Hardening ANSSI-BP028¶

Contexte et objectifs¶

Qu'est-ce que l'ANSSI ?¶

L'ANSSI (Agence Nationale de la Securite des Systemes d'Information) est l'autorite nationale francaise en matiere de cybersecurite. Rattachee au SGDSN (Secretariat General de la Defense et de la Securite Nationale), elle definit les referentiels de securite applicables aux systemes d'information en France.

Pourquoi ANSSI-BP028 ?¶

Le referentiel ANSSI-BP028 (Recommandations de configuration d'un systeme GNU/Linux) est le guide de reference pour le durcissement des systemes Linux. Il fournit des recommandations concretes, classees par niveau de priorite, pour reduire la surface d'attaque d'un systeme.

CIS Benchmark vs ANSSI-BP028¶

Mesures par categorie¶

Comptes et authentification¶

Politique de mots de passe¶

Les mots de passe locaux sont soumis a des contraintes strictes via PAM (Pluggable Authentication Modules) :

Verrouillage de compte (faillock)¶

Apres des tentatives d'authentification echouees, le compte est verrouille pour prevenir le brute force :

Timeout de session¶

Les sessions inactives sont automatiquement deconnectees :

• TMOUT=300 dans /etc/profile.d/ : deconnexion apres 5 minutes d'inactivite shell
• ClientAliveInterval 300 dans sshd_config : deconnexion SSH apres 5 min sans activite
• readonly TMOUT : l'utilisateur ne peut pas desactiver le timeout

Restriction su/sudo¶

Banniere legale¶

Un avertissement est affiche avant toute connexion (SSH, console) pour informer que le systeme est surveille et que l'acces non autorise est interdit. Configure dans /etc/issue, /etc/issue.net et la banniere SSH.

Configuration systeme¶

Partitionnement securise¶

Chaque point de montage sensible est isole sur une partition separee avec des options restrictives :

Services desactives¶

Tous les services non necessaires sont desactives et masques :

cups, avahi-daemon, rpcbind, nfs-server, autofs,
bluetooth, vsftpd, dovecot, named, dhcpd

Configuration systeme supplementaire¶

Securite reseau¶

Firewall deny-by-default¶

flowchart LR
    IN["Trafic entrant"] --> FW{"firewalld"}
    FW -->|Regle explicite| ACCEPT["Autorise"]
    FW -->|Pas de regle| DROP["Rejete (DROP)"]

    style DROP fill:#D32F2F,color:#fff
    style ACCEPT fill:#2E7D32,color:#fff

Chaque VM utilise firewalld en zone drop par defaut. Seuls les ports explicitement necessaires sont ouverts. Exemples :

Durcissement reseau (sysctl)¶

Modules noyau blacklistes¶

Les protocoles reseau non utilises sont desactives au niveau du noyau pour reduire la surface d'attaque :

Durcissement SSH¶

Configuration sshd¶

Audit et journalisation¶

Regles auditd¶

Le systeme d'audit Linux (auditd) enregistre les evenements de securite critiques :

Centralisation des logs¶

flowchart LR
    VM["VM Rocky 9<br/>auditd + rsyslog"] -->|514/UDP + 1514/TCP| VIP["VIP SOC<br/>10.15.80.50"]
    VIP --> LS["Logstash"]
    LS --> ES["Elasticsearch"]
    ES --> KIB["Kibana"]
    ES --> EA["ElastAlert2"]

    style VIP fill:#1565C0,color:#fff

Tous les logs sont envoyes au SOC via rsyslog vers la VIP 10.15.80.50. La retention locale est assuree par logrotate (rotation quotidienne, compression, retention 30 jours sur disque local).

Wazuh FIM¶

En complement d'auditd, le FIM Wazuh fournit une couche supplementaire de surveillance de l'integrite. Contrairement a auditd qui trace les appels systeme, Wazuh FIM compare les hash SHA256 des fichiers et detecte tout ecart par rapport a la baseline.

Automatisation Ansible¶

Role hardening-anssi¶

Le durcissement est entierement automatise via le role Ansible hardening-anssi :

flowchart TB
    PLAY["site.yml -- Phase 2"]
    PLAY --> R1["Task: Politique mots de passe (PAM)"]
    PLAY --> R2["Task: faillock"]
    PLAY --> R3["Task: Timeout session"]
    PLAY --> R4["Task: Partitionnement (fstab)"]
    PLAY --> R5["Task: Sysctl reseau"]
    PLAY --> R6["Task: Firewalld deny-by-default"]
    PLAY --> R7["Task: SSH hardening"]
    PLAY --> R8["Task: Auditd rules"]
    PLAY --> R9["Task: Services desactives"]
    PLAY --> R10["Task: Modules blacklistes"]

    style PLAY fill:#E65100,color:#fff

Conformite continue¶

Wazuh CIS Benchmark Scans¶

Wazuh execute periodiquement des scans SCA (Security Configuration Assessment) qui evaluent chaque VM contre les referentiels CIS et ANSSI-BP028 :

Detection de derive¶

Le drift detection compare l'etat actuel de chaque VM avec l'etat attendu :

1. Scan SCA : Wazuh verifie la conformite selon les regles CIS/ANSSI
2. FIM : toute modification des fichiers de configuration est detectee en temps reel
3. Alerte : l'equipe est notifiee via Shuffle SOAR + ntfy
4. Remediation : le role Ansible hardening-anssi est relance pour corriger la derive