Hardening
guest@6admin.io:~$ ls ~/tags/hardening
Durcir WinRM
Durcissement de WinRM: transport, authentification et ce qu'il faut verrouiller avant d'exposer la gestion à distance Windows.
Durcir Proxmox VE
Durcissement de Proxmox VE: accès à l'interface web, séparation des réseaux, cluster et sshd de l'hyperviseur.
Durcir Kubernetes
Durcissement de Kubernetes: RBAC, PodSecurity, NetworkPolicy, secrets et la surface d'attaque d'un cluster mal cadré.
Durcir Docker Swarm
Durcissement de Docker Swarm: secrets, réseau overlay chiffré, rôles de nœuds et surface d'exposition du cluster.
Durcir Docker
Durcissement de Docker: démon, capabilities, montages et pourquoi une évasion de container est une évasion kernel.
Durcir DHCP
Durcissement de l'infrastructure DHCP: snooping, baux maîtrisés et défense contre les serveurs pirates.
Durcir SSH : contrôle d'accès et surveillance
Durcir sshd sans se mentir: pas de root, comptes nominatifs, clés uniquement et la surveillance qui rend les actions imputables.
Durcir l'infrastructure DNS
Durcissement de l'infrastructure DNS: vues, limitation de transfert de zone, DNSSEC et résolveurs qui ne fuient pas.
Séparer le domaine interne du domaine externe
Séparer les domaines de confiance: cloisonner les rôles, les comptes et les réseaux pour contenir une compromission.
Le filtrage egress, le contrôle que tout le monde saute
Sécuriser le trafic sortant: filtrage egress, listes d'autorisation et détection d'un service qui parle à qui il ne devrait pas.
Le trafic entrant : exposer moins et garder ce qui reste
Sécuriser le trafic entrant: pare-feu, exposition minimale, reverse proxy et terminaison TLS propre.
La segmentation réseau
Segmentation et isolation réseau: VLAN, zones, routage et les frontières qu'on ne franchit pas sans raison.
Limites de ressources : empêcher une machine d'être convaincue de mourir
Plafonner les ressources avant qu'un fork bomb ou une fuite ne couche la machine: pam_limits, cgroups, systemd.
Durcir le système de fichiers
Durcissement du système de fichiers: options de montage, permissions, SUID, attributs immuables et séparation des partitions.
Recompiler son kernel: des noyaux aux petits oignons pour son infra
La forme la plus profonde du durcissement par soustraction: compiler son propre kernel, retirer au build les sous-systèmes qu'on n'utilise pas, le livrer en .deb dans son propre dépôt avec du pinning et le gérer à l'échelle avec Katello. Le kiff et son prix: un pipeline de test sur vrai matériel et du canari.
Durcir l'OS et le kernel Linux
Durcissement de l'OS et du kernel: sysctl, modules signés, comptes, sshd et les réglages qui tiennent en production.
Sudo et LOLBins
Pourquoi la granularité de sudoers est du théâtre face à GTFOBins et ce qui limite vraiment l'escalade: sudoedit, NOEXEC, wrappers, isolation.
Hardening SSH : la trilogie de 2017 relue en 2026
En 2017 je répondais à un article de hardening SSH naïf en trois commentaires : root, port, clés. Neuf ans plus tard, les principes tiennent, le contexte a changé : bastions, Windows natif, chaîne d'approvisionnement du client et la menace physique qu'aucune config ne couvre.