Ma framboise est un serveur

On continue l’article précédent, parce que ça n’est pas tout. Bon, je l’ai deja écrit dans un billet, mais je le répète quand même avec quelques mises à jour.

1. Sécurisation SSH
On serre un peu la vis du SSH avec le fichier /etc/ssh/sshd_config. Pour cela, on va interdire l’accès au root et autoriser que les membres d’un groupe à se connecter :

...
PermitRootLogin no
AllowGroups staff
Protocol 2
...

2. Sécurisation Fail2ban
Maintenant, on installe fail2ban et créer des règles pour contrer les petits malins. Ce service va donc lire les fichiers logs, repérer les échecs d’identification et les adresses IP correspondantes, les bloquer avec une règle iptables et vous envoyer un mail pour vous avertir.

root@raspi:/home/idem# aptitude -R install fail2ban

Maintenant, on passe à la configuration. Tout d’abord le fichier /etc/fail2ban/jail.conf . Je modifie l’action par défaut :

action = %(action_mwl)s

Qui correspond à :

action_mwl = %(banaction)s[name=%(__name__)s, port="%(port)s", protocol="%(protocol)s", chain="%(chain)s"]
 %(mta)s-whois-lines[name=%(__name__)s, dest="%(destemail)s", logpath=%(logpath)s, chain="%(chain)s"]

Ensuite nous activons les régles pour les services ssh-ddos, apache, apache-noscript, et apache-overflows en positionnant la variable enable sur true :

enabled  = true

Il faut redémarrer le service pour prendre en compte ces modifications :

root@raspi:/home/idem# /etc/init.d/fail2ban restart

3. Suppression du user pi
Remplacer dans le fichier /etc/group les occurrences de pi :

:1,$s/:pi/:idem/g

Puis supprimer le compte pi :

root@raspi:/home/idem# deluser --remove-home  pi