Juste une remarque sur le pare-feu de votre machine...
-
Utilisez une liste blanche et non une liste noire, c'est-à-dire bloquez tout, n'autorisez que ce dont vous avez besoin et refusez tout le reste.
-
N'utilisez pas d'interfaces graphiques ou d'icônes, ni de logiciels qui essaient de faire le travail d'écriture de votre pare-feu à votre place. Si vous le faites, vous permettrez au logiciel de faire des suppositions à votre place - vous n'avez pas besoin de prendre ce risque et vous ne devriez pas le faire. Configurez-le vous-même, si vous n'êtes pas sûr, désactivez-le - vous verrez bien assez tôt s'il est nécessaire. S'il s'agit d'un système déjà opérationnel et que vous ne pouvez pas perturber le trafic (en le bloquant accidentellement), lancez tcpdump (vidage du fichier) et prenez des échantillons - étudiez-les plus tard, puis déterminez ce qui est valable et ce qui ne l'est pas.
-
Personnellement, je ne vois pas l'intérêt de faire tourner un service sur un port non standard, les outils ne sont pas si stupides de nos jours pour supposer que parce que quelque chose tourne sur le port 22 par exemple, alors il doit s'agir de ssh, et pas autrement - par exemple amap et nmap 's -A option. Cela dit, vous pouvez (et devriez probablement si vous êtes inquiet) modifier vos services pour qu'ils se cachent des regards indiscrets, par exemple, ce qui suit permettrait à l'attaquant de connaître la version exacte de OpenSSH que vous exécutez, ils peuvent alors chercher des exploits pour cette version exacte. Si vous cachez de telles choses, vous leur rendez la tâche plus difficile.
\[root@ud-olis-1 uhtbin\]# telnet localhost 22
Trying 127.0.0.1...
Connected to localhost.localdomain (127.0.0.1).
Escape character is '^\]'.
SSH-2.0-OpenSSH\_3.9p1
-
Maintenez tous vos services publics à jour et mettez en place les derniers correctifs de sécurité.
-
Ne stockez pas de DONNÉES sur le serveur de la passerelle lui-même, au moins vous gagnerez du temps lorsqu'ils réussiront à s'introduire dans cette machine, et vous perdrez un service ou deux, et un peu de temps, mais pas de données.
En fin de compte, vous ne parviendrez jamais à rendre quoi que ce soit sûr à 100% - c'est tout simplement impossible - l'objectif est donc de rendre le système aussi sûr que possible - si cela demande trop d'efforts pour casser votre système, c'est suffisant, et la plupart des script-petits enfants passeront au système suivant.
-
iptables est la voie à suivre pour tout système Linux - mais configurez-le vous-même.
N'utilisez jamais de "logiciel de sécurité" qui ne soit pas basé sur des normes ouvertes - ils sont condamnés à être mal écrits et seront piratés (ce n'est pas une question de "si", mais de "quand"). Les sources et les protocoles ouverts sont ouverts à l'examen du public et convergent pour devenir un produit mature et fiable ; les logiciels fermés reposent principalement sur la confiance des auteurs dans la qualité et la sécurité de leur produit. ils c'est-à-dire un petit nombre d'yeux contre une terre pleine d'yeux.
J'espère que cela vous aidera :)
