se combiner entre eux pour former des combinaisons souvent difficiles à contrer. On peut citer l'exemple du vers 1i0n ([http://www.cert.org/incident_notes/IN-2001-03.html rapport CERT], Mars 2001) qui ciblait essentiellement des failles sur les systèmes Unix faisant tourner un serveur BIND et qui installait le rootkit ''erkms'' avant de continuer à se propager. Ce malware combinait à la fois un ver et un rootkit lui-même composé d'un certain nombre de chevaux de Troie.

=== Ingénierie sociale ===
Une dernière technique de piratage existe. Et bien qu'elle soit inclassable du point de vue technique, c'est probablement la plus efficace.

Souvent, si le pirate est humain, c'est un ''insider'' (quelqu'un de l'intérieur), ou quelqu'un qui peut avoir un accès physique aux machines (stagiaire, agent d'entretien, ou simplement qui connaît votre numéro de téléphone ou votre adresse e-mail). Dans ces conditions, il aura simplement recours à de l'[http://fr.wikipedia.org/wiki/Ingénierie_sociale ingénierie sociale]. Cette méthode consiste à profiter de la crédulité des gens qui souvent écrivent leurs mots de passe sur un bout de papier et les laissent à proximité de l'ordinateur. D'autres victimes sont par exemple appelées par téléphone ou contactées via e-mail par l'attaquant qui se fait alors passer pour l'agent d'un service technique quelconque, il prétend avoir besoin de leur mot de passe pour faire des tests.

Cela peut paraître trivial mais c'est la technique qui donne le plus de résultats avec le moins d'investissement en temps et en connaissance. [http://fr.wikipedia.org/wiki/Kevin_Mitnick Kevin Mitnick], un des rois du piratage était passé maître dans ce type d'attaques. Il avait un aplomb et un génie de l'improvisation alliés à des connaissances techniques hors du commun qui lui ont permis de réaliser des miracles (du mauvais côté de la loi, hélas).

Se prémunir contre ce genre d'attaques est simple: Ne confiez vos mots de passe à personne et méfiez-vous lorsqu'on vous les demande.

== Sécuriser sa machine ==
[http://fr.wikipedia.org/wiki/Bruce_Schneier Bruce Schneier], un des pontes de la sécurité informatique, a dit un jour: "''La sécurité n'est pas un produit, c'est un processus''" (''Security is not a product, it's a process''). L'idée que vous pourriez sécuriser votre machine une bonne fois pour toute lors de l'installation et ne plus y toucher ensuite n'est tout simplement pas envisageable. Tout comme les virii biologiques qui mutent pour contourner les défenses immunitaires de leurs hôtes et pouvoir survivre, les pirates inventent constamment de nouvelles techniques ou se servent de failles inédites et produisent des malwares qui pourront contourner des défenses qui étaient parfaitement sûres quelques semaines auparavant. Maintenir une défense contre les agressions des pirates est une veille constante de l'état de votre machine. Évidemment, sans sombrer dans la paranoïa, il va vous falloir accorder une attention à la sécurité de votre machine qui est proportionnelle à la valeur que vous accordez à ce qu'elle protège.

Cette section essaye de donner quelques conseils pour rendre votre machine plus sûre en vous donnant les moyens de résister à la plupart des attaques. '''Attention''', même si vous suivez tous ces conseils votre machine ne sera pas invulnérable, elle sera seulement plus difficile d'accès (ce qui décourage déjà 99% des malwares et des attaquants).

=== Les 10 règles d'or en sécurité ===
Il existe certaines règles qui permettent de se prémunir contre la plupart des attaques. Certaines sont simples et faciles à mettre en œuvre, d'autres sont plus complexes. Voici une liste (non exhaustive) de dix règles à suivre pour sécuriser votre ordinateur. Ces règles sont classées dans un ordre de difficulté croissant. Suivre les règles les plus simples est '''indispensable''' alors que les plus complexes permettent de sécuriser un peu plus votre machine mais ne sont pas forcément aussi importantes. Le mieux est de s'arrêter à l'endroit de la liste qui vous semble trop obscur. Une mesure de protection mal configurée étant souvent pire qu'une absence de protection.

