Sécurité des serveurs Linux
Durcissement SSH par clés
SSH est la porte d'entrée de chaque serveur Linux et le service le plus attaqué par force brute sur Internet. L'authentification par clés uniquement, l'accès root désactivé, les règles fail2ban et un port non standard éliminent ensemble la quasi-totalité des intrusions SSH automatisées tout en gardant un accès administrateur rapide.
Points clés
- Basculez tous les comptes vers l'authentification par clé ed25519 ou RSA-4096 ; désactivez entièrement l'authentification par mot de passe.
- Réglez PermitRootLogin sur prohibit-password ou no, et administrez via des utilisateurs sudo.
- Déplacez SSH vers un port haut non standard pour écarter 99 % des balayages automatisés.
- Protégez sshd avec fail2ban : 3 à 5 échecs déclenchent des bannissements progressifs.
- Restreignez SSH avec AllowUsers/AllowGroups plus des listes d'autorisation par source au pare-feu si possible.
- Imposez des délais d'inactivité (ClientAliveInterval) et désactivez les redirections inutilisées.
- Auditez les fichiers authorized_keys chaque trimestre et supprimez immédiatement les clés du personnel parti.
- Envisagez le port-knocking ou un SSH réservé au VPN pour les serveurs sensibles.
Note de terrain
La leçon qui marque le plus est souvent votre propre blocage : gardez une session active ouverte pendant la bascule vers le tout-clé, et reconnectez-vous depuis un second terminal avant de fermer quoi que ce soit.
Questions fréquentes
Vais-je me retrouver bloqué en passant au tout-clé SSH ?
Non si la bascule est préparée : ajoutez les clés, vérifiez que la connexion par clé fonctionne, puis désactivez les mots de passe en gardant toujours une session active pendant le changement.
Changer le port SSH, est-ce de la sécurité par obscurité ?
En partie, mais cela supprime presque tout le bruit des robots, ce qui rend les vraies tentatives visibles dans les journaux au lieu d'être noyées.
L'accès root devrait-il être autorisé ?
Uniquement via console/KVM en urgence. Le root quotidien par SSH est un risque inutile.
Et la double authentification pour SSH ?
Le TOTP en plus des clés est excellent pour les bastions et les serveurs de secours ; nous le déployons là où le flux de travail le permet.
Comment Kinetikatech vous aide avec sécurité des serveurs linux
Soyons honnêtes, la plupart des équipes viennent nous voir après avoir essayé d'abord par elles-mêmes : Durcissement, supervision et défense des serveurs CloudLinux, Rocky Linux et cPanel contre malwares, force brute et intrusions — 24/7. Notre service Sécurité des serveurs Linux et Gestion de serveurs existe pour que vous n'ayez pas à apprendre sécurité des serveurs linux à vos dépens : nous gérons l'installation, la supervision et les surprises de 3 h du matin.