Vous êtes ici : Formations en Ligne Gratuites » Catalogue » workbooks » CentOS » CentOS 5, 6 et 7 » LRF400 - Administration de la Sécurité » LRF403 - Authentification

Différences

Ci-dessous, les différences entre deux révisions de la page.

Lien vers cette vue comparative

Prochaine révision		Révision précédente
elearning:workbooks:centos:6:sec:l103 [2020/02/21 06:07] – créée adminelearning:workbooks:centos:6:sec:l103 [2021/03/02 08:31] (Version actuelle) – admin
Ligne 1: Ligne 1:
 ~~PDF:LANDSCAPE~~ ~~PDF:LANDSCAPE~~
  
-Version : **2020.01**+Version : **2021.01**
  
 Dernière mise-à-jour : ~~LASTMOD~~ Dernière mise-à-jour : ~~LASTMOD~~
Ligne 7: Ligne 7:
 ======LRF403 - Authentification====== ======LRF403 - Authentification======
  
-Dans cette unité, vous allez apprendre :+=====Contenu du Module=====
  
-  * Comment installer le logiciel John the Ripper, +  * **LRF403 - Authentification** 
-  * Comment procéder au renforcement de la sécurité des comptes, +    * Contenu du Module 
-  * Comment configurer PAM sous Linux afin d'utiliser des mots de passe complexes, +    * Le Problématique 
-  * Comment configurer PAM sous Linux afin de bloquer un compte après N échecs de connexion, +      * LAB #1 - John the Ripper 
-  * Comment mettre en place le Système de Prévention d'Intrusion Fail2Ban.+    * Surveillance Sécuritaire 
 +      * La commande last 
 +      * La commande lastlog 
 +      * La Commande lastb 
 +      * /var/log/secure 
 +    * Les Contre-Mesures 
 +      * LAB #2 - Renforcer la sécurité des comptes 
 +    * LAB #3 - PAM sous RHEL/CentOS 7 
 +      * Bloquer un Compte après N Echecs de Connexion 
 +      * Configuration 
 +    * LAB #4 - Mise en place du Système de Prévention d'Intrusion Fail2Ban 
 +      * Installation 
 +      * Configuration 
 +      * Le répertoire /etc/fail2ban 
 +        * Le fichier fail2ban.conf 
 +        * Le répertoire /etc/fail2ban/filter.d/ 
 +        * Le répertoire /etc/fail2ban/action.d/ 
 +      * Commandes 
 +        * Activer et Démarrer le Serveur 
 +        * Utiliser la Commande Fail2Ban-server 
 +        * Ajouter un Prison
  
 =====Le Problématique===== =====Le Problématique=====
Ligne 21: Ligne 41:
 Le principe de ces logiciels est simples - le logiciel utilise des dictionnaires de mots de passe qui sont utilisés le uns après les autres à une vitesse qui peut atteindre des milliers par seconde. Le principe de ces logiciels est simples - le logiciel utilise des dictionnaires de mots de passe qui sont utilisés le uns après les autres à une vitesse qui peut atteindre des milliers par seconde.
  
-====LAB #1 - Installer John the Ripper====+====LAB #1 - John the Ripper====
  
-Exécutez le script suivant dans un terminal de RHEL/CentOS 7 en tant que root :+===Installation===
  