# '''Attention à vos mots de passe''' (choisissez les bien et ne les confiez pas à des inconnu(e)s)
# '''Préférez les protocoles chiffrés''' (préférez ssh à telnet, scp à ftp, pop+ssl à pop, ...)
# '''N'executez et/ou installez pas n'importe quoi''' (attention aux chevaux de Troie)
# '''Passez root le moins souvent possible''' (root a beaucoup de droits et cela peut se retourner contre vous)
# '''Appliquez le principe du privilège minimum''' (Ne donnez un droit que s'il est nécessaire)
# '''Minimisez vos services''' (Si c'est inutile alors c'est dangereux)
# '''Mettez votre distribution à jour''' (Appliquez les correctifs de sécurité aussi souvent que possible)
# '''Filtrez et surveillez votre trafic réseau''' (Activez le firewall et éventuellement un IDS)
# '''Gardez un œil sur vos données''' (Sauvegardez-les et utilisez des logiciels comme tripwire)
# '''Renforcez votre noyau''' (Ajoutez des modules de sécurité optionnels: SELinux, ASLR, ...)

Une fois ces dix règles édictées, nous allons creuser celles qui valent la peine de l'être.

=== Un bon mot de passe, c'est quoi ? ===
Votre mot de passe est la clef de voûte de votre sécurité, il est extrêmement important de le choisir correctement... mais aussi de le mémoriser facilement.

Pour commencer, un ''mauvais'' mot de passe est un mot de passe pour lequel vous pouvez répondre "oui" à l'une des 7 questions suivantes:

# Avez vous écrit sur un bout de papier votre mot de passe ?
# Votre mot de passe est-il un mot commun que l'on peut trouver dans le dictionnaire ?
# Votre mot de passe est-il un mot commun suivi de 2 chiffres ?
# Votre mot de passe est-il un nom de personne, de lieu ou d'animal ?
# Quelqu'un d'autre connait-il votre mot de passe ?
# Utilisez vous le meme mot de passe pour plusieurs comptes et pour une longue période ?
# Utilisez vous le mot de passe par défaut du constructeur ou de l'éditeur ?

Si vous vous trouvez dans la situation de générer un nouveau mot de passe, voici une technique simple mais qui a fait ses preuves:

# Choisissez un mot ou une phrase qui a un sens pour vous (mais qui reste obscur aux yeux des autres). Par exemple votre personnage préféré dans une pièce, l'animal que vous aviez pendant votre enfance, etc... Notre exemple pour la suite sera "'''mot de passe'''"
# Enlevez les espaces et le remplacez caractères non ASCII (difficile de trouver l'accent sur un clavier QWERTY-us si vous êtes en déplacement). Par exemple: "'''motdepasse'''"
# Substituez les lettres qui s'y prêtent par des nombres. Par exemple: "'''m0tdep4ss3'''"
# Mettez en majuscule certaines lettres. Par exemple: "'''m0TDep4SS3'''"
# Ajoutez des nombres en fin du mot de passe. Par exemple: "'''m0TDep4SS301'''"
# Ajoutez un ou plusieurs caractères qui ne sont ni des lettres, ni des nombres. Par exemple: "'''m0T'De'p4SS3#01'''"

Et voilà, vous avez un beau mot de passe difficilement reconaissable mais mémorisable.

Enfin, si vous n'avez toujours pas confiance dans votre mot de passe, il existe un certain nombre de logiciels de crackage de mots de passe qui peuvent tourner en tâche de fond et vous indiquer quand il est temps de changer de mot de passe. [http://www.openwall.com/john/ John The Ripper] est sans doute le plus célèbre de ces logiciels (un paquetage doit exister pour votre distribution).

=== Politique de restriction des privilèges ===
Comme nous l'avons dit plus haut, accorder des privilèges non nécessaires à des utilisateurs ou des programmes peut s'avérer très dangereux si l'attaquant prend leur contrôle. Il pourra profiter de ces privilèges supplémentaires et les exploiter comme des failles de votre système.

==== Principe du privilège minimum ====
Le principe du privilège minimum est apparu au milieu des années 70 et sa formulation originale était la suivante: "'''Chaque programme et chaque utilisateur du système devrait opérer en utilisant le plus petit nombre de privilèges possible pour accomplir sa tâche.'''"

