# 1. Introduction – Durcissement CIS Linux sur AlmaLinux
Dans le cadre de la sécurisation des systèmes Linux, le Centre for Internet Security (CIS) propose des recommandations reconnues internationalement. Ces benchmarks permettent de renforcer la posture de sécurité des serveurs grâce à des configurations précises et des contrôles rigoureux.
La distribution AlmaLinux, orientée entreprise et compatible avec RHEL, intègre nativement plusieurs profils de sécurité dont celui du CIS level 2, conçu pour les environnements critiques. Ce guide présente la procédure détaillée de création et de durcissement d'une machine virtuelle AlmaLinux, conforme aux exigences du profil CIS level 2.
Nous y aborderons :
- Les choix d’installation initiaux (langue, clavier, timezone)
- La configuration du compte ROOT et des utilisateurs
- Le partitionnement spécifique pour valider le profil de durcissement
- La mise à jour du système
- Les vérifications de sécurité essentielles (SELinux, pare-feu, configuration disque)
Cette procédure permet de poser les bases d’un serveur robuste, capable de répondre aux standards de conformité et de sécurité dans des contextes exigeants.
![image1.jpeg](/uploads/image1_1_9a5e8a0585.jpeg)![image2.png](/uploads/image2_1_bd2168de5a.png)
## 2. Installation Almalinux
### 2.1.  Création d’une machine virtuelle avec VMWare
La création de la machine virtuelle s’effectue dans un environnement VMWare. La puissance des composants doit être adaptée en fonction de vos besoins.
![image3.png](/uploads/image3_1_93caa18702.png)
### 2.2. Sommaire d’installation
Il est recommandé de sélectionner l’anglais comme langue d’installation. Cela permet de réduire les risques de bugs lors d’un éventuel benchmark CIS, notamment avec des outils comme Wazuh. En effet, certaines informations en français pourraient perturber l’analyse.
![image4.png](/uploads/image4_1_f8494dd672.png)
### 2.3. Sommaire d’installation 
Une fois sur l’écran du sommaire :
- Vérifiez la disposition du clavier pour éviter les erreurs lors de la création des mots de passe.
- Sélectionnez le bon fuseau horaire.
- Rendez-vous ensuite dans les paramètres utilisateurs, en commençant par ROOT.
![image5.png](/uploads/image5_1_08341bbe9f.png)
### 2.4. Compte ROOT
•	Le mot de passe du compte ROOT doit contenir au minimum 16 caractères.
•	Dans les environnements critiques, il est fortement conseillé de verrouiller le compte ROOT en cochant l’option dédiée.
•	Il ne doit jamais être accessible via SSH.
•	Une fois cette étape terminée, créez un utilisateur dédié pour accéder à la machine.
![image6.png](/uploads/image6_1_3a3048495b.png)
### 2.5. Compte Utilisateurs
•	Utilisez des pseudos pour les comptes SSH.
•	Vous pouvez temporairement accorder les droits d’administrateur à cet utilisateur le temps de l’installation.
•	Une fois la configuration terminée, restreignez ses privilèges pour sécuriser l’environnement.
![image7.png](/uploads/image7_1_707079ec4b.png)
### 2.6. Sélection du profil de sécurité de durcissement 
L’un des avantages d’AlmaLinux est l’intégration native de profils de durcissement. D’autres distributions proposent également des options similaires.
![image8.png](/uploads/image8_1_59487e15c8.png)
Dans cet exemple, nous sélectionnons le profil CIS niveau 2 pour serveurs.
Il existe de nombreux autres profils, comme ceux de l’ANSSI (BP-028), qui demandent une solide expérience en durcissement Linux.
Une fois le profil choisi, une alerte sur les partitions peut apparaître : il est donc nécessaire de les ajuster pour valider le profil. Passons à l’étape du partitionnement
![image9.png](/uploads/image9_1_174c30282a.png)
### 2.7. Partitionnement pour le profil CIS level 2 server
•	Dans les options d’installation, désactivez le partitionnement automatique et passez en manuel.
•	Sélectionnez le disque d’installation.
![image10.png](/uploads/image10_1_581dcd25cb.png)
•	Choisissez une configuration personnalisée (custom) et cliquez sur "Done"
![image11.png](/uploads/image11_1_b544b6d973.png)
### 2.8. Création des partitions
Utilisez l’option de création automatique pour générer 3 des 10 partitions requises.
![image12.png](/uploads/image12_1_97c2d53839.png)
Supprimez ensuite la partition racine / pour ajouter les partitions manquantes.
![image13.png](/uploads/image13_1_aae060c3c0.png)
Pour un disque de 20 Go, le profil CIS level 2 nécessite 10 partitions aux tailles bien spécifiques.
Si vous utilisez une autre capacité, vous pouvez demander à une IA de recalculer les tailles selon votre disque. Une fois les partitions modifiées, le profil passe au statut "valide".
![image14.png](/uploads/image14_1_dab23e05e2.png)
![Capture d'écran 2025-07-29 154101.png](/uploads/Capture_d_ecran_2025_07_29_154101_5ed0a7505e.png)
Pensez à configurer une IP statique pour faciliter l’accès SSH après l’installation
![image5.png](/uploads/image5_1_08341bbe9f.png)
### 2.9. Mise à jour des paquets Alamalinux
Une fois connecté en SSH :
•	Passez à une authentification par clé SSH (voir l’article dédié si besoin).
•	Lancez ensuite les commandes suivantes :

```
sudo dnf update -y
```
```
sudo dnf upgrade -y
```

