Sécuriser son serveur comme la NSA

25$ offert sur UpCloud avec le code COCADMIN:

Newsletter:
Rejoignez le discord:
Twitter:

[benjamincallar]

Hello Coca,
Deux petites remarques :)

1. En debut de video, le conseil "generique" n'est pas de mettre a jour son systeme, mais bien de limiter les softwares installes, bien plus que les services, les logiciels de compilation sont a prohiber, beaucoup d'exploit d'escalade de privilèges utilise la compilation d'un code C pour gagner les droits root.

2. Ton Firewall manque de certaines regles de base :
- autoriser en Input toutes les connexions sur l'interface lo
- autoriser en entrée les paquets deja initiés ( --state RELATED, ESTABLISHED ), car dans ta config, aucune mise a jour ou aucune requete DNS ne peut etre fait. Si tu ne veut pas gerer le state, autoriser a ce moment comme pour le ssh en fonction du sport ( 53 et 80/443 )
- mettre une policy DROP sur la chain FORWARD, meme si le routage n est pas active, si il l'est un jour ( malencontreusement ou par un hacker ), le rebond NAT est interdit. A savoir que la regle INPUT ne filtee pas les paquets "NATté"

Sinon encore tres bonne vidéo ;) merci pour ton travail :)

[xavki]

Hello l’anssi en France a fait aussi un très beau travail sur ce domaine.

[mariofadegnon]

Hello cocadmin, une petite pratique avec Openssh:
1-Désactiver l'accès de root (lu dans la plupart des docs de best pratices)
2- Creer un utilisateur pouvant se connecter par ssh mais n'est pas sudoer.
3- Créer un autre qui est sudoer mais ne peut se connecter ssh.

[_Greenflag_]

Merci pour la vid mais quelques points :
16:00 le fichier original ne devrait pas être modifié, une copie devrait être faite (car maj de failstoban va écraser le fichier)
tu as une option ignoreip : liste d’adresses IP à ne jamais bannir

[penthium]

il y a l'outils portsentry qui évite les scans de port. cela permet donc de mettre le port SSH sur un port exotique et sans être trouvé.

[DavixXx]

Dans mon premier boulot j'avais comme client un organisme très sensible à la sécurité et toutes ces règles/méthodes m'ont été enseigné dès les premiers mois (petit clin d'oeil à AIDE qui est sympathique pour faire du scellement.)

[NT-dkzp]

Salut ! J'ai découvert ta chaine récemment et c''est très intéressant ! A propos de ce genre de vidéos, pourquoi ne pas suivre les documents Livre Blanc de l'ANSSI ?
Bonne continuation !

[radiodnbstation]

Trop bien Super vidéo, bien expliqué posé et le son impec ! GG bonne continuation ! Merci !

[Btoscani]

Il devrait aussi informer comment protéger un serveur contre la NSA :-p

[djcaesar]

Un document qu'on devrait donner dès qu'on touche un ordi!

[bertauxmaxence]

Salut Coca,
Ca fait 2 petit mois que je te suis et franchement toutes tes vidéos sont cool.
Je suis admin syst & network junior et ca me permet de revoir quelques bonnes pratique que j'oublie,

Continue comme ca bg,

Force !

[christopheleroux]

Parfait ! pour le projet 13 d'openclassrooms, en réalisant les sécurisations de cette vidéo je suis passé de "l'hardening index" 47% à 62%... et j'ai pas fini lol.

[Yaban-racing]

Est-ce que tu peut faire un tutoriel installation serveur local pour hébergé un site Web local avec un Ubuntu ou debian serveur ou autre. Sans outils de déploiement rapide. Avec les bonnes options de sécurité. Ou sur un serveur dédié vierge chez un ebergeur. Grafikart l'a fait mais son tuto est trop vieux maintenant.
Merci

[loann-de]

Le document de la NSA n'est plus disponible à la consultation en suivant le lien :/

[PilYxe]

top la video comme d'hab, tu penses faire une video sur la sécurisation de k8 ?

[mokranemouzaoui]

Hello, je cherche le pdf depuis 1h je trouve pas qqun pourrai me l'indiquer svp 😅

[Towzlie]

On peut aussi utiliser ufw pour faire ses iptables rapidemment !
Merci pour le travail

[_misterwhy]

Hello ! Tout d abord merci pour tes idées de video et ta vulgarisation ;)

Je pensais créer un serveur chez-moi avec un pc fixe. Pour quand je pars en vacance et si j ai besoin d un fichier, j accede a mon fichier ou je veux et quand je veux.

T en pense quoi ? Trop risqué niveau sécurité ?

Merci ;)

PS: Tu connais l l'ubuntu cola ? Lol

[panda-bsbb]

Ahah, ce drapeau.
Merci pour la vidéo ;)


Edit: En passant, perso je rajoute à fail2ban, un portsentry qui mets la règle iptable qui va bien et qui route add reject le malindrain qui à la bêtise de scanner. Ça parrait violent mais jusqu'à présent ça n'a pas posé de problèmes avec nos clients et au pire on a nos commandes de prête pour unban si y'a des faux positifs.

[gaiusbaltar]

C'est juste un détail mais iptables est une interface pour le firewall qui est netfilter.