Sous Linux, le [[Permissions|modèle des privilèges]] de base identifie des objets (les fichiers), des actions (read, write, execute) et des acteurs (les utilisateurs et les groupes). Le type de contrôle que l'on peut exercer sur les privilèges est donné par le modèle du ''Discretionary Access Control'' (DAC) qui veut qu'une fois un utilisateur authentifié il ait tous les droits sur tous les objets qu'il possède.

Pour appliquer le principe du privilège minimum, il faut vous demander si chaque objet qui vous appartient a vraiment besoin d'être ouvert en lecture, écriture ou encore exécution. Si ce n'est pas le cas, supprimez ce droit. Par exemple, pourquoi laisser les autres utilisateurs avoir accès à votre compte en lecture ? C'est certes plus pratiques de temps en temps, mais si vous n'y prêtez pas attention, un attaquant pourrait s'infiltrer dans votre compte et voler des informations que vous ne voudriez pas voir partir. Le mieux est donc de mettre votre <code>umask</code> à <code>700</code> et de restreindre ainsi l'accès à votre compte.

'''Note''': D'autres modèles de contrôle existent, notamment de le ''Mandatory Access Control'' (MAC) implémenté par SELinux et d'autres (''Role-Based Access Control'', RBAC).

==== Bit setuid et sudo, avantages et inconvénients ====
Le bit setuid permet d'exécuter un binaire avec les droits, non pas de celui qui lance le programme, mais de celui qui le possède. Évidemment, les bit setuid sont très pratiques mais provoquent souvent des failles importantes dans le système. L'exemple le plus flagrant étant celui d'une commande comme <code>halt</code> qui n'est habituellement utilisable que par root mais qui est bien pratique pour l'utilisateur de la machine. Mettre le bit setuid sur la commande <code>halt</code> permettra à n'importe quel utilisateur de stopper la machine... Si un attaquant arrive sur votre machine via un compte crée à la va vite, il peut provoquer l'arrêt inconditionnel de votre machine même si vous êtes en train de travailler dessus.

En fait, si c'est votre propre machine, ce que vous désireriez, c'est simplement donner à l'utilisateur principal le droit de faire cela (sans avoir à passer root) et non pas à TOUS les utilisateurs à la fois. Un programme nommé <code>sudo</code> permet de gérer les autorisations de ce type (exécution ou accès sur la base de l'utilisateur et non des groupes).

=== Restreindre les failles de votre système ===
==== Mise à jour de votre distribution ====
Toutes les distributions classiques ont un système qui permet la mise à jour automatique de vos logiciels. D'autres ont même des mises à jour spécifiquement orientées sécurité (Debian, RedHat, Mandriva). Si votre machine est importante n'hésitez pas à le faire souvent.

==== Fermer les services inutiles ====

Par défaut plusieurs services réseaux sont installés et démarrés sur les distributions Linux pour faciliter la vie des utilisateurs. Mais par défaut ces services ne sont pas vraiment configurés de maniére sécurisés et certains de ces services peuvent donner accés à des informations personelles au reste du monde.

Ces services peuvent être lancés de plusieurs façons:

* Par des scripts d'init SysVinit (la plupart des distribution sauf la slackware)

Les scripts d'init sont les scripts qui se trouvent dans <code>/etc/init.d</code>. Ils lancent automatiquement le service qui leur est associé dés qu'un lien ayant comme nom:

<code>SXXservice</code> (avec XX allant de 00 à 99 et service le nom du service)

qui se trouvent dans le répertoire du niveau d'init de démarrage du système (répertoire <code>/etc/rcX.d</code>).
Par exemple pour démarrer le service '''samba''' au niveau d'init 2 et 3, je vais trouver dans les répertoire <code>/etc/rc2.d</code> et <code>/etc/rc3.d</code> un lien pointant vers <code>/etc/init.d/samba</code> qui porte le nom <code>S20samba</code> (le numéro peut varier d'une distribution à l'autre).

Pour désactiver le service il suffit alors de supprimer ce lien et le service ne sera plus démarrer au prochain boot.