-<file>+Créez le script suivant dans un terminal de RHEL/CentOS 7 en tant que root : 
 + 
 +<code> 
 +[trainee@centos7 ~]$ su - 
 +Password: fenestros 
 +Last login: Mon Apr 23 17:23:14 CEST 2018 on tty1 
 +[root@centos7 ~]# vi john.sh 
 +[root@centos7 ~]# cat john.sh
 #!/bin/bash #!/bin/bash
 # Centos 7 John the Ripper Installation # Centos 7 John the Ripper Installation
Ligne 43: Ligne 70:
 #password dictionnary download #password dictionnary download
 wget -O - http://mirrors.kernel.org/openwall/wordlists/all.gz | gunzip -c > openwall.dico wget -O - http://mirrors.kernel.org/openwall/wordlists/all.gz | gunzip -c > openwall.dico
-</file>+</code> 
 + 
 +Rendez-le exécutable : 
 + 
 +<code> 
 +[root@centos7 ~]# chmod u+x john.sh  
 +</code> 
 + 
 +Exécutez le script : 
 + 
 +<code> 
 +[root@centos7 ~]# ./john.sh  
 +</code> 
 + 
 +===Utilisation=== 
 + 
 +Placez-vous dans le répertoire **/root/john-1.8.0/run** : 
 + 
 +<code> 
 +[root@centos7 ~]# cd john-1.8.0/run/ 
 +</code> 
 + 
 +Utilisez l'utilitare **unshadow** pour créer le fichier des mots de passe : 
 + 
 +<code> 
 +[root@centos7 run]# ./unshadow /etc/passwd /etc/shadow > mypasswd 
 +</code> 
 + 
 +Consultez le fichier **mypasswd** : 
 + 
 +<code> 
 +[root@centos7 run]# cat mypasswd 
 +root:$6$TX12b5lW9UXD8Ld6$l/PjTA.XrBAbsayGCaSFaM5ibLo2xBBeYNCyEdVv9uMUctxq9Q0YBxLwCvS2bCdgr.BeSmXvi6BwD55KKscaJ.:0:0:root:/root:/bin/bash 
 +bin:*:1:1:bin:/bin:/sbin/nologin 
 +daemon:*:2:2:daemon:/sbin:/sbin/nologin 
 +adm:*:3:4:adm:/var/adm:/sbin/nologin 
 +lp:*:4:7:lp:/var/spool/lpd:/sbin/nologin 
 +sync:*:5:0:sync:/sbin:/bin/sync 
 +shutdown:*:6:0:shutdown:/sbin:/sbin/shutdown 
 +halt:*:7:0:halt:/sbin:/sbin/halt 
 +mail:*:8:12:mail:/var/spool/mail:/sbin/nologin 
 +operator:*:11:0:operator:/root:/sbin/nologin 
 +games:*:12:100:games:/usr/games:/sbin/nologin 
 +ftp:*:14:50:FTP User:/var/ftp:/sbin/nologin 
 +nobody:*:99:99:Nobody:/:/sbin/nologin 
 +avahi-autoipd:!!:170:170:Avahi IPv4LL Stack:/var/lib/avahi-autoipd:/sbin/nologin 
 +systemd-bus-proxy:!!:999:997:systemd Bus Proxy:/:/sbin/nologin 
 +systemd-network:!!:998:996:systemd Network Management:/:/sbin/nologin 
 +dbus:!!:81:81:System message bus:/:/sbin/nologin 
 +polkitd:!!:997:995:User for polkitd:/:/sbin/nologin 
 +abrt:!!:173:173::/etc/abrt:/sbin/nologin 
 +usbmuxd:!!:113:113:usbmuxd user:/:/sbin/nologin 
 +colord:!!:996:993:User for colord:/var/lib/colord:/sbin/nologin 
 +libstoragemgmt:!!:995:992:daemon account for libstoragemgmt:/var/run/lsm:/sbin/nologin 
 +setroubleshoot:!!:994:991::/var/lib/setroubleshoot:/sbin/nologin 
 +rpc:!!:32:32:Rpcbind Daemon:/var/lib/rpcbind:/sbin/nologin 
 +rtkit:!!:172:172:RealtimeKit:/proc:/sbin/nologin 
 +chrony:!!:993:990::/var/lib/chrony:/sbin/nologin 
 +unbound:!!:992:989:Unbound DNS resolver:/etc/unbound:/sbin/nologin 
 +tss:!!:59:59:Account used by the trousers package to sandbox the tcsd daemon:/dev/null:/sbin/nologin 
