Sécuriser son serveur après changement d'administrateur
Un article de Wiki SOS-ADMIN.
Sommaire |
Introduction
La prudence voudrait que lorsque l'on reprends l'administration d'un serveur, on retire les accès aux précédent administrateur. A fortiori lorsque le changement d'admin se passe dans un climat "tendu": l'ancien administrateur pourrait très bien saboter votre travail au bout d'un certain temps, ou continuer à accéder à des informations confidentielles.
Recommendation: avant d'intervenir, il serait fort prudent d'effectuer un archivage complet du serveur.
Inventaire
Pour chaque couche logicielle, il convient de dresser un inventaire des accès possibles, et auditer les comptes existant. En théorie, le prestataire précédent peut avoir installé des "portes dérobées" en plus des comptes supplémentaires ou d'avoir conservé les identifiants d'administration. Selon votre évaluation du risque, vous pouvez être amené à effectuer un audit de sécurité du seveur.
Les différentes couches logiciel
Celles-ci sont listées du plus bas niveau au plus haut.
netboot/console d'administration
-Vérifier/modifier les codes d'accès à la console s'il en existe un de spécifique. -Identifier tous les outils d'administration (tel webmin) et modifier les mots de passe d'administration
serveur
Comptes utilisateurs
Au-delà du compte root dont il convient de modifier le mot de passe au plus vite, il faut s'intéresser à tous les autres utilisateurs: comptes FTP, autre administrateur, etc... Une méthode pour identifier rapidement tous les comptes non système et donc susceptibles de se connecter: se concentrer sur tous les utilisateurs du fichier /etc/passwd ayant un interpréteur de commande valide, c'est à dire différent de /bin/false et /sbin/nologin cat /etc/passwd
Accès SSH
Vérifier qu'il n'y a pas de clé SSH permettant de se connecter en root sans connaitre son mot de passe:
cat ~/.ssh/authorized_keys et/ou cat ~/.ssh/authorized_keys2
Droits SUDO
Vérifier qu'un des utilisateurs de ce serveur n'a pas les droits root en passant par l'outil sudo:
cat /etc/sudoers
Middleware et services
Dans la mesure où l'accès à l'administration du serveur a été interrompu, il peut paraitre superflue de modifier les droits d'accès aux différents services
identifier les comptes mails dont les mots de passe doivent être modifié. Au besoin, envisager de changer ceux de tous les utilisateurs.
Apache
Base de données
Point sensible s'il en est, car la base SQL est accessible depuis les scripts (PHP notamment), ce qui donne un accès indirect aux données et/ou une porte d'entrée de sabotage. Mieux vaut donc modifier les comptes utilisateurs. Si l'on a un compte SQL par compte FTP ou mieux, par base de données, il est plus aisé de gérer la migration: édition en parallèle du fichier de configuration de l'application et du mot de passe SQL.
Applicatifs
Pour chaque espace du serveur WEB, commencer par identifier tous ceux qui disposent d'un fichier .htpasswd, et prévoir de modifier les mots de passe: cd /home; find -name .htpasswd
Ensuite, il convient de réaliser l'inventaire de tous les applicatifs (CMS, forum, wiki, ...) et pour chacun, modifier les élements d'administration: -email de l'administrateur -éventuellement mot de passe donnant accès à la base de donnée (voir Base de données ci-dessus) -comptes ayant les droits d'administration (ou mot de passe du compte) -autres comptes remarquables (modérateurs, etc...) -les comptes utilisateurs
Chaque utilisation de chaque application est unique, il faudra donc agir au cas par cas.