* Par des scripts rc (distribution basé sur Slackware)

Le principe est le même, mais les fichiers se trouvent dans <code>/etc/rc.d</code>, et se nomment <code>rc.service</code>.
Cette fois ci pas besoin de liens pour activer les services, le simple fait que le fichier soit executable (bit +x) active le service au boot.
Donc pour désactiver un service:

<code multi>
chmod -x /etc/rc.d/rc.service
</code>

* Par le "super serveur" inetd

Le "super serveur" '''inetd''' est un programme qui permet de lancer nimporte quel autre programme dés qu'une requête réseau est effectué sur le port sur lequel le service est configuré.
La configuration est contenu dans les fichier <code>/etc/inetd.conf</code> et correspond à cette syntaxe:

<code multi>
<service_name> <sock_type> <proto> <flags> <user> <server_path> <args>
</code>

Nous allons pas expliquer ici la configuration de inetd, mais sachez tout simplement que chaques lignes non commentées (ne commençant pas par un #) configure le service <service_name>.

Pour desactiver le service, il suffit alors de commenter la ligne en ajoutant un # au debut. Le service ne sera alors plus activer au prochain redémarrage.

* Par le "super serveur" xinetd

C'est le même principe que précédement, xinetd est le succésseur de inetd, permettant des configuration plus complétes. Mais le principe reste le même: ecouter le réseau et repondre aux requétes en lançant le programme associé à la requéte.
Cette fois ci la configuration est légèrement différente: chaque service à son propre fichier, dans le répertoire <code>/etc/xinetd.d</code>

Cette fois pour désactiver le service il faut alors éditer la configuration de ce dernier dans ce répertoire.
Dans le fichier, il faut editer la ligne "disable" de façon à la mettre à "no" de cette façon:
<code multi>
disable = no
</code>

Et le service sera bien désactiver lors du prochain re-démarrage.

De mnaiére plus générale et plus compléte, apprenez à gérer vos [[Admin-admin_boot-daemons|services]].

=== Firewalls et IDS réseaux ===
==== Configuration minimale de Netfilter ====
Une fois limité les ports réseau attendant des connexions, il faut mettre en place un firewall filtrant grâce à iptables (ou autre). Netfilter est le nom de la couche du noyau qui permet de filtrer tout ce qui passe par les interfaces réseau, tandis que iptables est une interface permettant de piloter Netfilter. Ne pas confondre, donc.
Des articles ont déjà été écrits à ce propos :
* [[Reseau-secu-iptables|iptables par l'exemple]]
* [[Reseau-secu-murdefeu|Mur de feu pas à pas]]
* [[Leapro-pro_reseau-qos|QoS via iptables]]

De manière très succincte, il faut fermer tous les ports puis ouvrir ceux dont on a besoin : le port 80 (et le 443 pour du https) doit être ouvert si l'on a un serveur web, le port 110 si l'on a un serveur pop dont on veut qu'il soit accessible d'internet, etc.

Voici un bon script de base qu'on peut adapter :
<code>#!/bin/sh
# firewall v1.0.1 Oct 13 09:48:57 PDT 2003 written by : Kernel <kernel@trustonme.net>
# Modifié par merlin8282 (je ne sais plus où j'ai pioché l'original mais il y ressemble encore vraiment beaucoup).
# this script is free software according to the GNU General Public License (see [www.gnu.org])
# Start/stop/restart/status firewall:

firewall_start() {

echo "[Démarrage du firewall]"

############################### REGLES PAR DEFAUT ###########################

echo "[Initialisation de la table filter]"
iptables -F
iptables -X

echo "[Politique par défaut de la table filter]"

# On ignore tout ce qui entre ou transite par la passerelle
iptables -P INPUT DROP
iptables -P FORWARD DROP

# On accepte, ce qui sort
iptables -P OUTPUT ACCEPT

# Pour éviter les mauvaises suprises, on va autoriser l'accès à la loopback :
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

############################### LOCAL-INTERNET ###########################

echo "[On autorise les clients à accéder à internet]"

#On créé une nouvelle chaîne, le nom est indifférent
# appelons-la "local-internet"
iptables -N local-internet