 +geoclue:!!:991:988:User for geoclue:/var/lib/geoclue:/sbin/nologin 
 +ntp:!!:38:38::/etc/ntp:/sbin/nologin 
 +sssd:!!:990:987:User for sssd:/:/sbin/nologin 
 +rpcuser:!!:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin 
 +nfsnobody:!!:65534:65534:Anonymous NFS User:/var/lib/nfs:/sbin/nologin 
 +pulse:!!:171:171:PulseAudio System Daemon:/var/run/pulse:/sbin/nologin 
 +gdm:!!:42:42::/var/lib/gdm:/sbin/nologin 
 +gnome-initial-setup:!!:989:984::/run/gnome-initial-setup/:/sbin/nologin 
 +avahi:!!:70:70:Avahi mDNS/DNS-SD Stack:/var/run/avahi-daemon:/sbin/nologin 
 +postfix:!!:89:89::/var/spool/postfix:/sbin/nologin 
 +sshd:!!:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin 
 +tcpdump:!!:72:72::/:/sbin/nologin 
 +trainee:$6$4PW9kfdOIOmWmSSO$8vikc1pyXgVc.C8xKP5EvIbBwe1fWd3DSvgWGQ5FAr7jwyMCbLQOOWbvomS9z1Q6V8IqZjBSREWafNzOYjKqC0:1000:1000:trainee:/home/trainee:/bin/bash 
 +vboxadd:!!:988:1::/var/run/vboxadd:/bin/false 
 +</code> 
 + 
 +Lancez **john** pour craquer le fichier **mypasswd** : 
 + 
 +<code> 
 +[root@centos7 run]# ./john mypasswd 
 +Loaded 2 password hashes with 2 different salts (crypt, generic crypt(3) [?/64]) 
 +Press 'q' or Ctrl-C to abort, almost any other key for status 
 +trainee          (trainee) 
 +1g 0:00:00:26 4% 2/3 0.03831g/s 230.1p/s 230.2c/s 230.2C/s Hanson..Kristine 
 +1g 0:00:00:27 4% 2/3 0.03658g/s 230.3p/s 230.4c/s 230.4C/s Ruthless..Tanner 
 +1g 0:00:00:28 4% 2/3 0.03549g/s 230.3p/s 230.3c/s 230.3C/s Bonjour..Blessing 
 +1g 0:00:00:36 5% 2/3 0.02775g/s 230.6p/s 230.7c/s 230.7C/s dances..olivias 
 +1g 0:00:01:14 10% 2/3 0.01348g/s 231.2p/s 231.2c/s 231.2C/s rabbitrabbit..dennisdennis 
 +1g 0:00:01:16 11% 2/3 0.01311g/s 231.1p/s 231.2c/s 231.2C/s grahamgraham..sharkshark 
 +1g 0:00:01:18 11% 2/3 0.01277g/s 231.2p/s 231.2c/s 231.2C/s reggiereggie..vickivicki 
 +1g 0:00:01:19 11% 2/3 0.01263g/s 231.1p/s 231.1c/s 231.1C/s javierjavier..melvinmelvin 
 +1g 0:00:01:20 12% 2/3 0.01244g/s 231.2p/s 231.2c/s 231.2C/s goldengolden..dixondixon 
 +1g 0:00:01:21 12% 2/3 0.01231g/s 231.2p/s 231.2c/s 231.2C/s obiwanobiwan..bytemebyteme 
 +1g 0:00:01:22 12% 2/3 0.01218g/s 231.1p/s 231.1c/s 231.1C/s suzysuzy..raeb 
 +1g 0:00:01:23 12% 2/3 0.01200g/s 231.1p/s 231.2c/s 231.2C/s xilef..ognimalf 
 +1g 0:00:01:24 12% 2/3 0.01188g/s 231.1p/s 231.2c/s 231.2C/s auhsoj..trebreh 
 +1g 0:00:01:25 12% 2/3 0.01171g/s 231.2p/s 231.2c/s 231.2C/s namgib..lareneg 
 +1g 0:00:02:34 21% 2/3 0.006482g/s 231.2p/s 231.2c/s 231.2C/s tinker3..ashraf3 
 +[q] <--------------------------------------------------------------------------------------appuyez sur la touche q 
 +Use the "--show" option to display all of the cracked passwords reliably 
 +Session aborted 
 +</code> 
 + 
 +Consultez la liste des mots de passe craqués : 
 + 
 +<code> 
 +[root@centos7 run]# ./john --show mypasswd 
 +trainee:trainee:1000:1000:trainee:/home/trainee:/bin/bash 
 + 
 +1 password hash cracked, 1 left 
 +</code>
  
