TMP-Hosting/Lynis/v1

Démo Lynis — fiche de remédiation

Cette fiche relie chaque dégradation introduite par degrade-security.sh au contrôle Lynis correspondant, puis à la correction et au durcissement attendus.

Astuce démo : lancez une fois sudo lynis audit system avant de dégrader (baseline), puis une fois après. Le score (« Hardening index ») et les Suggestions permettent une comparaison parlante.

---

1. SSH — /etc/ssh/sshd_config.d/00-lynis-demo-insecure.conf

Ce qui a été modifié	Pourquoi c'est un problème
PermitRootLogin yes	Login root direct → cible de bruteforce, pas de traçabilité nominative
PasswordAuthentication yes	Expose au bruteforce/credential stuffing
PermitEmptyPasswords yes	Connexion possible sans mot de passe
X11Forwarding yes	Surface d'attaque inutile sur un serveur
MaxAuthTries 10	Trop d'essais d'authentification tolérés

Contrôle Lynis : SSH-7408 (multiples suggestions).

Correction / durcissement (dans un drop-in /etc/ssh/sshd_config.d/10-hardening.conf) :

PermitRootLogin no
PasswordAuthentication no      # bascule vers l'authentification par clé
PermitEmptyPasswords no
X11Forwarding no
MaxAuthTries 3
LoginGraceTime 30
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2

Puis : sshd -t && systemctl reload ssh.

---

2. umask trop permissif — /etc/login.defs

UMASK 000 → les nouveaux fichiers sont créés en 666 et les répertoires en 777.

Contrôle Lynis : AUTH-9328 (Default umask values).

Correction : mettre UMASK 027 dans /etc/login.defs (et idéalement aussi dans /etc/profile / /etc/pam.d selon la politique).

---

3. Paramètres noyau non durcis — /etc/sysctl.d/99-lynis-demo-insecure.conf

Clé	Valeur posée	Risque
net.ipv4.ip_forward = 1	routage activé	la machine relaie du trafic
*.accept_redirects = 1	accepte les redirects ICMP	détournement de route
*.send_redirects = 1	émet des redirects	info de topologie divulguée
accept_source_route = 1	source routing	contournement de filtrage
log_martians = 0	pas de log des paquets usurpés	angle mort
kernel.sysrq = 1	combinaisons SysRq actives	actions noyau non maîtrisées
kernel.dmesg_restrict = 0	dmesg lisible par tous	fuite d'infos noyau
kernel.kptr_restrict = 0	pointeurs noyau exposés	aide à l'exploitation
fs.suid_dumpable = 2	core dumps des binaires SUID	fuite de secrets

Contrôle Lynis : KRNL-6000 (liste les clés sysctl à corriger).

Correction : supprimer le fichier de démo et appliquer un profil durci (/etc/sysctl.d/90-hardening.conf) avec les valeurs inverses (ip_forward=0, accept_redirects=0, kernel.sysrq=0, kptr_restrict=2, dmesg_restrict=1, fs.suid_dumpable=0, …) puis sysctl --system.

---

4. Bannières légales absentes — /etc/issue, /etc/issue.net

Fichiers vidés → aucune bannière d'avertissement.

Contrôles Lynis : BANN-7126 (/etc/issue), BANN-7130 (/etc/issue.net).

Correction : y placer un avertissement légal, par ex. :

Acces reserve aux personnes autorisees. Toute activite est journalisee
et peut etre poursuivie. Deconnectez-vous immediatement si non autorise.

---

5. Permissions dangereuses

Élément	État posé	Attendu
/etc/crontab	0777	0644 root:root
/etc/lynis-demo-world-writable.conf	0666 (monde-inscriptible)	à supprimer
/opt/lynis-demo-shared	0777 sans sticky bit	0755 ou 1777 si partage

Contrôle Lynis : section File Permissions (fichiers world-writable, droits des fichiers de cron).

Correction :

chmod 0644 /etc/crontab
rm -f /etc/lynis-demo-world-writable.conf
chmod 0755 /opt/lynis-demo-shared   # ou chmod 1777 si réellement partagé

---

6. (Optionnel) AppArmor désactivé

Bloc commenté dans le script. Si activé, systemctl disable --now apparmor désactive le module de contrôle d'accès obligatoire (effet complet après reboot).

Contrôle Lynis : MACF-6208.

Correction : systemctl enable --now apparmor puis reboot ; vérifier avec aa-status.

---

Écarts déjà présents sur une install fraîche (à expliquer aussi)

Sur une Debian 12 « nue », Lynis remontera de toute façon ces points — utiles pour le discours sur le durcissement, sans rien dégrader :

• Pas de pare-feu actif → installer/configurer nftables ou ufw (FIRE-4513).
• Pas d'auditd → apt install auditd (ACCT-9628).
• Pas d'AIDE / intégrité de fichiers → apt install aide (FINT-4350).
• Mises à jour automatiques absentes → apt install unattended-upgrades (PKGS-7390).
• Pas de politique de complexité de mot de passe → apt install libpam-pwquality (AUTH-9262).
• Vieillissement des mots de passe par défaut (PASS_MAX_DAYS 99999) → réduire dans /etc/login.defs (AUTH-9286).

---

Tout remettre en l'état

sudo /root/lynis-demo-backups/<date>/restore.sh

Les sauvegardes des fichiers d'origine et le journal CHANGELOG.txt sont dans le même répertoire.