Renforcement de la sécurité SSH au sein d’un périmètre sensible chez un de nos clients

Dans le cadre de notre mission chez un client, nous avons récemment mené un projet de sécurisation des accès SSH sur un périmètre hébergeant des applications et des données sensibles. Ce projet, réalisé par notre équipe de cybersécurité chez Néosoft, visait à renforcer la sécurité de plus de 70 serveurs Linux Red Hat.

Problématique : Risques des accès SSH non sécurisés

• Accès non autorisé : Les attaquants peuvent exploiter des identifiants faibles ou compromis pour accéder aux serveurs, mettant en danger les données sensibles.
• Escalade de privilèges : Une fois à l’intérieur, les attaquants peuvent tenter d’obtenir des privilèges élevés, notamment en accédant au compte root, ce qui leur permettrait de contrôler entièrement le système.
• Absence de traçabilité : Sans gestion centralisée des identités et des accès, il devient difficile de suivre et d’auditer les actions des utilisateurs, augmentant les risques de comportements malveillants non détectés.
• Attaques par force brute : Les serveurs SSH peuvent être la cible d’attaques par force brute, où les attaquants tentent de deviner les mots de passe pour accéder au système.

Enjeux critiques

La sécurisation des accès SSH est donc cruciale pour protéger les environnements sensibles. En mettant en place des mesures telles que l’authentification par clé publique, la gestion centralisée des identités, et l’automatisation des configurations de sécurité, nous pouvons réduire significativement ces risques. Ce projet chez notre client démontre l’importance de ces pratiques pour garantir la sécurité et la conformité des systèmes critiques.

Gestion des identités et des accès

Nous avons commencé par déployer un serveur Red Hat IDM pour centraliser la gestion des identités. Chaque administrateur dispose désormais d’un compte nominatif pour se connecter en SSH, ce qui nous a permis de désactiver les connexions SSH directes pour le compte root. Cette mesure a été automatisée via un playbook Ansible, éliminant ainsi les risques liés aux privilèges excessifs et à l’absence de traçabilité.

Utilisation d’outils de gestion et de sécurité

Trois outils principaux sont utilisés pour la gestion et la sécurité des serveurs :

• Red Hat Satellite pour la gestion des machines et l’exécution de tâches à distance (remote exec).
• Un scanner de vulnérabilités pour la détection des vulnérabilités.
• Red Hat Ansible Automation Platform pour l’automatisation des tâches.

Pour chaque outil, nous avons créé des comptes utilisateurs dédiés et généré des paires de clés SSH (publique/privée) pour sécuriser les connexions. Les clés publiques ont été déployées sur tous les serveurs via Ansible.

Renforcement des politiques d’authentification

Nous avons ensuite configuré les outils pour utiliser l’authentification par clé SSH. Enfin, nous avons modifié la configuration SSH des serveurs pour interdire l’authentification par mot de passe pour les comptes de service, forçant ainsi l’utilisation des clés publiques. Cette étape a également été automatisée avec Ansible.

Bonnes pratiques pour la gestion des clés SSH

Pour garantir une sécurité optimale, il est essentiel d’associer une politique de gestion des clés SSH. Cela comprend un stockage sécurisé des clés privées, ainsi qu’une politique de renouvellement régulier des clés pour minimiser les risques de compromission. Voici quelques bonnes pratiques :

• Stockage sécurisé : Utiliser un gestionnaire de secrets ou un module de sécurité matériel (HSM) pour stocker les clés privées de façon sécurisée. Limiter les accès aux clés aux utilisateurs autorisés uniquement.
• Un renouvellement régulier : Définir une politique de renouvellement périodique des clés SSH pour minimiser les risques de compromission. Il est essentiel de maintenir un inventaire des clés SSH et de révoquer les clés renouvelées pour garantir une sécurité optimale.
• Automatisation : Automatiser la gestion des clés SSH, y compris leur déploiement et leur renouvellement, pour réduire les erreurs humaines et améliorer l’efficacité.

Avantages et bénéfices

Ce projet a permis de :

• Réduire les risques de sécurité liés aux accès non contrôlés.
• Améliorer la traçabilité des actions administratives
• Renforcer la sécurité des connexions SSH grâce à l’authentification par clé publique

En mettant en œuvre ces mesures, nous avons considérablement amélioré la sécurité de l’environnement sensible de notre client, démontrant ainsi l’expertise de Néosoft en matière de cybersécurité.

Pour en savoir plus, explorez notre guide pratique

Ce guide pratique, conçu par nos experts cybersécurité chez Néosoft, vous accompagne pas à pas pour mettre en place une authentification SSH plus robuste et sécurisée, basée sur des clés plutôt que sur des mots de passe. Facile à mettre en œuvre, que ce soit en environnement d’entreprise ou sur une infrastructure plus modeste, il reflète tout le savoir-faire de nos équipes pour renforcer vos connexions SSH.