Sécurisation approximative de Linux pour permettre aux étudiants d'apprendre.

J'ai mené un projet à peu près similaire pendant mes études universitaires (nous avions plus d'un serveur et nous n'étions pas vraiment responsables envers qui que ce soit sauf les services informatiques, mais nous étions des linux boxes pour les étudiants). En termes de sécurité, il s'agit surtout de rester absolument à jour avec les correctifs. Si nécessaire, désactivez la connexion, s'il y a des vulnérabilités locales du système, et qu'aucun correctif n'est encore disponible. Vous voudrez également mettre en place des limites d'utilisation des ressources. La sévérité de celles-ci dépend probablement de la puissance de vos machines, mais notre machine la moins puissante utilisait ces paramètres :

-

t: temps processeur (secondes)         18000
-f: taille de fichier (blocs)         307200
-d: taille du segment de données (kioctets)     51200
-s: taille de la pile (kioctets)        8192
-c: taille du fichier core (blocs)    0
-m: taille de l'ensemble résident (kioctets) 51200
-u: processus                  75
-n: descripteurs de fichiers           300
-l: taille bloquée en mémoire (kb) 175000
-v: espace d'adressage (kb)         400000
-x: verrous de fichiers                 illimité
-i: signaux en attente            61440
-q: octets dans les files de messages POSIX  819200
-e: max nice                   0
-r: max priorité rt            0

En plus de cela, vous voudrez définir des quotas, probablement pour les comptes faculté et étudiant. Leur taille dépend de votre disque, mais nous avons actuellement fixé des quotas de 1 Go par défaut. Je crois que mes successeurs qui s'occupent des machines sont généralement assez heureux d'augmenter ces quotas pour les personnes qui ont une raison valable.

En plus de cela, je mendierais/emprunterais/volerais une deuxième machine si possible pour sauvegarder vos données de configuration/utilisateur. Idéalement, vous devriez sauvegarder tout le contenu de /etc/, une liste de vos packages installés, et l'ensemble de vos données utilisateurs (si vous avez des packages que vous avez réalisés vous-même, vous devriez sauvegarder les fichiers .deb complets). Si vous avez de l'espace, je sauvegarderais également /var (sauf /var/tmp).

Les autorisations sur /root sont 755 par défaut. Vous voudrez les changer, car vous laisserez accidentellement des fichiers sensibles là-bas à un moment donné. De plus, wall et su (au moins) devraient avoir leurs autorisations modifiées pour que seuls root/group root puissent les utiliser (n'hésitez pas à changer le groupe root pour un autre groupe où vous êtes seul).

Enfin, je journaliserais tout sur un serveur distant, sans connexions d'utilisateurs (même si ce n'est pas une machine contrôlée par vous). J'installerais snoopy sur votre machine, pour disposer d'un journal d'audit en cas de violation.

Nos documents pour la plupart des fonctionnalités système se trouvent ici. La plupart d'entre eux ne s'appliquent probablement pas si vous n'exploitez qu'une seule machine, mais il peut être utile de parcourir certains éléments quand même.