_edited.png){kind=small}
Les pirates sont toujours à l'affût des vulnérabilités des serveurs. Il est donc de votre responsabilité de vous assurer que vos données sont sûres et sécurisées.
Minimisez les risques et soyez sûr que vos données sont en sécurité sur des serveurs sécurisés en mettant en œuvre nos conseils de sécurité et nos meilleures pratiques.
Connectivité du serveur
1. Établir et utiliser une connexion sécurisée
Lors de la connexion à un serveur distant, il est essentiel d'établir un canal de communication sécurisé.
L'utilisation du Protocole SSH ( Secure Shell ) est la meilleure façon d'établir une connexion protégée. Contrairement au Telnet qui était utilisé précédemment, l'accès SSH crypte toutes les données transmises dans l'échange.
Vous devez installer le démon SSH et disposer d'un client SSH avec lequel vous émettez des commandes et gérez les serveurs pour obtenir un accès à distance à l'aide du protocole SSH.
Par défaut, SSH utilise le port 22 . Tout le monde, y compris les hackers, le sait. La plupart des gens ne configurent pas ce détail apparemment insignifiant. Cependant, changer le numéro de port est un moyen simple de réduire les chances que des pirates informatiques attaquent votre serveur. Par conséquent, la meilleure pratique pour SSH consiste à utiliser des numéros de port compris entre 1024 et 32 767.
2. Utilisez l'authentification par clés SSH
Au lieu d'un mot de passe, vous pouvez authentifier un serveur SSH à l'aide d'une paire de clés SSH, une meilleure alternative aux connexions traditionnelles. Les clés contiennent beaucoup plus de bits qu'un mot de passe et ne sont pas facilement piratées par la plupart des ordinateurs modernes. Le cryptage RSA 2048 bits populaire équivaut à un mot de passe à 617 chiffres.
La paire de clés se compose d'une clé publique et d'une clé privée.
La clé publique a plusieurs copies, dont l'une reste sur le serveur, tandis que d'autres sont partagées avec les utilisateurs. Toute personne disposant de la clé publique a le pouvoir de chiffrer les données, tandis que seul l'utilisateur disposant de la clé privée correspondante peut lire ces données. La clé privée n'est partagée avec personne et doit être sécurisée. Lors de l'établissement d'une connexion, le serveur demande la preuve que l'utilisateur possède la clé privée, avant d'autoriser un accès privilégié.
3. Protocole de transfert de fichiers sécurisé
Pour transférer des fichiers vers et depuis un serveur sans risque que des pirates informatiques compromettent ou volent des données, il est essentiel d'utiliser le protocole FTPS (File Transfer Protocol Secure) . Il crypte les fichiers de données et vos informations d'authentification.
FTPS utilise à la fois un canal de commande et un canal de données, et l'utilisateur peut crypter les deux. Gardez à l'esprit qu'il ne protège que les fichiers pendant le transfert. Dès qu'elles atteignent le serveur, les données ne sont plus cryptées. Pour cette raison, chiffrer les fichiers avant de les envoyer ajoute une autre couche de sécurité.
4. Certificats Secure Sockets Layer
Sécurisez vos zones d'administration Web et vos formulaires avec Secure Socket Layer (SSL) qui protège les informations transmises entre deux systèmes via Internet. SSL peut être utilisé à la fois dans la communication serveur-client et serveur-serveur.
Le programme brouille les données afin que les informations sensibles (telles que les noms, identifiants, numéros de carte de crédit et autres informations personnelles) ne soient pas volées en transit. Les sites Web qui ont le certificat SSL ont HTTPS dans l'URL, indiquant qu'ils sont sécurisés.
Non seulement le certificat crypte les données, mais il est également utilisé pour l'authentification des utilisateurs. Par conséquent, en gérant les certificats pour vos serveurs, cela aide à établir l'autorité des utilisateurs. Les administrateurs peuvent configurer les serveurs pour qu'ils communiquent avec une autorité centralisée et tout autre certificat que l'autorité signe.
5. Utilisez des réseaux privés et des VPN
Un autre moyen d'assurer une communication sécurisée consiste à utiliser des réseaux privés et virtuels (VPN) et des logiciels tels que OpenVPN. Contrairement aux réseaux ouverts qui sont accessibles au monde extérieur et donc sensibles aux attaques d'utilisateurs malveillants, les réseaux privés privés et virtuels limitent l'accès à certains utilisateurs.
Les réseaux privés utilisent une adresse IP privée pour établir des canaux de communication isolés entre les serveurs de la même plage. Cela permet à plusieurs serveurs sous le même compte d'échanger des informations et des données sans être exposés à un espace public.