# On définit le profil de ceux qui appartiendront à "local-internet"
# "local-internet" concerne toutes les connections sauf celles venant d'internet ( ! = non)
# En gros avec ça, vous rendez, vos serveurs inaccessibles depuis internet.
# Pas de panique, certains serveurs seront autorisés explicitement dans la suite.
# (Remplacer ppp0 en fonction de votre configuration)
iptables -A local-internet -m state --state NEW -i ! ppp0 -j ACCEPT

#Evidemment, une fois acceptées comme "local-internet", les connections peuvent continuer
# et faire des petits :
iptables -A local-internet -m state --state ESTABLISHED,RELATED -j ACCEPT

# On termine en indiquant que les connections appartenant à "local-internet"
# accèdent à internet de manière transparente.
iptables -A INPUT -j local-internet
iptables -A FORWARD -j local-internet

############################### LES TABLES NAT ET MANGLE #############################

echo "[Initialisation des tables nat et mangle]"

iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P OUTPUT ACCEPT

############################### LE MASQUERADING #########################

# Commentez ces 2 lignes, si vous ne faîtes pas du masquerading (nat)
#echo "[Mise en place du masquerading]"
#iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j MASQUERADE

########################### ACTIVATION DE LA PASSERELLE ##################

#echo "[Activation de la passerelle]"
#echo 1 > /proc/sys/net/ipv4/ip_forward

############################## PAS DE SPOOFING ##########################

echo "[Pas de spoofing]"
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ] ; then
for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
do
echo 1 > $filtre
done
fi

########################## PAS DE SYNFLOOD ####################

echo "[Pas de synflood]"
if [ -e /proc/sys/net/ipv4/tcp_syncookies ] ; then
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
fi

############################### PAS DE PING ############################

# commentez ces 6 lignes, si vous autorisez les pings sur votre passerelle
echo "[Pas ping]"
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
if [ -e /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ] ; then
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
fi

############# Priorisation de la bande passante et des connections - QoS ############

echo "[priorisation des connections ssh ...]";
iptables -A PREROUTING -t mangle -p tcp --sport 443 -j TOS --set-tos Minimize-Delay

echo "[priorisation des connections http ...]";
iptables -A PREROUTING -t mangle -p tcp --sport http -j TOS --set-tos Maximize-throughput
iptables -A PREROUTING -t mangle -p tcp --sport 3129 -j TOS --set-tos Maximize-throughput

############################ Fonctionnalités serveurs #####################################

echo "[Etude des fonctionalités serveurs, visibles depuis internet]"

# A ce stade, tous vos clients du réseau local et de la passerelle ont accès à internet. Mieux,
# vos clients du réseau local, ont accès à vos serveurs apache, proftp ... localement. Mais personne
# depuis internet ne peux accéder à l'un des serveurs que vous hébergez.

# Il est bien-sûr possible de dévérrouiller pontuellement l'accès à un serveur depuis internet,
# en décommentant les 2 ou 3 lignes correspondantes.

#echo "[autorisation du serveur ssh(22) ...]"
#iptables -A INPUT -p tcp --dport ssh -j ACCEPT

#echo "[autorisation du serveur smtp(25) ...]"
#iptables -A INPUT -p tcp --dport smtp -j ACCEPT

#echo "[autorisation du serveur http(80) ...]"
#iptables -A INPUT -p tcp --dport www -j ACCEPT

#echo "[autorisation du serveur https(443) ...]"
#iptables -A INPUT -p tcp --dport 443 -j ACCEPT

#echo "[autorisation du serveur DNS(53) ...]"
#iptables -A INPUT -p udp --dport domain -j ACCEPT
#iptables -A INPUT -p tcp --dport domain -j ACCEPT

#echo "[autorisation du serveur irc(6667) ...]"
#iptables -A INPUT -p tcp --dport ircd -j ACCEPT

#echo "[autorisation du serveur cvs (2401) ...]"
#iptables -A INPUT -p tcp --dport cvspserver -j ACCEPT

#echo "[autorisation du serveur FTP(21 et 20) ...]"
#iptables -A INPUT -p tcp --dport ftp -j ACCEPT
#iptables -A INPUT -p tcp --dport ftp-data -j ACCEPT

