HOWTO Sécuriser Debian

Posté par  . Modéré par Yann Hirou.
Étiquettes :
0
12
déc.
2001
Sécurité
LinuxSecurity publie sur son site l'excellent travail d'Alexander Reelsen et Javier Fernández-Sanguino Peña sur les moyens de renforcer la sécurité d'une distribution Debian GNU/Linux.
Laissons la parole à LS :

"Ce document décrit les procédures pour sécuriser et renforcer l'installation par défaut d'une distribution Debian. Il couvre les mesures les plus communes pour installer et sécuriser un environnement réseau à partir d'une Debian GNU/Linux. Ce document vous indique simplement ce que vous pouvez faire pour augmenter la sécurité de votre système Debian GNU/Linux."

Aller plus loin

  • # Un air de déjà vu

    Posté par  (site web personnel) . Évalué à 10.

    J'ai acheté ce livre il y a quelques temps :

    "Sécurité sous linux" d'Aron Hsiao (Campus Press)

    On y retrouve, de façon plus générale, les concepts abordés dans ce document avec en plus un comparatif des différentes distributions en matière de sécurité.



    Descriptif du bouquin:

    http://www.eyrolles.com/php.informatique/Ouvrages/9782744012228.php(...))



    Le HOWTO présenté ne se limite d'ailleurs pas à la Debian, il est une bonne base pour la sécurité sous Linux en général.
    • [^] # Re: Un air de déjà vu

      Posté par  (site web personnel) . Évalué à 10.

      Heureusement qu'il y a des points communs entre toutes les publications sinon se serait inquiétant quand on parle d'un même sujet si on ne retrouve pas des points communs :-)

      L'avantage qu'apporte ce How To c'est qu'il est en ligne et gratuit.

      Important lorsque l'on ne veut pas débourser de l'argent dans un domaine qui même s'il est important n'est pas forcément le centre d'intérêt de tout le monde.

      Actuellement la sécurité est très porteur mais comme je l'ai dit elle n'est pas forcément indispensable à tous le monde il ne faudrait pas tomber dans la paranoïa. Et je pense que ce How-to permet d'apporter le minimun d'informations à tous les utilisateurs soucieux de rendre leur système fiable et sécurisé dans la limite du raisonnable et avec un confort optimun.

      Et cela même s'il est encore en anglais à mon grand désespoir partisan de rendre les choses accessibles au plus grand nombre.
      • [^] # Re: Un air de déjà vu

        Posté par  (site web personnel) . Évalué à 8.

        Et un des grands avantages du howto est la possibilite de mise a jour beaucoup plus importante que pour un ouvrage papier, l'integration de nouvelles personnes etc etc etc...

        Certes, un livre papier c'est tres ben, tres sympa, mais dans un domaine aussi changeant que celui de la securite, cela peut devenir completement obsolete en quelques semaines.

        Et pour les integristes du papier, ils peuvent toujours l'imprimer :)
        • [^] # Re: Un air de déjà vu

          Posté par  (site web personnel) . Évalué à 0.

          L'imprimer ? j'ai pas trouvé de version .ps...

          On peut m'éclairer ?



          Merci



          Axel - 584
          • [^] # html2ps mieux que rien...

            Posté par  . Évalué à -1.

            html2ps, c'est pas top, mais ça marche mieux que dans l'autre sens...

            enfin à mes yeux (je consomme peut-être un peu trop de \parbox)

            apt-getable
        • [^] # Re: Un air de déjà vu

          Posté par  (site web personnel) . Évalué à 2.

          En mettant mon commentaire, je ne voulais nullement dire qu'il y avait repompage, mais juste signaler ce très bon bouquin.

          Pour ce qui est de la mise à jour, les notions de sécurité abordées dans le HOWTO pourrait dater d'un an, ça ne changerait pas grand chose.

          Pour ce qui est de ceux qui trouve qu'un livre c'est trop cher (c'est pas gratuit quoi), il faut quand même de temps en temps que les gens gagnent de quoi remplir leur assiette. Je trouve qu'on assimile trop souvent Open Source et gratuité, voire bénévolat.
    • [^] # Re: Un air de déjà vu

      Posté par  . Évalué à 7.

      pour ceux qui s'interessent plus a la sécurité réseau, il existe le tres bon livre (selon moi) de stephen northcutt: "détection des intrusions réseaux", dissponible chez campuspress ( http://www.campuspress.net(...(...)) ).

      les explications techniques sont tres largement illustrées de screenshot et le point de vue de professionnel de l'auteur est tres interessant.
    • [^] # Re: Un air de déjà vu

      Posté par  (site web personnel) . Évalué à 0.

      Pourquoi sécuriser une Debian ?

      C'est déjà sécurisé.



      <troll on>Debian roulaize de chez michelin<troll of>.