Lorsque vous souhaitez vous connecter à un serveur distant comme si vous le faisiez localement via un réseau privé, utilisez un VPN. Il permet une connexion entièrement sécurisée et privée et peut englober plusieurs serveurs distants. Pour que les serveurs communiquent sous le même VPN, ils doivent partager des données de sécurité et de configuration.
Gestion des utilisateurs du serveur
6. Surveiller les tentatives de connexion
L'utilisation d'un logiciel de prévention des intrusions pour surveiller les tentatives de connexion est un moyen de protéger votre serveur contre les attaques par brute force. Ces attaques automatisées utilisent une méthode d'essai et d'erreur, essayant toutes les combinaisons possibles de lettres et de chiffres pour accéder au système.
Un logiciel de prévention des intrusions supervise tous les fichiers journaux et détecte les tentatives de connexion suspectes. Si le nombre de tentatives dépasse la norme définie, le logiciel de prévention des intrusions bloque l'adresse IP pendant une certaine période ou même indéfiniment.
7. Gérer les utilisateurs
Chaque serveur a un utilisateur root qui peut exécuter n'importe quelle commande. En raison de la puissance dont il dispose, root peut être très dangereux pour votre serveur si il tombe entre de mauvaises mains. Il est courant de désactiver complètement la connexion root en SSH.
Étant donné que l'utilisateur root a le plus de pouvoir, les pirates concentrent leur attention sur la tentative de déchiffrer le mot de passe de cet utilisateur spécifique. Si vous décidez de désactiver complètement cet utilisateur, vous placerez les attaquants dans un désavantage significatif et sauverez votre serveur des menaces potentielles.
Pour vous assurer que les tiers n'utilisent pas abusivement les privilèges root, vous pouvez créer un compte utilisateur limité. Ce compte n'a pas les mêmes droits que le root mais est toujours capable d'effectuer des tâches administratives à l'aide des commandes sudo.
Par conséquent, vous pouvez administrer la plupart des tâches en tant que compte d'utilisateur limité et utiliser le compte root uniquement lorsque cela est nécessaire.
Sécurité du mot de passe serveur
8. Établir les exigences de sécurité du mot de passe
La première chose à faire est de définir les exigences et les règles de mot de passe qui doivent être suivies par tous les membres du serveur.
N'autorisez pas les mots de passe vides ou par défaut. Appliquer une longueur et une complexité minimales de mot de passe. Ayez une politique de verrouillage. Ne stockez pas les mots de passe en utilisant un cryptage réversible. Forcer l'expiration de la session en cas d'inactivité et activer l'authentification à deux facteurs.
9. Définir la politique d'expiration du mot de passe
La définition d'une date d'expiration pour un mot de passe est une autre pratique courante lors de la définition des exigences pour les utilisateurs. Selon le niveau de sécurité requis, un mot de passe peut durer quelques semaines ou quelques mois.
10. Utiliser des phrases secrètes pour les mots de passe du serveur
Il existe plusieurs raisons pour lesquelles l'utilisation d'une phrase secrète (aussi appellé phrase de passe) plutôt qu'un mot de passe peut contribuer à améliorer la sécurité du serveur. La principale différence entre les deux est qu'une phrase secrète est plus longue et contient des espaces entre les mots. Par conséquent, il s'agit souvent d'une phrase, mais ce n'est pas forcément une phrase.
Par exemple, une phrase de passe de mot de passe peut être: J'm! la sécuQdc'estb1fait.
L'exemple donné est plus long qu'un mot de passe habituel et contient des lettres majuscules et minuscules, des chiffres et des caractères uniques.
De plus, il est beaucoup plus facile de se souvenir d'une phrase secrète qu'une chaîne de lettres aléatoires. Enfin, comme il se compose ici de 26 caractères, il est plus difficile à craquer.
11. Mot de passe à ne pas faire
Si vous souhaitez maintenir un serveur sécurisé, vous devez éviter certaines choses en ce qui concerne les mots de passe. Tout d'abord, faites attention à l'endroit où vous stockez les mots de passe. Ne les écrivez pas sur des morceaux de papier et ne les cachez pas dans le bureau.
Il est généralement conseillé de ne pas utiliser d'informations personnelles telles que votre anniversaire, votre ville natale, les noms d'animaux de compagnie et autres éléments qui peuvent rapprocher, l'utilisateur, au mot de passe. Ceux-ci sont extrêmement faciles à deviner, en particulier par des personnes qui vous connaissent personnellement.