# Ne pas décommenter les 3 lignes qui suivent.
# Plus généralement :
#echo "[autorisation du serveur Mon_truc(10584) ...]"
#iptables -A INPUT -p tcp --dport 10584 -j ACCEPT

#echo "[autorisation du serveur aMule (4662/tcp) ...]"
#iptables -A INPUT -p tcp --dport 4662 -j ACCEPT

#echo "[autorisation du serveur BitTorrent (6881-6889/tcp) ...]"
#iptables -A INPUT -p tcp --dport 6881:6889 -j ACCEPT

echo "[firewall activé !]"
}

firewall_stop() {

iptables -F
iptables -X
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P OUTPUT ACCEPT

echo " [firewall descativé!]"
}

firewall_restart() {
firewall_stop
sleep 2
firewall_start
}

case "$1" in
'start')
firewall_start
;;
'stop')
firewall_stop
;;
'restart')
firewall_restart
;;
'status')
iptables -L
iptables -t nat -L
iptables -t mangle -L
;;
*)
echo "Usage: firewall {start|stop|restart|status}"
esac</code>
Ce script est à mettre généralement dans un fichier du dossier <code>/etc/init.d/</code> .

==== Configuration minimale de Snort ====
Voir : [[Reseau-secu-SNORT|Installation de SNORT]] (doc Lea).

=== Sauvegardes et IDS systèmes ===
==== Mettre en place un système de sauvegarde ====
Le mieux est encore de lire une [[Catégorie:Trucs_Sauvegarde|documentation correcte à ce sujet]], en l'occurence [[Les_sauvegardes|cet article]].

==== Configuration minimale de Tripwire ====

== Détecter les intrusions, connaître les outils ==
=== Les symptômes ===

# Votre système a un comportement étrange ou inhabituel.
# Un des comptes a été utilisé ou des fichiers ont été modifiés à l'insu de son propriétaire légitime.
# Un programme ou un utilisateur inconnu se balade sur votre système.
# L'un de vos IDS vous signale une trace très probablement dûe à une attaque (attention aux faux positifs) ou une corruption anormale de votre système de fichiers.
# Des outils d'audit révèlent des anomalies sur votre système.

=== who ===
La commande <code>who</code> ou <code>w</code> permet de voir les utilisateurs actuellement connectés (loggés) au système. Attention cependant car un agresseur peut être -- et l'est certainement si c'est le cas -- connecté sous votre nom, s'il est parvenu à s'immiscer dans votre système.

=== ps ===
La commande <code>ps</code> liste tous les processus actuellement en cours d'exécution sur le système. S'il en est un que vous ne connaissez pas, identifiez-le. Si vous ne savez toujours pas ce que c'est, pas d'affollement : utilisez la commande <code>lsof</code> et voyez si vous trouvez des fichiers en rapport avec ce processus. Vous pouvez alors identifier le processus et déterminer si c'est un processus "inoffensif". Si ce n'est pas le cas, vous pouvez supprimer les fichiers qu'il faut. Attention toutefois à bien être certain que ce soit un logiciel malveillant que vous supprimez ! En revanche, si c'est un logiciel qui s'est fait infecter (par exemple apache) il suffit de réinstaller celui-ci, après avoir vidé le cache des paquets de votre gestionnaire de packages. Vérifiez aussi la configuration après réinstallation. Nul besoin de redémarrer, sauf si évidemment c'est le noyau qui est corrompu, chose qui est à mon avis très rare.

=== netstat ===
La commande <code>netstat</code> est une commande qui liste toutes les connexions réseau actives sur votre machine ainsi que l'état dans lequel elles sont (listening, connected, established, etc.) :
<code>Proto Recv-Q Send-Q Adresse locale Adresse distante Etat
tcp 0 0 0.0.0.0:3129 0.0.0.0:* LISTEN
tcp6 0 0 :::443 :::* LISTEN</code>
On voit ici par exemple que le port 3129 écoute (LISTEN) sur la machine locale (0.0.0.0) et que le port 443 en fait de même.
Vérifiez les connexions actives, les ports ouverts, et faites le lien avec vos démons et autres programmes qui tournent. Si un port ne vous dit rien, informez-vous.