      Zut mes balizes sont pas au bon endroit ;-)
      • [^] # Re: Un air de déjà vu

        Posté par  (site web personnel) . Évalué à 5.

        Je suis desole, mais la debian est une distribution moins courant d'air que les autres, mais cela ne veut pas dire qu'elle est securisee pour autant (d'autant qu'un reseau vraiment secure, ca n'existe pas. Cela dit, il est vrai que la paranoia et le pointillisme des mecs de chez deb font que cette distrib voit tous ses packages relus 15 fois, ce qui permet une mailleur qualite.

        <troll on>de toute facon slackware kicks your ass <troll off>
  • # Question sur les modérateurs

    Posté par  . Évalué à -1.

    Cette une question qui n'a pas sa place ici.

    Mais çà me démange.



    J'ai remarqué que linuxfr a ces favoris (c'est normal) :

    - openBSD

    - mysql

    - debian

    - la sécurité

    - window maker

    - kde (plus depuis plusieurs mois... et c'est tant mieux :o) ).

    ...



    Serait-il possible d'avoir la liste des modérateurs avec un petit texte donnant sont profile :

    - édutiant

    - professionnel

    - développeur

    - informatique comme hobbi

    - distrib préférée

    - age etc...



    Des données statistiques et non nominative seraient suffisantes.

    çà donnerait une sorte de ligne éditoriale et une meilleur compréhensition des news qui passent.



    De la même façon il serait intéressant d'avoir des statistique sur les profiles des utilisateurs (ceux qui "notent" les commentaires).

    Dans ce cas, il serait bon de ne pas rendre public les xp (sinon risque de course aux xp ridicule).

    Les scores des posts seraient plus significatif et donnerait le pannel de ceux qui proposent les news.

    C'est aussi une information intéressante pour les modérateurs qui connaissent ainsi mieux le publique de linuxfr et permet ainsi une meilleure modération (quoique? suivre constament l'audimat n'est pas forcément une bonne idée...).



    C'est surement beaucoup de boulot...
    • [^] # Re: Question sur les modérateurs

      Posté par  . Évalué à 6.

      Ce qui n'est pas compliqué à faire et qui serait sympa, c'est de savoir combien d'utilisateurs utilisent chacun des thèmes, combien browsent à -1, 0, 1, etc...



      Un tout petit plus compliqué mais bien plus interessant : pondérer ces stats avec les fréquences de visite de chaque utilisateur. (en bref, ne pas compter les comptes qui ne servent plus)



      --

      Thomas, Thème linuxfr, browse à -1
      • [^] # Re: Question sur les modérateurs

        Posté par  (site web personnel) . Évalué à 10.

        Pour repondre au deux posts précédents :



        Personnelement, je ne vois pas l'interet d'avoir des 'fiches' (même non nominatives sur les modérateurs ...

        Je m'explique :

        - Je ne regarde jamais qui a modéré une news. Je lis la news, et si j'ai un commentaire a faire, je le fais et c'est tout.

        - En ce qui concerne une meilleure comprehension de la ligne éditoriale, je connais déjà en gros le type d'information que je vais trouver sur linuxfr (ie les sujets couverts par le site ...)

        Mieux connaitre les moderateurs ne m'apporte rien de plus.



        Bref, je vois pas l'interet, du moins en tant que justification de la meilleure comprehension du site.



        Maintenant, avoir une page : 'Les modérateurs se présentent et vous disent coincoin ...', et ben, ca peut etre sympatique ! Ca rendrait les modérateur plus 'humains' :))



        Maintenant les statistiques sur les utilisateurs ...

        Pfiou ... La je ne sais pas ... A qui seraient destinés ces statistiques ? A tous les visiteurs, tous les utilisateurs, aux moderateurs ?

        Si ca reste des statistique 'globales' et non nominatives pourquoi pas, mais j'ai vraiment l'impression que ce type d'information ne sont intéressantes uniquement pour les 'administrateurs' du site plutot que les utilisateurs ...



        Bref, voila, c'etait juste histoire de vous donner mon avis d'utilisateur lambda !
        • [^] # Re: Question sur les modérateurs

          Posté par  . Évalué à -7.

          bon d'accord on s'en fout de leurs gouts informatiquement parlant ...

          mais on pourrait pas au moins savoir si ils aiment les gros seins ?

          parce que l'air de rien ça donne pas mal d'informations sur un homme .. :°)



          -1 parce que j'ai honte...



          P.S.: jr désolé de t'avoir déshonoré ;)
      • [^] # Re: Question sur les modérateurs

        Posté par  . Évalué à -7.

        Un petit début de stat: chaque utilisateur utilise un thème.



        Pour le reste, j'avoue ne pas voir trop l'intérêt. Ni pour les infos sur les modéros, ni (et encore moins) pour les stats utilisateurs.



