# Démo Lynis — fiche de remédiation

Cette fiche relie chaque dégradation introduite par `degrade-security.sh` au
contrôle Lynis correspondant, puis à la correction et au durcissement attendus.

> Astuce démo : lancez une fois `sudo lynis audit system` **avant** de dégrader
> (baseline), puis une fois **après**. Le score (« Hardening index ») et les
> `Suggestions` permettent une comparaison parlante.

---

## 1. SSH — `/etc/ssh/sshd_config.d/00-lynis-demo-insecure.conf`

| Ce qui a été modifié | Pourquoi c'est un problème |
|---|---|
| `PermitRootLogin yes` | Login root direct → cible de bruteforce, pas de traçabilité nominative |
| `PasswordAuthentication yes` | Expose au bruteforce/credential stuffing |
| `PermitEmptyPasswords yes` | Connexion possible sans mot de passe |
| `X11Forwarding yes` | Surface d'attaque inutile sur un serveur |
| `MaxAuthTries 10` | Trop d'essais d'authentification tolérés |

**Contrôle Lynis :** `SSH-7408` (multiples suggestions).

**Correction / durcissement** (dans un drop-in `/etc/ssh/sshd_config.d/10-hardening.conf`) :
```
PermitRootLogin no
PasswordAuthentication no      # bascule vers l'authentification par clé
PermitEmptyPasswords no
X11Forwarding no
MaxAuthTries 3
LoginGraceTime 30
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
```
Puis : `sshd -t && systemctl reload ssh`.

---

## 2. umask trop permissif — `/etc/login.defs`

`UMASK 000` → les nouveaux fichiers sont créés en `666` et les répertoires en `777`.

**Contrôle Lynis :** `AUTH-9328` (Default umask values).

**Correction :** mettre `UMASK 027` dans `/etc/login.defs`
(et idéalement aussi dans `/etc/profile` / `/etc/pam.d` selon la politique).

---

## 3. Paramètres noyau non durcis — `/etc/sysctl.d/99-lynis-demo-insecure.conf`

| Clé | Valeur posée | Risque |
|---|---|---|
| `net.ipv4.ip_forward = 1` | routage activé | la machine relaie du trafic |
| `*.accept_redirects = 1` | accepte les redirects ICMP | détournement de route |
| `*.send_redirects = 1` | émet des redirects | info de topologie divulguée |
| `accept_source_route = 1` | source routing | contournement de filtrage |
| `log_martians = 0` | pas de log des paquets usurpés | angle mort |
| `kernel.sysrq = 1` | combinaisons SysRq actives | actions noyau non maîtrisées |
| `kernel.dmesg_restrict = 0` | dmesg lisible par tous | fuite d'infos noyau |
| `kernel.kptr_restrict = 0` | pointeurs noyau exposés | aide à l'exploitation |
| `fs.suid_dumpable = 2` | core dumps des binaires SUID | fuite de secrets |

**Contrôle Lynis :** `KRNL-6000` (liste les clés sysctl à corriger).

**Correction :** supprimer le fichier de démo et appliquer un profil durci
(`/etc/sysctl.d/90-hardening.conf`) avec les valeurs inverses
(`ip_forward=0`, `accept_redirects=0`, `kernel.sysrq=0`, `kptr_restrict=2`,
`dmesg_restrict=1`, `fs.suid_dumpable=0`, …) puis `sysctl --system`.

---

## 4. Bannières légales absentes — `/etc/issue`, `/etc/issue.net`

Fichiers vidés → aucune bannière d'avertissement.

**Contrôles Lynis :** `BANN-7126` (`/etc/issue`), `BANN-7130` (`/etc/issue.net`).

**Correction :** y placer un avertissement légal, par ex. :
```
Acces reserve aux personnes autorisees. Toute activite est journalisee
et peut etre poursuivie. Deconnectez-vous immediatement si non autorise.
```

---

## 5. Permissions dangereuses

| Élément | État posé | Attendu |
|---|---|---|
| `/etc/crontab` | `0777` | `0644 root:root` |
| `/etc/lynis-demo-world-writable.conf` | `0666` (monde-inscriptible) | à supprimer |
| `/opt/lynis-demo-shared` | `0777` sans sticky bit | `0755` ou `1777` si partage |

**Contrôle Lynis :** section *File Permissions* (fichiers world-writable, droits des fichiers de cron).

**Correction :**
```
chmod 0644 /etc/crontab
rm -f /etc/lynis-demo-world-writable.conf
chmod 0755 /opt/lynis-demo-shared   # ou chmod 1777 si réellement partagé
```

---

## 6. (Optionnel) AppArmor désactivé

Bloc commenté dans le script. Si activé, `systemctl disable --now apparmor`
désactive le module de contrôle d'accès obligatoire (effet complet après reboot).

**Contrôle Lynis :** `MACF-6208`.

**Correction :** `systemctl enable --now apparmor` puis reboot ;
vérifier avec `aa-status`.

---

## Écarts déjà présents sur une install fraîche (à expliquer aussi)

Sur une Debian 12 « nue », Lynis remontera de toute façon ces points — utiles
pour le discours sur le durcissement, sans rien dégrader :

- **Pas de pare-feu actif** → installer/configurer `nftables` ou `ufw` (`FIRE-4513`).
- **Pas d'auditd** → `apt install auditd` (`ACCT-9628`).
- **Pas d'AIDE / intégrité de fichiers** → `apt install aide` (`FINT-4350`).
- **Mises à jour automatiques absentes** → `apt install unattended-upgrades` (`PKGS-7390`).
- **Pas de politique de complexité de mot de passe** → `apt install libpam-pwquality` (`AUTH-9262`).
- **Vieillissement des mots de passe par défaut** (`PASS_MAX_DAYS 99999`) → réduire dans `/etc/login.defs` (`AUTH-9286`).

---

## Tout remettre en l'état

```
sudo /root/lynis-demo-backups/<date>/restore.sh
```
Les sauvegardes des fichiers d'origine et le journal `CHANGELOG.txt` sont dans
le même répertoire.