 =====Surveillance Sécuritaire===== =====Surveillance Sécuritaire=====
Ligne 335: Ligne 472:
   * Le **numéro** du jour après le **01/01/1970** que le compte a été désactivé.   * Le **numéro** du jour après le **01/01/1970** que le compte a été désactivé.
  
-=====LAB #3 - PAM sous RHEL/CentOS 6===== +=====LAB #3 - PAM sous RHEL/CentOS 7=====
- +
-**PAM** ( //Pluggable Authentification Modules// ou Modules d'Authentification Enfichables ) est une architecture modulaire permettant à l'administrateur système de définir une politique d'authentification pour les logiciels prenant en charge PAM. +
- +
-Les fichiers de configuration se trouvent dans le répertoire **/etc/pam.d** : +
- +
-<code> +
-[root@centos6 ~]# ls /etc/pam.d +
-atd                  halt              smartcard-auth-ac +
-authconfig           ksu               smtp +
-authconfig-gtk       login             smtp.postfix +
-authconfig-tui       newrole           sshd +
-chfn                 other             su +
-chsh                 passwd            sudo +
-config-util          password-auth     sudo-i +
-crond                password-auth-ac  su-l +
-cups                 polkit-1          system-auth +
-cvs                  poweroff          system-auth-ac +
-eject                ppp               system-config-authentication +
-fingerprint-auth     reboot            system-config-date +
-fingerprint-auth-ac  remote            system-config-kdump +
-gdm                  run_init          system-config-keyboard +
-gdm-autologin        runuser           system-config-network +
-gdm-fingerprint      runuser-l         system-config-network-cmd +
-gdm-password         setup             system-config-users +
-gnome-screensaver    smartcard-auth    xserver +
-</code> +
- +
-Ces fichiers ont une structure spécifique et sont nommés d'après le service ou l'application qu'ils contrôlent. Leur contenu fait appel à des modules qui se trouvent dans le répertoire **/lib/security** : +
- +
-<code> +
-[root@centos6 ~]# ls /lib/security +
-pam_access.so         pam_krb5.so              pam_sepermit.so +
-pam_cap.so            pam_lastlog.so           pam_shells.so +
-pam_chroot.so         pam_ldap.so              pam_smbpass.so +
-pam_ck_connector.so   pam_limits.so            pam_sss.so +
-pam_console.so        pam_listfile.so          pam_stress.so +
-pam_cracklib.so       pam_localuser.so         pam_succeed_if.so +
-pam_debug.so          pam_loginuid.so          pam_tally2.so +
-pam_deny.so           pam_mail.so              pam_time.so +
-pam_echo.so           pam_mkhomedir.so         pam_timestamp.so +
-pam_env.so            pam_motd.so              pam_tty_audit.so +
-pam_exec.so           pam_namespace.so         pam_umask.so +
-pam_faildelay.so      pam_nologin.so           pam_unix_acct.so +
-pam_filter            pam_oddjob_mkhomedir.so  pam_unix_auth.so +
-pam_filter.so         pam_passwdqc.so          pam_unix_passwd.so +
-pam_fprintd.so        pam_permit.so            pam_unix_session.so +
-pam_ftp.so            pam_postgresok.so        pam_unix.so +
-pam_gnome_keyring.so  pam_pwhistory.so         pam_userdb.so +
-pam_group.so          pam_rhosts.so            pam_warn.so +
-pam_issue.so          pam_rootok.so            pam_wheel.so +
-pam_keyinit.so        pam_securetty.so         pam_winbind.so +
-pam_krb5              pam_selinux_permit.so    pam_xauth.so +
-pam_krb5afs.so        pam_selinux.so +
-</code> +
- +
-Les modules les plus importants sont : +
- +
-^ Module ^ Description ^ +
-| pam_listfile.so | Ce module est utilisé pour consulter un fichier spécifique pour vérifier les authiorisations. Par exemple, le service ftp utilise ce module pour consulter le fichier **/etc/ftpusers** qui contient une liste d'utilisateurs qui ne sont **pas** autorisés à se connecter au serveur ftp. | +
-| pam_access.so | Ce module est utilisé pour interdire l'accès aux services sécurisés par des hôtes non-autorisés. | +
-| pam_nologin.so | Ce module interdit les connexions d'utilisteurs, autre que root, dans le cas où le fichier **/etc/nologin** est présent. | +