        Hop, -1.
        • [^] # Re: Question sur les modérateurs

          Posté par  . Évalué à -9.

          Oh ben j'ai pas coché la bonne case.



          Hop, -1 (gni).

          Hop, +café.
        • [^] # Re: Question sur les modérateurs

          Posté par  . Évalué à 1.

          L'intérêt des stats sur les utilisateurs est bien réel : il s'agit de satisfaire la curiosité des gens qui se demande quels thèmes sont les plus populaire et qui s'interroge sur l'existence ou non de personne qui browsent à +5.



          Pour ces deux exemples il suffit d'une requête SQL, alors bon voila...
    • [^] # XP cachés

      Posté par  (site web personnel) . Évalué à 4.

      Pour l'idée des XP cachés je suis pour!

      Si chacun est seul face à ses XP (sa conscience?), peut-être cela limitera-t-il les abus.

      Et pour les contributeurs qui seraient frustrés parce qu'ils marchent à la carottes, un p'tit classement mensuel serait bien suffisant.
    • [^] # Re: Question sur les modérateurs

      Posté par  (site web personnel) . Évalué à -7.

      > kde (plus depuis plusieurs mois... et c'est tant mieux :o) ).

      normal, kde est parfait, il n'y a rien à redire.



      >quoique? suivre constament l'audimat n'est pas forcément une bonne idée...).



      je souligne cette remarque parce que c'est la seule à laquelle j'adère dans ton poste.



      moin un
    • [^] # Re: Question sur les modérateurs

      Posté par  (site web personnel) . Évalué à 2.

      Moi j'ai note une grosse presence d'admin dans les lecteurs/scoreurs de linuxfr.



      Beaucoup de news sur des configs firewall, securite, mail et patati et patata. Et il y a souvent des messages "c'est mieux parce que tu peux mieux le configurer".



      Eh les mecs, chez moi, je vais chercher mon mail en pop3 avec kmail et le seul truc un niveau admin que j'ai modifie sur mon systeme, ca doit etre lilo. Cela dit, quand j'aurai le cable, je me pencherai un peu sur la securite.



      Je suis developpeur.
      • [^] # Re: Question sur les modérateurs

        Posté par  . Évalué à -3.

        "Je suis developpeur"

        Ouf j'ai eu peur que tu dises "je suis ingenieur informaticien... ingenieur informaticieeeeeeennn"
        ;-)
      • [^] # Re: Question sur les modérateurs

        Posté par  . Évalué à 0.

        Moi je dirais plutot que la majorite sont "admin en herbe" plutot qu'admin, en gros ils experimentent chez eux sur leur LAN et jouent avec toutes les options histoire de comprendre le fonctionnement et maitriser la chose, resultat ils savent tres bien comment ca marche mais sont pas des vrai admin avec une experience reelle.

        Linuxfr.org c'est assez jeune(non c'est pas une attaque, je suis jeune aussi :+) ) comme audience et je pense pas que beaucoup de boites(mais certaines surement) fileraient des configurations de firewall a des tout jeunes vu que ca concerne une partie vitale de la securite de la boite.
  • # Paquet Harden

    Posté par  . Évalué à 7.

    L'installation du paquet harden, permet une fois bien configurée d'avoir une debian bien sécuriséé !
    • [^] # Re: Paquet Harden

      Posté par  . Évalué à 10.

      NOTE! This package will not make your system uncrackable, and it is not intended to do so. Making your system secure involves a LOT more than just installing a package.





      Ca peut aider, mais la sécurisation d'une machine est *vraiment* plus complexe que l'installation et la configuration d'un package......



      Mais le package est intéressant quand meme, hein !!!
    • [^] # Re: Paquet Harden

      Posté par  . Évalué à 10.

      En fait, ce HowTo fait partie du package Harden, ce doc est même le premier truc développé pour ce package.



      Je me souviens avoir regardé cette doc il y a quelque temps (cette doc est en version 0.8, j'avais jeté un oeuil sur la v0.1) et plus de sections et détails étaient donnés. Mais je trouve l'orientation du Doc très bonne : rapide et concis il n'est pas exaustif mais étend la sécurité à pas mal de domaines de son serveur et à le mérite d'être exploitable immédiatement.



      Aucun doc ne saurait être exhaustif, mais sert au moins à prendre conscience qu'il faut pas laisser sa machine à l'abandon, qu'il faut sécuriser sa babasse pour soi et pour les autres (qui voudrait participer à un DDoS à l'insu de son plein gré).



      Ce Doc est en version 0.8, il reste des [FIXME], mais je pense qu'il sera d'excellente qualité, techniquement parlant.



      Le package harden-doc : http://packages.debian.org/unstable/admin/harden-doc.html(...(...))
  • # attention à ne pas marcher dedans!

    Posté par  (site web personnel) . Évalué à -10.

