====== Un peu de sécurité : fail2ban & firewall ======
On installe **ufw** :
<code bash>apt-get install ufw</code>
On vérifie que IPv6 est bien pris en charge dans le fichier :
<code bash>nano /etc/default/ufw</code>
Contient bien la ligne suivante, sinon on l'ajoute/modifie :
<code bash>IPV6=yes</code>
On met à jour les règles de base, et on le relance :
<code bash>ufw allow from {ip locale} to any port {port ssh}
ufw default deny incoming
ufw default allow outgoing
ufw allow 80
ufw allow 443
ufw disable
ufw enable
</code>
On vérifie l'état :
<code bash>ufw status</code>
<code bash>Status: active

To                         Action      From
--                         ------      ----
22022                      ALLOW       Anywhere
80                         ALLOW       Anywhere
443                        ALLOW       Anywhere
22022                      ALLOW       Anywhere (v6)
80                         ALLOW       Anywhere (v6)
443                        ALLOW       Anywhere (v6)
</code>
Visualisez les règles existantes :
<code bash>ufw status verbose</code>
Lister les règles avec numérotation :
<code bash>ufw status numbered</code>
Pour pouvoir simplement supprimer une règle via son ID :
<code bash>ufw delete <ID></code>
Pour du ''iptables'', on sera vers du :
<code bash>iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 22022 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -P INPUT DROP</code>
Et on installe et active le paquet ''iptables-persistent'' pour rendre les règles persistantes après redémarrage (d'où le nom) :
<code bash>apt-get install iptables-persistent</code>
On installe ensuite **fail2ban** :
<code bash>apt install fail2ban</code>
On édit la config :
<code bash>nano /etc/fail2ban/jail.local</code>
Et on ajoute/modifie :
<code bash>
[DEFAULT]
destemail = liandri@libox.fr
sendername = "Libox Fail2Ban"
sender = fail2ban@libox.fr
banaction = ufw
</code>
Aller configurer les différentes jails liées aux services :
<code bash>nano /etc/fail2ban/jail.conf</code>
<code bash /etc/fail2ban/jail.conf>
[...]
#Exemple pour SSH
[ssh]
enabled  = true
port     = ssh
filter   = sshd
logpath  = /var/log/auth.log
maxretry = 3
[...]
</code>
Éditer le fichier contenant les chemins vers les fichiers de log, pour décommenter la ligne d'auth (commentée sous Debian 9) :
<code bash>nano /etc/fail2ban/paths-debian.conf</code>
<code bash /etc/fail2ban/paths-debian.conf>
[DEFAULT]
[...]
syslog_auth = /var/log/auth.log
[...]
</code>
Voir les cons bloqués :
<code bash>iptables -L -n</code>
Si dans le rapport Logwatch, vous retrouvez la ligne : ''Jail sshd is not a JournalFilter instance'', il suffit juste de modifier la façon d'agir de Fail2ban.\\
On commence par modifier/ajouter la ligne ''backend = auto'' dans le fichier ''/etc/fail2ban/jail.local'' :
<code bash>nano /etc/fail2ban/jail.local</code>
<code bash /etc/fail2ban/jail.local>
[DEFAULT]
[...]
#backend auto
backend gamin
[...]</code>
On installe ensuite le paquet ''gamin'' si pas installé, et on relance Fail2ban :
<code bash>apt-get install gamin
service fail2ban restart</code>
==== Débloquer une IP ====
<code bash>fail2ban-client set JAIL unbanip IP</code>
Exemple :
<code bash>fail2ban-client set nextcloud unbanip 45.21.98.65</code>
==== Tester une regex ====
<code bash>fail2ban-regex /mon/fichier/log.log /etc/fail2ban/filter.d/mon-filtre.conf regex</code>
Exemple :
<code bash>fail2ban-regex /var/www/nextcloud/data/nextcloud.log /etc/fail2ban/filter.d/nextcloud.conf <IP></code>
====== Un peu plus de sécurité : logwatch ======
On installe :
<code bash>apt-get install logwatch</code>
On configure logwatch :
<code bash>nano /usr/share/logwatch/default.conf/logwatch.conf</code>
On ajoute/modifie les infos suivantes :
<code bash>
Format = html
MailTo = liandri@libox.fr
MailFrom = logwatch@libox.fr
Detail = High
</code>
On configure la tâche :
<code bash>nano /etc/cron.daily/00logwatch</code>
Et on ajoute/édite la ligne :
<code bash>/usr/sbin/logwatch --mailto liandri@libox.fr --detail high</code>
==== Bonus log : logrotate ====
On édite le fichier de l'application à suivre (FreshRSS par exemple) :
<code bash>nano /etc/logrotate.d/freshrss</code>
<code bash /etc/logrotate.d/freshrss>
/var/www/freshrss/data/users/Liandri/log.txt {
        weekly
        missingok
        rotate 8
        compress
        notifempty
        create 640 www-data www-data
}</code>
====== Sécurité : recevoir un mail lorsque quelqu’un se connecte ======
Pour être averti dès que quelqu’un se connecte en ''ssh'', via https://framacloud.org/fr/auto-hebergement/divers.html#recevoir-un-mail-lorsque-quelquun-se-connecte
<code bash>
nano /etc/ssh/sshrc
</code>
<code bash /etc/ssh/sshrc>
#!/bin/sh
# source: http://blog.uggy.org/post/2009/06/05/...
DATE=`date "+%d.%m.%Y--%Hh%Mm"`
IP=`echo $SSH_CONNECTION | awk '{print $1}'`
REVERSE=`dig -x $IP +short`
echo "Connexion de $USER sur $HOSTNAME
IP: $IP
ReverseDNS: $REVERSE
Date: $DATE

" | mail -s "Connexion de $USER sur $HOSTNAME" test@libox.fr
</code>
Avec ''Sendmail'' :
<code bash /etc/ssh/sshrc>
#!/bin/sh
# source: http://blog.uggy.org/post/2009/06/05/...
DATE=`date "+%d.%m.%Y--%Hh%Mm"`
IP=`echo $SSH_CONNECTION | awk '{print $1}'`
REVERSE=`dig -x $IP +short`
echo "To: test@libox.fr
Subject: Connexion de $USER sur $HOSTNAME
From: test@libox.fr

Connexion de $USER sur $HOSTNAME
IP: $IP
ReverseDNS: $REVERSE
Date: $DATE

" | sendmail -v test@libox.fr
</code>
====== AppArmor ======
<code bash>apt-get install apparmor-utils</code>
Checkup :
<code bash>apparmor_status</code>
Plus : https://www.howtogeek.com/118328/how-to-create-apparmor-profiles-to-lock-down-programs-on-ubuntu/
====== Paquets bonus ======
Quelques paquets sécurité/monitoring supplémentaires :
<code bash>apt-get install iotop htop sysstat net-tools</code>
Avec accès rapide à :
<code bash>
# Qui est log
w
# derniers logins
last
# kernel logs
dmesg
# Utilisation RAM
free -m
# uptime
uptime
# Processus
htop
# disk IO
iotop
# Connexions réseau
netstat -pant
# Utilisation disque
df -h
</code>
====== RAR & 7zip pour la compression ======
<code bash>wget http://www.rarlab.com/rar/rarlinux-x64-5.5.b5.tar.gz
tar xvf rarlinux-x64-5.5.b5.tar.gz
cd rar/
make</code>
On peut compléter avec :
<code bash>ln -s /usr/local/bin/rar /usr/bin/rar
ln -s /usr/local/bin/unrar /usr/bin/unrar</code>
7z :
<code bash>apt-get install p7zip-full</code>