-| pam_securetty.so | Ce module interdit des connexions de root à partir des périphériques tty qui ne sont pas listés dans le fichier **/etc/securetty**. | +
-| pam_cracklib.so | Ce module est utilisé pour vérifier le mot de passe d'un utilisateur | +
-| pam_unix.so | Ce module est utilisé pour vérifier les informations suivantes ; expire, last_change, max_change, min_change, warn_change. | +
-| pam_limits.so | Ce module implémente les limites des ressources détaillées dans le fichier **/etc/security/limits.conf** et dans les fichiers ***.conf** trouvés dans le répertoire **/etc/security/limits.d/**. | +
-| pam_echo.so | Ce module présente le contenu du fichier passé en argument à tout utilisateur lors de sa connexion. | +
- +
- +
-Chaque fichier dans /etc/pam.d contient les règles PAM utilisées pendant l'authentification. Ouvrez le fichier **login** : +
- +
-<code> +
-[root@centos6 ~]# cat /etc/pam.d/login +
-#%PAM-1.0 +
-auth [user_unknown=ignore success=ok ignore=ignore default=bad] pam_securetty.so +
-auth       include      system-auth +
-account    required     pam_nologin.so +
-account    include      system-auth +
-password   include      system-auth +
-# pam_selinux.so close should be the first session rule +
-session    required     pam_selinux.so close +
-session    required     pam_loginuid.so +
-session    optional     pam_console.so +
-# pam_selinux.so open should only be followed by sessions to be executed in the user context +
-session    required     pam_selinux.so open +
-session    required     pam_namespace.so +
-session    optional     pam_keyinit.so force revoke +
-session    include      system-auth +
--session   optional     pam_ck_connector.so +
-</code> +
- +
-La première ligne de ce fichier est un commentaire qui spécifie que le fichier est conforme à la spécification PAM 1.0. +
- +
-Ce fichier, tout comme les autres, est ensuite structuré de la façon suivante : +
- +
-  * Une module par ligne, +
-  * Quatre champs séparés par un espace dans chaque règle dont les trois premières sont obligatoires. +
- +
-Le **premier champs** est le //**type de module**//. Il en existe quatre : +
- +
-^ Type ^ Description ^ +
-| **auth** | Utilisé pour authentifier un utilisateur ou les pré-requis système ( par exemple /etc/nologin ) | +
-| **account** | Utilisé pour vérifier si l'utilisateur peut s'authentifier ( par exemple la validité du compte ) | +
-| **password** | Utilisé pour vérifier si l'utilisateur dispose des droits pour mettre le mécanisme d'authentification à jour | +
-| **session** | Utilisé pour gérer la session après l'authentification ( par exemple monter un répertoire ) | +
- +
-Le **deuxième champs** est le //**Control-flag**//. Il en existe quatre : +
- +
-^ Control-flag ^ Description ^ +
-| **required** | La réussite de ce module est indispensable. L'échec d'un module //required// n'est communiqué à l'application qu'après la vérification de tous les modules ayant un //control-flag// de **required**| +
-| **requisite** | La réussite de ce module est indispensable. L'échec d'un module //requisite// est immédiatement communiqué à l'application | +
-| **sufficient** | La réussite de ce module est suffisant pour authoriser l'authentification. Si aucun test //required// précédent est en échec, la vérification s'arrête. Si un test //required// précédent était en échec, le test //sufficient// est ignoré. L'échec d'un test //sufficient// n'a pas de conséquence si tous les tests //required// réussissent.  | +
-| **optional** | La réussite ou l'échec de ce module est sans importance, **sauf** s'il s'agit du seul module à exécuter | +
-| **include** | Ce control-flag permet d'inclure toutes les lignes du même //type de module// se trouvant dans le fichier spécifié en argument | +
- +
-Le **troisième champs** stipule le //**module**// associé à la règle. Sans chemin absolu, le fichier est supposé être dans le répertoire **/lib/security**. Pour inclure un module en dehors de ce répertoire il convient donc de stipuler son chemin absolu. +
- +
-Le **quatrième champs** contient éventuellement les **arguments**. +
