Rootkit / logiciel malveillant
Traces de rootkits, de portes dérobées et de processus cachés — les signes les plus prioritaires d'une compromission déjà en cours.
- Traces de rootkits connus Présence de fichiers, chemins ou signatures de rootkits connus.
- Injection via ld.so.preload Bibliothèques partagées chargées de force via /etc/ld.so.preload ou LD_PRELOAD.
- Processus cachés Écart entre la liste ps et /proc (PID masqués).
- Modules noyau suspects Modules noyau chargés non signés ou inconnus.
- Interface en mode promiscuité Interfaces réseau en mode promiscuité.
- Résultat du scanner de rootkits Avertissements de rkhunter / chkrootkit lorsqu'ils sont installés.
Correctifs / mises à jour
Mises à jour de sécurité appliquées et statut de fin de vie — exposition aux vulnérabilités connues.
- Mises à jour de sécurité en attente Nombre de mises à jour de sécurité non appliquées (yum / apt).
- Système d'exploitation en fin de vie Si la version du système d'exploitation est en fin de vie.
- Redémarrage noyau en attente Le noyau en cours d'exécution diffère du plus récent installé (redémarrage en attente).
Configuration SSH
Durcissement de la porte d'accès distant — connexion root, authentification par mot de passe, mots de passe vides.
- Connexion root directe Réglage PermitRootLogin de sshd.
- Mots de passe vides en SSH Réglage PermitEmptyPasswords de sshd.
- Authentification SSH par mot de passe PasswordAuthentication de sshd (l'authentification par clé est préférable).
- Algorithmes SSH faibles Utilisation d'un protocole obsolète ou de KEX, chiffrements ou MAC faibles.
- Limite de tentatives SSH Valeur MaxAuthTries de sshd.
Comptes / privilèges
Surface d'élévation de privilèges — UID0 en double, comptes sans mot de passe, sudo trop permissif.
- UID 0 en double Comptes ayant l'UID 0 en dehors de root.
- Comptes sans mot de passe Comptes dont le mot de passe est vide dans /etc/shadow.
- sudo sans mot de passe Règles sudo NOPASSWD trop larges (p. ex. ALL).
- Expiration des mots de passe Si une durée de vie maximale est définie pour les mots de passe.
- Shells des comptes système Comptes système disposant d'un shell de connexion.
Exposition réseau
Services exposés à l'extérieur, protocoles obsolètes, ports de base de données publics.
- Services obsolètes en clair telnet, rsh, rlogin ou ftp en clair actifs.
- Ports de base de données exposés MySQL / PostgreSQL / Redis / Mongo à l'écoute sur 0.0.0.0.
- Services en écoute exposés Services à l'écoute sur 0.0.0.0 / ::.
Permissions du système de fichiers
Fichiers accessibles en écriture à tous, SUID et permissions des fichiers sensibles — voies d'élévation locale.
- Permissions de /etc/shadow Propriétaire et permissions du fichier shadow (640 / 000).
- Fichiers accessibles en écriture à tous Fichiers ou répertoires accessibles en écriture à tous, sans sticky bit.
- Inventaire SUID/SGID Binaires SUID/SGID inattendus.
- Permissions de /etc/passwd Permissions du fichier passwd (644, propriété de root).
- Restriction d'exécution sur /tmp Si /tmp est monté en noexec / nosuid.
Durcissement du système
Réglages du noyau et des modules de sécurité — ASLR, SELinux, SYN cookies et autres fondamentaux.
- SELinux / AppArmor Si le contrôle d'accès obligatoire est en mode enforcing.
- ASLR Valeur de kernel.randomize_va_space (2 recommandé).
- SYN cookies TCP net.ipv4.tcp_syncookies activé.
- Routage IP net.ipv4.ip_forward (0 sauf s'il s'agit d'un routeur).
- Limites des fichiers core Restrictions de génération de core pour les processus setuid et au niveau global.
Services / pare-feu
Pare-feu de l'hôte actif et services superflus — réduction de la surface d'attaque.
- Pare-feu de l'hôte firewalld / ufw / nftables actif.
- Services superflus Démons activés sans nécessité.
Audit / journalisation
auditd et syslog — la condition préalable au traçage et à l'analyse forensique après une brèche.
- Démon d'audit (auditd) Si auditd est en cours d'exécution.
- Journalisation système Si rsyslog / journald est en cours d'exécution.
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.