Sécuriser un serveur

Le Conseiller sécurité est une liste de contrôle intégrée qui vous indique, en langage clair, si chacun de vos serveurs est configuré de manière sûre — et vous permet de corriger la plupart des problèmes en un clic. Il s'adresse à toute personne gérant des serveurs qui souhaite être rassurée sans avoir à être un expert en sécurité.

#Vue d'ensemble

• Vérifie des éléments tels que les pare-feux, les sauvegardes, la protection contre la suppression, la surveillance, les alertes et les mises à jour en attente
• Trie les problèmes selon leur urgence et vous indique exactement quoi faire pour chacun
• Fonctionne à partir des seuls réglages de votre fournisseur, et en voit bien davantage une fois l'agent InfraNest installé
• Les mêmes vérifications apparaissent de façon cohérente sur la page du serveur, dans la liste de vos serveurs et sur Accueil

#Lancer le Conseiller sécurité

1. Ouvrez un serveur. La carte Protection à droite de son aperçu affiche une ligne pour chaque élément qui le protège — pare-feu, sauvegardes, protection contre la suppression, surveillance, alertes, et mises à jour et redémarrages. Chaque ligne commence par un état en un mot (Activé, Désactivé ou Non vérifié — pour les listes de blocage d'e-mails, Propre ou Listée ; pour les mises à jour, À jour ou En attente), suivi d'un détail tel que « Activées · chaque jour à 03:00 » ou « Non vérifié · nécessite l'agent ». Un point reprend l'état : vert si c'est validé, rouge ou orange si cela requiert votre attention, gris si cela n'a pas pu être vérifié. Lorsqu'une ligne nécessite une action, le texte de détail est un lien direct vers le correctif.
2. Tout ce qui est ouvert ou défaillant en ce moment — un port exposé, aucun pare-feu, des sauvegardes désactivées, un redémarrage en attente pour appliquer des mises à jour — s'affiche aussi sous forme de carte à gauche, sous Ce qui tourne ici. Chaque carte explique ce qui ne va pas, quoi faire, et ce qui a été observé. Son bouton mène directement au correctif.
3. Cliquez sur See all checks en bas de la carte Protection pour tout voir : recommandations avec leurs propres boutons de correction, vérifications nécessitant l'agent, et vérifications validées.
4. Si une vérification ne s'applique pas à un serveur, vous pouvez l'ignorer à cet endroit. Elle cesse alors d'être comptabilisée partout — sur le serveur, dans la liste des serveurs, et sur Accueil.

#Ce qui est vérifié

• À traiter — aucun pare-feu ; SSH ouvert au monde entier ; un port de base de données exposé publiquement ; le bureau à distance (RDP) ouvert au monde entier ; un port joignable sans raison ; l'adresse du serveur figurant sur une liste de blocage d'e-mails ; sauvegardes désactivées ; un redémarrage en attente pour appliquer des mises à jour installées.
• Recommandations — aucun instantané ; protection contre la suppression désactivée ; surveillance non activée ; aucune règle d'alerte ne surveille le serveur ; pas d'IPv6 ; le serveur fonctionne depuis plus de 90 jours ; pas de réseau privé ; des volumes non attachés dans votre compte.

La liste des serveurs, la page du serveur et Accueil utilisent tous les mêmes vérifications, elles concordent donc toujours. Un port exposé, un pare-feu manquant ou une base de données ouverte apparaissent aussi sur Accueil, où vous pouvez les mettre en veille ou les marquer comme intentionnels.

NoteUne mise en veille ou une marque « intentionnel » ne couvre que l'exposition exacte concernée — ce pare-feu, ce port, ce service précis. Si une autre exposition apparaît plus tard, elle sera signalée comme nouvelle plutôt que masquée.

#Sauvegardes

« Sauvegardes désactivées » est déterminé à partir de ce que votre fournisseur communique à InfraNest lors d'une synchronisation : Hetzner et DigitalOcean indiquent une fenêtre de sauvegarde, OVHcloud sa sauvegarde automatisée, et TransIP si l'option de sauvegarde est active. Si un fournisseur ne répond pas lors d'une synchronisation, la vérification est omise plutôt que signalée comme désactivée.

#Certaines vérifications nécessitent l'agent

Votre fournisseur cloud ne voit un serveur que de l'extérieur — il ne peut pas savoir si des mises à jour attendent un redémarrage, ni quand le serveur a redémarré pour la dernière fois. Sans l'agent, ces vérifications sont indiquées comme Nécessite l'agent plutôt que devinées. Installez l'agent et elles sont renseignées en moins d'une minute.

Avec l'agent, les vérifications de disponibilité et de redémarrage affichent aussi l'historique des redémarrages : le nombre de redémarrages inattendus survenus lors des 30 derniers jours, et quand et pourquoi le serveur a redémarré pour la dernière fois — depuis InfraNest, par une automatisation, en dehors d'InfraNest, ou de façon inattendue.