- +
-Ouvrez maintenant le fichier **system-auth** : +
- +
-<code> +
-[root@centos6 ~]# cat /etc/pam.d/system-auth +
-#%PAM-1.0 +
-# This file is auto-generated. +
-# User changes will be destroyed the next time authconfig is run. +
-auth        required      pam_env.so +
-auth        sufficient    pam_fprintd.so +
-auth        sufficient    pam_unix.so nullok try_first_pass +
-auth        requisite     pam_succeed_if.so uid >= 500 quiet +
-auth        required      pam_deny.so +
- +
-account     required      pam_unix.so +
-account     sufficient    pam_localuser.so +
-account     sufficient    pam_succeed_if.so uid < 500 quiet +
-account     required      pam_permit.so +
- +
-password    requisite     pam_cracklib.so try_first_pass retry=3 type= +
-password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok +
-password    required      pam_deny.so +
- +
-session     optional      pam_keyinit.so revoke +
-session     required      pam_limits.so +
-session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid +
-session     required      pam_unix.so +
-</code> +
- +
-Dans ce fichier, si la règle **sufficient** réussit, les modules suivants ne sont pas invoqués. +
- +
-===Utiliser des Mots de Passe Complexe=== +
- +
-La complexité des mots de passe est gérée par le module **pam_cracklib.so**. Afin de mettre en place une politique de mots de passe complexe, il convient de modifier la ligne : +
- +
-<file> +
-password    requisite     pam_cracklib.so try_first_pass retry=3 type= +
-</file> +
- +
-en  +
- +
-<file> +
-password    requisite     pam_cracklib.so try_first_pass retry=3 minlen=8 lcredit=-1 ucredit=-1 dcredit=-2 ocredit=-1 +
-</file> +
- +
-Dans ce cas, le mot de passe doit être long de 8 caractères et doit contenir au moins un caractère minuscule, un caractère majuscule, deux chiffres et un caractère spécial. +
- +
-===Bloquer un Compte après N Echecs de Connexion=== +
- +
-Le module PAM **pam_tally.so** permet de bloquer un compte après N échecs de connexion. Afin d'activer ce comportement, il convient d'ajouter dans le fichier **/etc/pam.d/system-auth** la ligne suivante : +
- +
-<file> +
-auth required pam_tally.so onerr=fail deny=3 unlock_time=300 +
-</file> +
- +
-Dans ce cas, après trois tentatives infructueuses de connexion, le compte sera bloquer pendant 5 minutes.  +
- +
-===Configuration=== +
- +
-Certains modules de PAM peuvent être configurés grâce aux fichiers présents dans le répertoire **/etc/security** : +
- +
-<code> +
-[root@centos6 ~]# ls /etc/security +
-access.conf       console.perms    limits.d        opasswd +
-chroot.conf       console.perms.d  namespace.conf  pam_env.conf +
-console.apps      group.conf       namespace.d     sepermit.conf +
-console.handlers  limits.conf      namespace.init  time.conf +
-</code> +
- +
-Parmi les fichiers cités on note ceux qui peuvent être utilisés pour configurer les modules suivants : +
- +
-^ Fichier///Répertoire// ^ Description ^ +
-| **access.conf** | Utilisé par le module pam_access.so | +
-| **//console.apps//** | Utilisés par le module pam_console.so | +
-| **console.perms** | Utilisé par le module pam_console.so | +
-| **//console.perms.d//** | Utilisé par le module pam_console.so | +
-| **group.conf** | Utilisés par le module pam_group.so | +
-| **limits.conf** | Utilisé par le module pam_limits.so | +
-| **pam_env.conf** | Utilisé par le module pam_env.so | +
-| **time.conf** | Utilisé par le module pam_time.so | +
- +
-<WRAP center round todo 50%> +
-**A faire** : Passez en revue chacun de ces fichiers. +
-</WRAP> +
- +
-Dernièrement, PAM propose une solution pour toutes les applications ne disposant pas de leurs propres fichiers de configuration PAM. Cette solution prend la forme du fichier **/etc/pam.d/other** : +
- +
-<code> +
-[root@centos6 ~]# cat /etc/pam.d/other +
-#%PAM-1.0 +
-auth     required       pam_deny.so +
-account  required       pam_deny.so +
-password required       pam_deny.so +
-session  required       pam_deny.so +
-</code> +
- +
-=====LAB #4 - PAM sous RHEL/CentOS 7=====+
  