    Ah il faut sécuriser sa debian maintenaat, après une installation, ce n'est plus limité à être fait après une install de mdk ou redhat, pour corriger tous les trous et bugs ?
    • [^] # Re: attention à ne pas marcher dedans! Je vais me gêner !

      Posté par  (site web personnel) . Évalué à 9.

      Mettre à jour les logiciels buggés, c'est bien, mais ce n'est pas suffisant.



      Pour une meilleure sécurité, il faut aussi virer les logiciels non utiles, et adapter la configuration des trucs qui restent (à ce niveau-là, la debian a une configuration par défaut déjà assez stricte, donc y'a pas trop de boulot).



      Ensuite on peut déporter les logs, mettre des détecteurs d'intrusion, des tests d'intégrité du système, chiffrer les systèmes de fichiers... Tout dépend du niveau de sécurité nécessaire.



      Un système n'est jamais 100% secure. Dans le pire des cas on envoie la milice locale saisir ton disque dur et obtenir par la torture tes phrases de passe. Et si jamais ils s'aperçoivent qu'il y a utilisation de stéganographie, ils tuent le chien.
  • # gooooood

    Posté par  . Évalué à 10.

    Très bon How to, simple et concis... Je vais le diffuser dans ma boite, meme si personne ne comprend rien a Linux ici : )



    Autre chose : il en est question dans le howto :



    http://www.bastille-linux.org/(...(...))



    C'est un ensemble de script qui vous permettrons de sécuriser très rapidement et simplement n'importe quelle distrib... Il y a un même un front en TK maintenant !



    A essayer absolument
  • # Une version française bientôt disponible ...

    Posté par  . Évalué à 10.

    Je bosse dessus avec Gaetan Ryckeboer afin de fournir le document en français le plus rapidement possible ...



    Elle sera mise en ligne sur debian.org une fois

    terminé et une version bêta sera dispo sur

    debianworld.org des que possible ...
  • # Ce n'est pas la dernière version

    Posté par  . Évalué à 10.

    Attention, la nouvelle de LinuxSecurity ne correspond pas à la dernière version du HOWTO. Pourtant, la nouvelle ne date que du 29/11 ...



    La version de LinuxSecurity : v1.93 20 November 2001Tue, 13 Nov 2001 15:54:35 +0100

    La version de debian.org : v1.95 12 December 2001Tue, 20 Nov 2001 14:58:24 +0100

    Soit une différence de 2 versions.



    Les différences concernent :

    v1.94 : ajouts sur apache et lpr/lpng, partitions noexec et readonly, réécriture du comment aider Debian concernant la sécurité.

    v1.95 : ajout de notes sur squid et correction des liens sur les rootkits.



    La version sur debian.org : http://www.debian.org/doc/manuals/securing-debian-howto/(...(...))

    Miroir français de debian.org : http://www.fr.debian.org/doc/manuals/securing-debian-howto/(...(...))



    Je pense qu'il est préférable de mettre l'adresse d'un site debian dans ses signets pour avoir la version la plus récente possible. Ce document semble bouger très vite ces derniers temps.
  • # Proverbe du jour

    Posté par  . Évalué à -4.

    comme on dit chez moi



    $IPCHAINS -X

    $IPCHAINS -F

    $IPCHAINS -P input DENY

    $IPCHAINS -P output DENY

    $IPCHAINS -P forward DENY



    mais est-ce que ca suffit ?
    • [^] # Re: Proverbe du jour

      Posté par  (site web personnel) . Évalué à 8.

      > $IPCHAINS -X

      > $IPCHAINS -F

      > $IPCHAINS -P input DENY

      > $IPCHAINS -P output DENY

      > $IPCHAINS -P forward DENY

      > mais est-ce que ca suffit ?



      Bien sûr que non. D'une part ça ne te permet

      d'accéder à rien puisque tout est fermé, d'autre part

      il y a la protection contre les attaques physiques

      sur la machine et les dégâts potentiels par les

      utilisateurs.

      Avoir un FireWall, c'esttrès bien, mais

      si tout est fermé, alors à quoi sert ta connexion

      au net ?
    • [^] # Re: Proverbe du jour

      Posté par  (site web personnel) . Évalué à -1.

      tu prends un tournevis.

      tu démonte le capot de ton boîtier.

      tu enlèves la carte réseau.

      tu referme le capot.

      tu démarre la machine.



      et voilàaaaa, la même chose sans utiliser ipchains :) (et donc en évitant les éventuels trou de sécurité, c'est même mieux !)



      (hop -1)
    • [^] # Re: Proverbe du jour

      Posté par  . Évalué à -1.

      J'ai une méthode équivalente et qui est indépendante de OS :



      - Débranche la machine du réseau.



      NB : marche ainsi si le PC est etteint.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.