#Comment le serveur lui-même est configuré

Avec l'agent installé sur un serveur Linux, l'onglet System montre comment le serveur lui-même est configuré. L'agent lit des réglages dans des fichiers accessibles à tout utilisateur — il ne s'exécute jamais en root et ne modifie rien. InfraNest vérifie cinq points :

• SSH accepte les mots de passe — ainsi que si l'ensemble d'Internet peut atteindre SSH, et si quelque chose (comme fail2ban ou CrowdSec) ralentit les tentatives répétées. Si les trois conditions sont réunies, c'est un avertissement ; si seulement certaines le sont, c'est une note. Un port indiqué uniquement dans une ligne ListenAddress n'est pas lu, et la note le précise. Si vous avez autorisé l'agent à lire le journal système, la vérification indique aussi le nombre de tentatives de connexion échouées au cours des dernières 24 heures — juste le nombre, jamais qui a essayé ni d'où.
• Root peut se connecter en SSH — signalé quand la connexion par mot de passe est autorisée pour root ; la connexion par clé seule est acceptable.
• Un nouvel administrateur — quelqu'un a été ajouté au groupe sudo, wheel ou admin depuis la première lecture de l'agent. Si c'était vous, cliquez sur That was us pour l'enregistrer et lever l'avertissement.
• Rien ne sauvegarde ce serveur — les sauvegardes du fournisseur sont désactivées, et l'agent ne voit ni logiciel de sauvegarde ni tâche planifiée ressemblant à une sauvegarde. Marqué probable, pas certain — précisez-le si vous sauvegardez autrement.
• Les mises à jour de sécurité ne s'installent pas automatiquement — unattended-upgrades ou dnf-automatic est désactivé ou absent. Un avertissement quand des mises à jour sont en attente, sinon une recommandation.

Chaque carte explique comment nous le savons — le réglage exact, le fichier et la ligne — et fournit le correctif sous forme de commande à exécuter sur le serveur, avec un bouton de copie et un lien vers la documentation de votre distribution.

WarningAvant de désactiver la connexion SSH par mot de passe, vérifiez que vous pouvez vous connecter avec une clé — sinon vous risquez de vous retrouver bloqué.

Lorsqu'un réglage ne peut pas être lu parce que son fichier nécessite un accès root, la ligne le précise clairement, avec la commande qui l'affiche et un bouton Copier la commande — cette commande ne fait qu'afficher les réglages, elle ne change rien.

Plus bas, Security and setup résume combien d'éléments ont été vérifiés et sont corrects, combien l'agent ne peut pas lire, et combien il ne lit jamais sans root. Cliquez sur Afficher les vérifications pour voir les deux listes.

Ces vérifications nécessitent l'agent v0.21.0 ou supérieur, et ne fonctionnent que sous Linux ; sous Windows, la section indique qu'elle n'est pas lue.

#L'adresse du serveur figure-t-elle sur une liste de blocage d'e-mails ?

Si du spam a déjà été envoyé depuis l'adresse de votre serveur, les serveurs de messagerie peuvent refuser son courrier ou l'envoyer dans les spams — une raison fréquente pour laquelle les e-mails de formulaire de contact ou de commande « n'arrivent jamais ». InfraNest vérifie l'adresse IPv4 publique de chaque serveur sur deux listes de blocage d'e-mails gratuites, SpamCop et PSBL : un nouveau serveur dans la minute suivant son ajout, puis quotidiennement sur les forfaits payants et chaque semaine sur le forfait Free.

La carte Protection du serveur affiche toujours le résultat sur sa ligne Mail blocklists : Propre, avec la date de la dernière vérification, ou Listée, en nommant la liste.

Lorsque l'adresse est listée, vous verrez Address is on a mail blocklist sur la page du serveur et sur Accueil. La carte nomme chaque liste et renvoie vers sa page, où vous pouvez rechercher l'adresse et demander son retrait.

Que faire :

• Un nouveau serveur — les fournisseurs réutilisent les adresses, demandez-en donc une différente dès maintenant, avant que quoi que ce soit n'en dépende.
• Un serveur que vous avez depuis un moment — quelque chose dessus a probablement envoyé du spam. Trouvez-le et stoppez-le, puis demandez le retrait. Demander avant d'avoir corrigé le problème ne fera que le faire relister.

Vous recevrez aussi une alerte lorsque l'adresse est listée, et une autre lorsqu'elle est retirée, ainsi que des déclencheurs d'automatisation correspondants. Utilisez Check again sous la ligne Mail blocklists pour revérifier immédiatement, une fois par jour par serveur. Le constat disparaît de lui-même dès que la liste ne mentionne plus l'adresse.

