Florian Amette

Auditer Linux face à un CIS Benchmark : lancer Lynis pour un hardening index, scorer CIS/STIG/ANSSI avec OpenSCAP, puis remédier et suivre.

Détectez les compromissions tôt grâce au contrôle d'intégrité (AIDE), à la protection anti-bruteforce (fail2ban) et aux scanners de rootkits.

Renforcez la chaîne de démarrage Linux contre l'accès console, le vol de disque et les attaques evil-maid avec mots de passe GRUB, LUKS et Secure Boot.

Maintenez Linux corrigé automatiquement avec unattended-upgrades et dnf-automatic, des dépôts de confiance et une surface logicielle réduite.

Construire une journalisation resistante a l'effacement sous Linux : journald persistant, framework auditd, surveillance de fichiers sensibles et export distant.

Ajoutez un contrôle d'accès obligatoire à Linux avec SELinux et AppArmor. Gardez SELinux en mode enforcing, lisez les refus et corrigez la politique.

Énumérer, désactiver, noter et confiner les unités systemd via des drop-ins pour réduire la surface d'attaque de chaque service Linux.

Durcissez vos systèmes de fichiers Linux avec nodev/nosuid/noexec, auditez les binaires SUID/SGID, corrigez les fichiers accessibles en écriture et resserrez les permissions sensibles.

Durcir le noyau Linux avec les paramètres sysctl, le blacklisting de modules et le mode lockdown. Exemples concrets /etc/sysctl.d et modprobe.d avec vérification.

Construire un pare-feu nftables en deny par défaut, durcir les sysctls réseau et réduire la surface des services exposés sur tout serveur Linux.

Imposez mots de passe robustes, verrouillage de compte, expiration, drop-ins sudo restreints et umask sécurisé pour appliquer le moindre privilège sous Linux.

Passer SSH en authentification par clé uniquement, désactiver le login root et verrouiller sshd avec une configuration éprouvée.