=== lsof ===
La commande <code>lsof</code> liste tous les fichiers ouverts actuellement. Elle indique aussi quel utilisateur utilise quel fichier.
<code>COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
init 1 root mem REG 3,65 31432 1720343 /sbin/init
apache2 597 root mem REG 3,65 385484 25423 /usr/sbin/apache2</code>
Les informations parlent d'elle-mêmes. Ce sont deux cas précis parce-que le processus <code>init</code> a le fichier <code>/sbin/init</code> d'ouvert (de même pour apache).

=== fcheck ===
C'est un utilitaire qui notifie l'administrateur en cas de modification de fichiers. On précise dans le fichier de configuration quels fichiers ou dossiers on veut surveiller et un mail est envoyé en cas de changement.

=== logcheck ===
<code>logcheck</code> est un outil qui scrute les logs, en fait un résumé et envoie un courriel à l'administrateur (généralement root en local) régulièrement. Evidemment, il est possible de configurer le niveau de ce qui est rapporté.

=== chkrootkit ===
C'est un logiciel important, puisqu'il détecte la présence de rootkits. Son principe de fonctionnement est l'écoute des ports réseau. Relativement souvent, cependant, des logiciels tels les clients peer2peer sont détectés comme une menace, bien qu'ils soient inoffensifs. En effet, ils utilisent des ports qui ne sont pas "officiellement" connus (contrairement au port 80, par exemple, qui est celui de tout serveur web). Donc pas d'affolement.

== Récupération d'une machine corrompue ==

==== Règles d'urgence ====
Que faut-il faire avant toute chose ? Comment réagir ? Comment se prémunir d'autres attaques ?

# Mettre la machine hors-ligne (débranchez simplement la prise réseau)
# Faites une sauvegarde '''complète''' du système sur des supports qui seront mis en lieu sûr (cette image du système servira à l'analyse post-mortem).
# Redémarrez à partir d'une image sûre de votre système, restaurez les données. Dans l'idéal, réinstallez complètement votre système (si possible).
# Changez tous les mots de passe.
# Faites une mise à jour '''complète''' de la distribution (installez éventuellement quelques contre-mesures supplémentaires).
# Remettez-la en ligne (en la surveillant plus attentivement que d'habitude, les pirates reviennent souvent sur les machines qu'ils ont réussi à pirater).

Une fois ceci fait, rien ne vous dit que la ou les failles utilisées par les pirates ont disparues. Il vous faut donc procéder à l'analyse post-mortem de l'image de votre système pour déterminer quelle méthode ont utilisé les pirates pour compromettre votre ordinateur et vérifier que la ou les failles ont bien disparues sur votre système actuel.

==== Analyse Post-mortem ====
==== À qui signaler les intrusions et comment réagir face à la loi ? ====

== Voir aussi ==
=== Sur le forum ===
* [http://lea-linux.org/pho/read/1/311418#debut Hack VulnScan par perl... (lolotux)]

=== Liens externes ===
* [http://fr.wikipedia.org/wiki/Cat%C3%A9gorie:Logiciel_de_s%C3%A9curit%C3%A9_informatique Wikipédia : Catégorie:Logiciel de sécurité informatique]
* [http://fr.wikipedia.org/wiki/S%C3%A9curit%C3%A9_informatique Wikipédia : Sécurité des systèmes d'information]
* [http://fr.wikipedia.org/wiki/Risques_en_s%C3%A9curit%C3%A9_informatique Wikipédia : Risques en sécurité informatique]
* [http://www.debian.org/doc/manuals/securing-debian-howto/index.fr.html Une excellente documentation concernant la sécurisation de la distribution Debian GNU/Linux]

== Conclusion ==
Même si l'on connaît les risques, il est toujours impératif de rester sur ses gardes. De nouvelles menaces apparaissent régulièrement, de nouvelles failles sont découvertes chaque jour, de nouveaux virus aussi, etc. L'avenir nous dira si un jour on aura des ordinateurs sûrs à 100%, chose qui n'est pas impossible mais cependant improbable.

{{Copy|2006|[[Utilisateur:Merlin8282|Merlin8282]], [[Utilisateur:Fleury|Fleury]]|CC-BY-SA}}