#Voir ce qu'Internet peut vraiment atteindre

Une règle de pare-feu indique seulement qu'un port peut être atteint. Avec l'agent installé, InfraNest voit aussi sur quels ports le serveur écoute réellement, et combien d'adresses s'y connectent — publiques, privées, ou le serveur lui-même. Ensemble, ces informations en disent plus que chacune prise isolément :

• Ouvert pour rien — une règle ouvre un port et rien n'écoute derrière. Supprimez la règle.
• Seules des adresses privées l'utilisent — l'ensemble d'Internet peut atteindre le port, mais seul votre propre réseau s'y connecte. Limitez la règle à votre réseau privé ou à une IP dynamique.
• Aucun pare-feu devant — quelque chose censé être interne écoute sur toutes les adresses sans aucun pare-feu. Faites-le écouter sur localhost ou une adresse privée, ou ajoutez un pare-feu.
• Ouvert à tous — une base de données, un bureau à distance ou un SSH que n'importe qui peut atteindre et qui est à l'écoute.

L'Overview du serveur affiche ces problèmes sous Reachable from the internet, sous forme de tableau pour chaque port, indiquant ce que le pare-feu autorise, ce qui écoute, et le verdict. All ports on Networking ouvre la liste complète. Un port problématique a son correctif juste à côté, comme Limiter à Office ou Supprimer la règle dans web-default — enregistré dans le journal d'audit.

#Une base de données est-elle joignable depuis Internet ?

Les bases de données et caches ouverts à l'ensemble d'Internet sont un moyen fréquent par lequel de petits serveurs sont compromis. Avec l'agent installé, InfraNest vous avertit lorsque trois éléments concordent, affichés sous Comment nous le savons :

1. Ce qui écoute — une base de données ou un cache écoute sur une adresse publique ou sur toutes les adresses.
2. Rien n'arrête personne — une règle de pare-feu autorise tout le monde, ou aucun pare-feu n'est attaché.
3. Une adresse publique — le serveur dispose d'une adresse joignable depuis Internet.

La carte indique son degré de certitude : Certain quand InfraNest lit à la fois le pare-feu et ce qui écoute ; Très probable quand elle ne peut pas lire le pare-feu de votre fournisseur (un pare-feu au niveau du serveur pourrait tout de même fermer le port).

Pour corriger cela, faites écouter la base de données uniquement sur localhost ou un réseau privé, ou limitez la règle de pare-feu. Close it in the firewall ouvre le pare-feu à modifier. Sous Windows, l'agent ne lit pas les ports en écoute, cet avertissement n'y apparaît donc jamais.

#Un port qui a commencé à écouter cette semaine

Lorsque quelque chose commence à écouter sur un nouveau port, InfraNest vous en informe — dans l'onglet Workloads du serveur, sur son Overview quand tout le monde peut l'atteindre, et sur Accueil. Dans le tableau des ports sous Networking, le port est marqué Nouveau.

La carte indique quand il a été vu pour la première fois et ce qui s'est passé juste avant (un déploiement, un démarrage de service, un redémarrage), et qui peut l'atteindre : tout le monde, certaines adresses, seulement le réseau privé, ou personne depuis l'extérieur. Un port que tout le monde peut atteindre a une bordure colorée ; une base de données ouverte à tous en a une rouge.

Cliquez sur Expected si vous aviez l'intention d'ouvrir le port — InfraNest s'en souvient pour ce serveur et ce port. Afficher les détails révèle ce que chaque source a vu. La marque « attendu » est enregistrée dans le journal d'audit et peut être annulée depuis Accueil.

Ce qui compte comme nouveau :

• Seuls les ports ayant commencé à écouter après la première lecture de l'agent
• Un port qui s'est arrêté puis est revenu dans la semaine n'est pas considéré comme nouveau
• Les ports joignables uniquement depuis localhost sont exclus
• Un port cesse d'être nouveau une semaine après avoir été vu pour la première fois

NoteL'agent ne peut pas toujours identifier quel programme détient un port, ni voir les ports que Docker publie sans qu'aucun processus n'écoute sur le serveur lui-même — ceux-ci sont affichés comme Cannot tell plutôt que signalés comme un problème.

#La surveillance et les règles d'alerte sont deux vérifications distinctes

• Surveillance non activée — rien ne collecte encore de métriques. Le correctif ouvre la page de surveillance du serveur pour l'activer et installer l'agent.
• Aucune règle d'alerte ne surveille ce serveur — les métriques arrivent, mais rien ne vous avertit en cas de problème. Le correctif ouvre Alert rules.

La vérification des règles d'alerte n'apparaît qu'une fois la surveillance activée, et une règle désactivée ne compte pas dans ce total.

TipSi vous débutez, définissez une bonne fois les réglages par défaut des règles d'alerte pour votre espace de travail — chaque serveur, y compris ceux ajoutés plus tard, en hérite automatiquement.