Les mots de passe qui ne contiennent que de simples mots du dictionnaire sont également faciles à déchiffrer, en particulier par des attaques par dictionnaire (brute force). Conscient du même risque, essayez d'éviter de répéter des séquences de caractères dans le même mot de passe.
Enfin, n'utilisez pas le même mot de passe pour plusieurs comptes. En recyclant les mots de passe, vous vous exposez à des risques importants. Si un pirate parvient à accéder à un seul compte, tous les autres comptes avec le même mot de passe peuvent être en danger. Essayez d'utiliser un mot de passe différent pour chaque compte séparé et gardez-en une trace à l'aide d'un gestionnaire de mots de passe tel que notre solution AwPasswords ou encore le très connu KeePass.
Autres bonnes pratiques pour sécuriser un serveur
12. Mettre à jour et mettre à niveau régulièrement
La mise à jour régulière sur un serveur est une étape cruciale pour le protéger des pirates. Les logiciels obsolètes ont déjà été explorés pour ses points faibles, laissant la possibilité aux pirates de profiter de ceux-ci et d'endommager votre système. Si vous gardez tout à jour, vous vous assurez qu'il prêt pour se protéger en première ligne de défense.
Les mises à jour automatiques sont un moyen de garantir qu'aucune mise à jour n'est oubliée. Cependant, autoriser le système à effectuer de tels changements par lui-même peut être risqué. Avant de mettre à jour votre environnement de production, il est recommandé d'examiner les performances de la mise à jour dans un environnement de test.
Assurez-vous de mettre à jour régulièrement le panneau de commande du serveur. Vous devez également mettre à jour régulièrement les systèmes de gestion de contenu, si vous en utilisez un, ainsi que tous les plugins qu'il peut avoir. Chaque nouvelle version comprend des correctifs de sécurité pour résoudre les problèmes de sécurité connus.
13. Supprimer ou désactiver tous les services inutiles
Augmentez la sécurité du serveur en réduisant le soi-disant vecteur d'attaque.
Ce terme de cybersécurité fait référence à l'installation et à la maintenance uniquement des exigences minimales nécessaires pour maintenir vos services en fonctionnement. Activez simplement les ports réseau utilisés par le système d'exploitation et les composants installés. Moins vous en avez sur le système, mieux c'est.
Un serveur Windows OS ne doit avoir que les composants du système d'exploitation requis. Un serveur de système d'exploitation Linux doit avoir une installation minimale avec uniquement les packages vraiment nécessaires installés.
Comme la plupart des distributions Linux écoutent les connexions entrantes sur Internet, vous devez configurer un pare-feu pour n'autoriser que des ports spécifiques et refuser toutes les autres communications inutiles.
Vérifiez les dépendances avant d'installer le logiciel sur votre système pour vous assurer que vous n'ajoutez rien dont vous n'avez pas besoin. En outre, vérifiez quelles dépendances ont été démarrées automatiquement sur votre système et si vous les souhaitez.
14. Masquer les informations du serveur
Essayez de fournir le moins d'informations possible sur l'infrastructure sous-jacente. Moins on en sait sur le serveur, mieux c'est.
Il est également judicieux de masquer les numéros de version de tout logiciel que vous avez installé sur le serveur. Souvent, ils révèlent, par défaut, la date de sortie exacte qui peut aider les pirates informatiques à rechercher des faiblesses. Il est généralement simple de supprimer ces informations en les supprimant de l'en-tête HTTP de sa bannière d'accueil.
15. Utiliser des systèmes de détection d'intrusion
Pour détecter toute activité non autorisée, utilisez un système de détection d'intrusion (IDS) , tel que Sophos, qui surveille les processus en cours d'exécution sur votre serveur. Vous pouvez le configurer pour vérifier les opérations quotidiennes, exécuter des analyses automatisées périodiques ou décider d'exécuter l'IDS manuellement.
16. Audit de fichiers
L'audit de fichiers est un autre bon moyen de découvrir les modifications indésirables sur votre système.
Il tient un registre de toutes les caractéristiques de votre système lorsqu'il est dans un bon état «sain» et le compare à l'état actuel. En comparant côte à côte les deux versions du même système, vous pouvez détecter toutes les incohérences et suivre leur origine.
17. Audit des services
L'audit des services explore les services exécutés sur le serveur, leurs protocoles et les ports via lesquels ils communiquent. Être conscient de ces spécificités permet de gérer les surfaces d'attaques potentielles dans le système.
18. Configurer et gérer un pare-feu
Sécurisez votre serveur en contrôlant et en restreignant l'accès à votre système.