![image17.png](/uploads/image17_1_8c2633fc88.png)
### 2.10. Vérification du SELinux, firewall et du disque
Vérifiez que le durcissement est bien en place :
•	SELinux doit être actif en mode Enforcing :

```
getenforce
```

![image18.png](/uploads/image18_1_46200b6a32.png)
•	Le pare-feu doit être actif :

```
sudo firewall-cmd --state
```

![image19.png](/uploads/image19_1_4207cffac9.png)

•	Enfin vérifiez également le partitionnement du système 

```
df -h
```
![image20.png](/uploads/image20_1_30376c8a8b.png)

Si vous devez installer des services :

•	Passez temporairement SELinux en mode Permissive.

•	Ouvrez uniquement les ports nécessaires dans le pare-feu.

•	Une fois les services opérationnels, repassez SELinux en Enforcing.

En cas de problème d’accès, demandez à une IA les commandes de permission SELinux adaptées à votre service.





Durcissement CIS Linux sur la distribution Almalinux

# Introduction
Afin de faire du password-less en toute sécurité (ou mettre en place une 2auth), et restreindre au mieux vos accès, l'utilisation de clés SSH pour se connecter à distance sur vos serveur est le moyen incontournable,

Ici nous allons voir comment mettre en place une authentification sans mot de passe sécurisée sur l'infra suivante :
- Un serveur Debian qui sera le serveur distant où l'on souhaite se connecter
- Un client Linux Fedora
- Un client Windows 11

J'ai choisi volontairement deux clients différent afin de montrer comment faire sur les deux OS.

## Pré-requis :

L'accès à la commande ssh-keygen, soit : 
-  OpenSSH installé sur votre Linux 
-  Sur Windows, le client SSH par défaut permet d'effectuer un SSH keygen

# Génération des clés SSH (SSH et Windows)
Ici, rien de bien sorcier, si vous n'avez pas de clé SSH générée sur votre PC (ce qui est probablement le cas), on va entrer la commande suivante : 

`ssh-keygen -t ed25519 -C "mail@it-discover.fr"`

_Ici, on spécifie ed25519, mais on pourrait très bien choisir un autre format (RSA par exemple )_

`ssh-keygen -b 4096 -t rsa -C "mail@it-discover.fr"`

Une fois la commande entrée, on peut garder le nom par défaut, ou indiquer un chemin et nom différent de fichier, ici on va appeler là clé 'test' :
![SSH_Gen1](/uploads/Capture_d_ecran_2024_11_19_132358_ecd379a167.png)

Ensuite, le prompt nous demande une passphrase. Vous n'êtes pas obligé d'en utiliser une, mais c'est toujours mieux en termes de sécurité.

Vous devriez avoir ce résultat :
![Capture d'écran 2024-11-19 133014.png](/uploads/Capture_d_ecran_2024_11_19_133014_fef37a36cc.png)

Et maintenant si vous vous rendez dans le dossier de création (_ici:_ `C:\Users\erwan/.ssh`) vous devriez voir vos deux fichiers, la clé privée et la clé publique :

![SSH_Gen3.png](/uploads/SSH_Gen3_d84f8720fb.png)

<u>Précision : La clé privée ne doit **absolument** jamais être publié ou accessible par quelqu'un d'autre que vous, il faut voir ça comme la clé d'un coffre fort.
Si celle-ci est divulguée, il vous faudra de toute urgence supprimer la clé publique des sites / machines où elle a été installée.</u>

