Durcissement des serveurs Linux et Windows

Durcir un système (hardening), c'est réduire sa surface d'attaque et renforcer sa configuration par défaut : retirer ce qui ne sert pas, appliquer les mises à jour, limiter les comptes et les droits, verrouiller l'accès à distance, activer la journalisation et les protections intégrées. Ce chapitre donne la méthode, les référentiels à suivre (ANSSI, CIS, Microsoft) et les mesures concrètes pour un serveur Debian et pour Windows Server, avec les commandes pour les appliquer et les vérifier.

La méthode

Un système fraîchement installé est conçu pour fonctionner partout, pas pour être sûr dans ton contexte. Le durcissement suit toujours la même logique :

1. Inventorier : quel est le rôle du serveur, quels services doit-il rendre, à qui ?
2. Réduire : désinstaller ou désactiver tout ce qui ne sert pas à ce rôle (services, paquets, rôles Windows, comptes, ports).
3. Mettre à jour le système et les logiciels, puis organiser les mises à jour suivantes.
4. Restreindre : comptes nominatifs, moindre privilège, administration à distance limitée et chiffrée, pare-feu local.
5. Activer les protections intégrées : journalisation, antivirus ou EDR, confinement des applications, chiffrement des disques.
6. Vérifier avec un outil d'audit, puis documenter l'écart restant et le surveiller dans le temps.

Les référentiels donnent des listes de contrôle précises :

Mises à jour et cycle de vie

La mise à jour est la mesure la plus rentable : la plupart des intrusions exploitent des failles dont le correctif existait déjà.

• Tenir un inventaire du parc avec les versions (GLPI, agent d'inventaire) pour savoir quelles machines une faille concerne.
• Prioriser selon l'exposition et l'exploitation réelle : un serveur exposé à Internet avec une faille signalée par une alerte du CERT-FR passe avant tout le reste (chapitre 1).
• Automatiser les mises à jour de sécurité quand c'est possible, et tester d'abord sur une machine de préproduction pour les serveurs critiques.
• Surveiller la fin de support : un système qui ne reçoit plus de correctifs ne peut plus être sécurisé. Windows 10 n'est plus maintenu depuis le 14 octobre 2025 (sauf abonnement de mises à jour étendues payant), le support de Windows Server 2016 s'arrête le 12 janvier 2027, et Debian 13 « Trixie », publiée en août 2025, est la version stable actuelle.

Sur Debian, les correctifs de sécurité s'installent automatiquement avec le paquet unattended-upgrades :

sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades   # active les mises à jour de sécurité quotidiennes

Durcir un serveur Debian

Ne garder que le nécessaire. Installe sans environnement graphique, liste ce qui écoute sur le réseau et désactive ce qui ne sert pas :

sudo ss -tulpn                         # ports TCP et UDP en écoute, avec le programme
systemctl list-units --type=service --state=running
sudo systemctl disable --now cups      # exemple : service d'impression inutile sur un serveur
sudo apt purge telnetd rsh-server      # protocoles en clair, à ne jamais installer

Sécuriser SSH. C'est la porte d'administration d'un serveur Linux. On n'autorise que l'authentification par clé, jamais par mot de passe, et jamais directement en root. Sur le poste de l'administrateur :

ssh-keygen -t ed25519 -C "admin.lucas@sorbier"   # paire de clés, protégée par une phrase de passe
ssh-copy-id admin.lucas@192.168.10.225           # copie la clé publique sur le serveur

Puis, sur le serveur, un fichier /etc/ssh/sshd_config.d/durcissement.conf (les fichiers de ce dossier sont lus par la configuration par défaut de Debian) :

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AllowGroups admins-ssh
MaxAuthTries 3
LoginGraceTime 30
X11Forwarding no

Teste la syntaxe avec sudo sshd -t, puis recharge le service avec sudo systemctl reload ssh, en gardant ta session ouverte : si la nouvelle configuration te bloque, tu peux encore corriger. Le pare-feu local (nftables, chapitre 2) n'accepte SSH que depuis le réseau d'administration.

Bloquer les essais répétés. Fail2ban lit les journaux et bannit temporairement, par une règle de pare-feu, les adresses qui accumulent les échecs. Dans /etc/fail2ban/jail.local :

[sshd]
enabled  = true
backend  = systemd
maxretry = 5
findtime = 10m
bantime  = 1h

Une adresse qui échoue 5 fois en 10 minutes est bannie pendant une heure. backend = systemd est nécessaire sur Debian 12 et 13, où les journaux d'authentification sont dans journald et non plus dans /var/log/auth.log. sudo fail2ban-client status sshd affiche les adresses bannies.

Les autres mesures.

• Administrer avec sudo et des comptes nominatifs, jamais en se connectant en root : chaque commande est journalisée au nom de son auteur.
• Garder AppArmor actif (il l'est par défaut sur Debian) : il confine les services à ce dont ils ont besoin.
• Monter /tmp avec les options noexec,nosuid,nodev : un fichier déposé là ne peut pas être exécuté.
• Activer auditd pour tracer les actions sensibles (modification de /etc/passwd, usage de sudo).
• Envoyer les journaux vers le serveur central (chapitre 13) et synchroniser l'heure par NTP.

Pour vérifier, l'outil libre Lynis audite la configuration et donne un indice de durcissement avec une liste de suggestions : sudo lynis audit system.

Durcir Windows Server et les postes Windows

Dans un domaine Active Directory, le durcissement se déploie par stratégies de groupe (GPO), pour que tous les postes et serveurs reçoivent la même configuration et ne puissent pas s'en écarter. L'annuaire lui-même, cible n° 1 des attaquants, a son cours : Sécurité de l'Active Directory. Les mesures essentielles :

Quelques commandes PowerShell pour vérifier :

Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, RequireSecuritySignature
Get-WindowsFeature | Where-Object Installed          # rôles et fonctionnalités installés
Get-NetFirewallProfile | Select-Object Name, Enabled
Get-LapsADPassword -Identity "PC-COMPTA-01" -AsPlainText   # mot de passe LAPS d'un poste (droits requis)

Le durcissement de l'annuaire lui-même (comptes à privilèges, modèle d'administration en niveaux) est traité au chapitre 12 ; la sécurisation du poste de travail côté utilisateur est détaillée dans le cours Poste de travail.

Vérifier et maintenir

Un durcissement se dégrade avec le temps : un service ajouté pour un test, une exception jamais retirée, une mise à jour oubliée. On le vérifie régulièrement :

• outils d'audit de configuration : Lynis pour Linux, Policy Analyzer de Microsoft pour comparer les GPO aux lignes de base, PingCastle pour évaluer la sécurité d'un Active Directory ;
• scanner de vulnérabilités (Greenbone OpenVAS, par exemple), lancé sur son propre réseau, avec l'accord écrit du responsable, pour repérer les services exposés et les versions vulnérables ;
• documentation : pour chaque serveur, la configuration de référence, les écarts acceptés et leur justification.

Pour aller plus loin. Le chiffrement des disques des serveurs et des postes (BitLocker, LUKS) est détaillé dans le chapitre Chiffrer disques, fichiers et courriels du cours Cryptographie.

Exercices

Port 2222
PermitRootLogin yes
PasswordAuthentication yes
MaxAuthTries 10