L'utilisation de CSF (ConfigServer et Firewall) est essentielle pour renforcer la sécurité de votre serveur. Il n'autorise que des connexions vitales spécifiques, verrouillant l'accès à d'autres services.
Configurez un pare-feu lors de la configuration initiale du serveur ou lorsque vous modifiez les services proposés par le serveur. Par défaut, un serveur typique exécute différents services, notamment des services publics, privés et internes.
Les services publics sont généralement gérés par des serveurs Web qui doivent autoriser l'accès à un site Web. Tout le monde peut accéder à ces services, souvent de manière anonyme, sur Internet.
Les services privés sont utilisés pour traiter un panneau de contrôle de base de données, par exemple. Dans ce cas, un certain nombre de personnes sélectionnées ont besoin d'accéder au même point. Ils ont des comptes autorisés avec des privilèges spéciaux à l'intérieur du serveur.
Les services internes sont ceux qui ne devraient jamais être exposés à Internet ou au monde extérieur. Ils ne sont accessibles qu'à partir du serveur et n'acceptent que les connexions locales.
Le rôle du pare-feu est d'autoriser, de restreindre et de filtrer l'accès en fonction du service pour lequel l'utilisateur est autorisé. Configurez le pare-feu pour restreindre tous les services sauf ceux obligatoires pour votre serveur.
19. Sauvegardez votre serveur
Bien que les étapes mentionnées précédemment soient conçues pour protéger les données de votre serveur, il est crucial de disposer d'une sauvegarde du système en cas de problème.
Stockez les sauvegardes chiffrées de vos données critiques hors site ou utilisez une solution cloud.
Que vous ayez des tâches de sauvegarde automatisées ou que vous les exécutiez manuellement, assurez-vous de faire une routine de cette mesure de précaution. Vous devez également tester les sauvegardes, en effectuant des tests de sauvegarde complets. Cela devrait inclure des «vérifications de cohérence» dans lesquelles les administrateurs ou même les utilisateurs finaux vérifient que la récupération des données est cohérente.
20. Créer des environnements multi-serveurs
L'isolement est l'un des meilleurs types de protection de serveur que vous puissiez avoir.
Une séparation complète nécessiterait d'avoir des serveurs bare-metal dédiés qui ne partagent aucun composant avec d'autres serveurs. Bien que ce soit le plus facile à gérer et offre le plus de sécurité, c'est aussi le plus cher.
Le fait d'avoir des environnements d'exécution isolés dans un centre de données permet la soi-disant séparation des tâches (SoD) et la configuration du serveur en fonction des fonctions remplies par le serveur.
La séparation des serveurs de base de données et des serveurs d'applications Web est une pratique de sécurité standard. Les environnements d'exécution séparés sont particulièrement avantageux pour les entreprises à plus grande échelle qui ne peuvent se permettre aucune faille de sécurité.
Les serveurs de base de données indépendants sécurisent les informations sensibles et les fichiers système des pirates informatiques qui parviennent à accéder aux comptes administratifs. En outre, l'isolation permet aux administrateurs système de configurer séparément la sécurité de l'application Web et de minimiser la surface d'attaque en définissant des pare-feu d'application Web.
21. Créer des environnements virtuels isolés
Si vous ne pouvez pas vous permettre ou n'avez pas besoin d'une isolation complète avec des composants de serveur dédiés , vous pouvez également choisir d'isoler les environnements d'exécution.
Cela vous aide à résoudre les problèmes de sécurité qui peuvent survenir, garantissant ainsi que les autres données ne sont pas compromises. Vous pouvez choisir entre des conteneurs ou la virtualisation de VM qui sont beaucoup plus faciles à configurer.
Une autre option pour les environnements virtualisés dans un système d'exploitation UNIX consiste à créer des prisons chroot. Chroot sépare un processus du répertoire racine du système d'exploitation central et lui permet d'accéder uniquement aux fichiers de son arborescence de répertoires. Cependant, ce n'est pas un isolement complet et ne devrait être pratiqué qu'avec d'autres mesures de sécurité.
Conclusion: sécurisation de votre serveur
Après avoir lu cet article et suivi les recommandations de sécurité, vous devriez être plus confiant dans la sécurité de votre serveur.
De nombreuses mesures de sécurité doivent être mises en œuvre lors de la configuration initiale du serveur, tandis que d'autres doivent faire partie d'une maintenance continue ou périodique. Si la surveillance de votre serveur n'est pas automatisée, assurez-vous de concevoir et de suivre des contrôles de sécurité planifiés.
Maintenant, au travail !