# Envoi de la clé sur le serveur 
Il faut faire connaître votre clé publique au serveur afin de lui permettre de gérer l'authentification avec celle-ci, donc pour se faire, deux possibilités :
- Sur ma machine Fedora : `ssh-copy-id [votre_utilisateur]@[ip_du_ serveur]`
- Sur Windows : ```cat ~/.ssh/id_test.pub | ssh [votre_utilisateur]@[ip_du_serveur] 'mkdir -p ~/.ssh && cat >> .ssh/authorized_keys'```

(Remplacez bien sur id_test.pub par votre clé publique)

Sinon vous pouvez simplement copier le contenu de votre `id_test.pub` dans le fichier .ssh/authorized_keys de votre utilisateur du serveur (il ne sera pas forcément créé par défaut, vous pouvez le faire avec `touch .ssh/authorized_keys`). 
Peu importe la méthode, le contenu du fichier ressemblera à ça à la fin :
![SSH_Gen4.png](/uploads/SSH_Gen4_efafe22970.png)

# Se connecter avec le client

Vous pouvez dès maintenant vous connecter en précisant la clé avec l'option -i et cela va fonctionner. Vous devrez entrer votre passphrase pour vous connecter si vous en avez définit un :
`ssh -i ~\.ssh\id_test.pub[votre_utilisateur]@[ip_du_serveur]`

Cependant cela indique de préciser la clé SSH à chaque fois, et ici on cherche la rapidité.

## Utilisation automatique de la clé SSH
### Windows
Ouvrez un Powershell en adminstrateur et entrer les commandes suivantes pour démarrer le service d'agent SSH :
```
Get-Service -Name ssh-agent | Set-Service -StartupType Manual
Start-Service ssh-agent
```
Il vous faudra après ajouter votre clé privée à l'agent :
`ssh-add ~/.ssh/id_test`

### Linux
Sur Linux, vous devez démarrer l'agent comme sur Windows, mais cette fois avec la commande suivante :
`eval "$(ssh-agent -s)"`

Puis on ajoute la clé privée  : 
`ssh-add ~/.ssh/id_test`

## Résultat de la connexion automatique

Maintenant vous pouvez réessayer de vous connecter avec une commande SSH classique et vous pourrez vous connecter sans préciser votre mot de passe :

![SSH_Gen5.png](/uploads/SSH_Gen5_10048b7d83.png)

# Désactiver les connexions par mot de passe pour les utilisateurs ayant des clés SSH

Vous voulez potentiellement restreindre vos utilisateurs principaux pour qu'ils n'utilisent pas leur password, cependant si vous avez plusieurs utilisateurs, vous en avez probablement qui ne peuvent pas / n'ont pas l'utilité d'avoir de clé SSH. 
On va apprendre ici à bloquer les connexions par mot de passe pour les utilisateurs ayant des clés SSH configurées.

Nativement, SSH ne permet pas de gérer ce point. Il y a plusieurs moyen de contournement, mais pour moi le plus propre est d'utiliser des groupes. On va créer un groupe additionnel qui contiendra nos utilisateur utilisant une clé SSH.

Pour se faire, rendez-vous sur le serveur et créez un groupe avec la commande suivante :

`sudo groupadd passwordless`

Ajoutez ensuite l'utilisateur souhaité :

`sudo usermod -a -G passwordless erwanc`

_Remplacez passwordless par le nom de groupe souhaité_

Maintenant que ceci est fait, il faut préciser au serveur SSH de gérer ce fonctionnement.
Pour se faire, rendez-vous dans le fichier de configuration du serveur :

`vim /etc/ssh/sshd_config`

Ou pour plus de maintenabilité, je recommande de créer un fichier de configuration séparé qui va "étendre" la configuration initiale :

```
mkdir /etc/ssh/sshd_config.d/
vim /etc/ssh/sshd_config.d/custom_auth.conf
```

Si vous choisissez la seconde méthode, ouvrez avec vim le fichier /etc/ssh/sshd_config et insérer la directive suivante :
```
Include /etc/ssh/sshd_config.d/*.conf
```

Dans le nouveau fichier ouvert (ou dans /etc/ssh/sshd_config selon votre choix), entrez tout à la fin les directives suivantes :
```
# Activer l'authentification possible par clé pour tous
PubkeyAuthentication yes

# Désactiver l'authentification par mot de passe pour les membres du groupe
Match Group passwordless
    PasswordAuthentication no
```
_Remplacez passwordless par le nom de groupe précédemment créé_

Enfin, il vous suffit de redémarrer le service pour voir la magie opérer :
`sudo systemctl restart sshd`

Tag: Linux

Durcissement CIS Linux sur la distribution Almalinux

Activer la connexion par clé SSH sur un serveur Linux