Sécurisation

Analyse de sécurité

Identification des risques

1. Utilisation de failles de sécurité du système
2. Connection en root par une personne malveillante
3. Utilisation de la méthode "Brute Force" avec le protocole SSH afin de trouver un mot de passe permettant une connexion au VPS
4. Stockage des mots de passe sur GitHub
5. Ouverture de port non nécessaire au fonctionnement des services

Contre-mesures contrant les risques identifiés

1. Effectuer les mises à jours d'Ubuntu dès qu'elle sont disponible
2. Désactivation de la connexion en root
3. Modification du port de connexion en SSH
4. Mise en place de Fail2Ban
5. Suppression des mots de passes de GitHub
6. Fermer les ports non utilisé ou ne nécessitant pas d'être accessible de l'extérieur du VPS

Choix des contre-mesures mises en place et justification.

Utilisation de failles de sécurité du système

Afin de limiter les risque d'utilisation des potentielle failles de sécurité d'Ubuntu, nous avons fait les mises à jour disponibles. Commandes utilisées : apt-get update et apt-get upgrade

Connection en root par une personne malveillante

Nous avons désactivé la connexion en SSH a l'utilisateur root de nos VPS.

Pour ce faire nous avons modifier le fichier /etc/ssh/sshd_config. Dans ce fichier nous avons modifier la valeur la variable PermiRootLogin.

Utilisation de la méthode "Brute Force" avec le protocole SSH afin de trouver un mot de passe permettant une connexion au VPS

1. Nous avons mis en place Fail2Ban afin de limiter le nombre de tentative qu'un attaquant peut faire. Le fonctionnement de Fail2Ban consiste a placer les adresse IP de machine ayant entré trop de fois un mauvais password dans des blacklist appelé des jail. Une adresse IP mise dans la jail pourra retenter de faire une authentification ssh lorsque un délai, définis dans la configuration de Fail2Ban, sera arrivé à son terme.

2. Nous avons modifier le numéro de port utilisé par défaut pour les connexion SSH La majorité des tentative de connexion venant de bot utilise le port 22 qui est le port par défaut. Nous avons donc modifié le port utilisé par SSH en
   modifiant la variable Port du fichier /etc/ssh/sshd_config.

Stockage des mots de passe sur GitHub

Nous avons supprimé tous les mots de passes présent dans les fichier commité sur GitHub. Ils ont tous été remplacé par la valeur [password]

Ouverture de port non nécessaire au fonctionnement des services

Identification des risques résiduels (non-couverts par des contre-mesures)

Contre-mesures mises en place

Liste des contre-mesures réellement mises en place sur les VPS et leur configuration (Fail2Ban, Firewall etc.) + état des lieux de leur fonctionnement.