Outils de durcissement Linux

Le serveur et client SSH de référence ; sshd_config concentre l'essentiel du durcissement de l'accès distant.

openssh-server (preinstalled)

Module PAM qui ajoute des codes à usage unique TOTP comme second facteur pour SSH et la console.

apt install libpam-google-authenticator

Exécute des commandes sous un autre utilisateur selon une politique fine ; à restreindre dans /etc/sudoers.d.

sudo (preinstalled)

Impose des règles de complexité et de longueur de mot de passe via PAM et pwquality.conf.

apt install libpam-pwquality

Verrouille les comptes après plusieurs échecs de connexion pour contrer le brute force.

pam (preinstalled)

Outils de gestion des comptes ; chage règle l'expiration des mots de passe, login.defs les défauts.

passwd / login.defs (preinstalled)

Le filtre de paquets moderne du noyau qui remplace iptables ; règles deny-by-default dans /etc/nftables.conf.

apt install nftables

Gestionnaire de pare-feu par zones (défaut RHEL/Fedora) piloté par firewall-cmd au-dessus de nftables.

dnf install firewalld

Uncomplicated Firewall — une interface simple à iptables/nftables, courante sur Ubuntu.

apt install ufw

Lit et règle les paramètres du noyau ; placez les clés de durcissement dans /etc/sysctl.d puis sysctl --system.

procps (preinstalled)

Audite la configuration du noyau et les sysctls par rapport aux recommandations KSPP et CIS.

pip install kernel-hardening-checker

Restreint la capacité de root à modifier le noyau en cours ; se combine à Secure Boot pour l'intégrité.

built into the kernel

Vérifie les fichiers des paquets Debian installés par rapport à leurs sommes de contrôle.

apt install debsums

Listes de contrôle d'accès POSIX pour des permissions plus fines que owner/group/other.

apt install acl

Évalue le niveau de sandboxing d'une unité systemd et liste les directives pour la renforcer.

systemd (preinstalled)

Contrôle d'accès obligatoire par étiquettes confinant les processus à une politique ; à garder en enforcing.

default on RHEL/Fedora

Contrôle d'accès obligatoire par chemins (défaut Ubuntu/SUSE) via des profils de confinement par application.

apt install apparmor-utils

Outils de politique SELinux : lire les refus AVC et générer des règles ciblées avec audit2allow et semanage.

dnf install policycoreutils-python-utils

Le démon de l'audit noyau ; enregistre les événements de sécurité via des règles dans /etc/audit/rules.d.

apt install auditd

Démon syslog performant pour centraliser et transférer les journaux vers un collecteur inviolable.

apt install rsyslog

Synthétise les journaux système en un résumé quotidien lisible pour faire ressortir les anomalies.

apt install logwatch

Installe automatiquement les mises à jour de sécurité Debian/Ubuntu sans intervention manuelle.

apt install unattended-upgrades

L'équivalent RHEL/Fedora : mises à jour de sécurité automatiques pilotées par timer via automatic.conf.

dnf install dnf-automatic

Détecte les services tournant encore avec d'anciennes bibliothèques après une mise à jour et les redémarre.

apt install needrestart

Gère le chiffrement de disque LUKS afin qu'un disque volé ou mis au rebut ne révèle rien.

apt install cryptsetup

Le chargeur d'amorçage ; un mot de passe empêche la modification des paramètres et du mode mono-utilisateur.

grub2 (preinstalled)

Inspecte et gère l'état Secure Boot et les clés MOK pour une chaîne de démarrage vérifiée.

apt install mokutil

Advanced Intrusion Detection Environment — crée une empreinte d'intégrité et signale les changements.

apt install aide

Surveille les journaux et bannit les IP qui échouent à répétition, freinant le brute force au pare-feu.

apt install fail2ban

Recherche rootkits, portes dérobées et modifications locales suspectes via une base d'état de référence.

apt install rkhunter

Un détecteur de rootkits léger basé sur signatures, utile en second avis aux côtés de rkhunter.

apt install chkrootkit

Outil d'audit sans agent qui note le durcissement d'un système et propose des actions priorisées.

apt install lynis

Évalue un hôte selon des profils SCAP (CIS, STIG) et génère rapports HTML et scripts de remédiation.

apt install openscap-scanner

Contenu SCAP et rôles Ansible prêts à l'emploi pour les référentiels CIS, STIG et ANSSI par distribution.

apt install ssg-debian / ssg-base

L'évaluateur officiel du Center for Internet Security mesurant les systèmes face aux CIS Benchmarks.

CIS membership (proprietary)