Ubuntu 24.04 : durcissement au-delà du SSH
Notre guide « 10 étapes » couvre l'essentiel. Celui-ci va plus loin : les réglages noyau et les habitudes qui distinguent un serveur correct d'un serveur vraiment durci.
sysctl : la couche réseau
Dans /etc/sysctl.d/99-hardening.conf :
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0Protection SYN flood, anti-spoofing, et refus des redirects ICMP — le trio de base contre les attaques réseau simples.
Les mises à jour automatiques, bien configurées
unattended-upgrades avec les security updates uniquement, un reboot nocturne planifié si nécessaire (Automatic-Reboot-Time "03:30"), et un canal d'alerte. 60 % des compromissions exploitent des CVE déjà patchées depuis des semaines.
AppArmor : le confinement gratuit
Ubuntu inclut AppArmor : confinez vos services exposés (Nginx, MySQL) avec les profils fournis. Une faille applicative devient alors inoffensive — le processus ne peut rien lire en dehors de son périmètre.
Journald persistant et auditd
Passez journald en stockage persistant (Storage=persistent), installez auditd pour tracer les changements de fichiers sensibles (/etc/passwd, clés SSH), et exportez les logs vers un second VPS. Un attaquant qui efface ses traces locales ne peut pas effacer vos logs distants.
L'hygiène continue
Un audit trimestriel de 15 minutes : ss -tlnp, utilisateurs sudo, crons actifs, paquets installés. La sécurité est une habitude, pas un projet.