 **PAM** ( //Pluggable Authentification Modules// ou Modules d'Authentification Enfichables ) est une architecture modulaire permettant à l'administrateur système de définir une politique d'authentification pour les logiciels prenant en charge PAM. **PAM** ( //Pluggable Authentification Modules// ou Modules d'Authentification Enfichables ) est une architecture modulaire permettant à l'administrateur système de définir une politique d'authentification pour les logiciels prenant en charge PAM.
Ligne 695: Ligne 618:
  
 Dans ce fichier, si la règle **sufficient** réussit, les modules suivants ne sont pas invoqués. Dans ce fichier, si la règle **sufficient** réussit, les modules suivants ne sont pas invoqués.
- 
-===Utiliser des Mots de Passe Complexe=== 
- 
-La complexité des mots de passe est gérée par le module **pam_pwquality.so**. Afin de mettre en place une politique de mots de passe complexe, il convient de modifier la ligne : 
- 
-<file> 
-password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= 
-</file> 
- 
-en  
- 
-<file> 
-password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 minlen=8 lcredit=-1 ucredit=-1 dcredit=-2 ocredit=-1 
-</file> 
- 
-Dans ce cas, le mot de passe doit être long de 8 caractères et doit contenir au moins un caractère minuscule, un caractère majuscule, deux chiffres et un caractère spécial. 
  
 ===Bloquer un Compte après N Echecs de Connexion=== ===Bloquer un Compte après N Echecs de Connexion===
Ligne 761: Ligne 668:
 </code> </code>
  
-=====LAB #5 - Mise en place du Système de Prévention d'Intrusion Fail2Ban=====+=====LAB #4 - Mise en place du Système de Prévention d'Intrusion Fail2Ban=====
  
 Fail2Ban est un **S**ystème de **P**révention d'**I**ntrusion. Fail2Ban lit les logs de divers services (SSH, Apache, FTP…) à la recherche d’erreurs d'authentification répétées et ajoute une règle à iptables pour bannir l'adresse IP de la source. Fail2Ban est un **S**ystème de **P**révention d'**I**ntrusion. Fail2Ban lit les logs de divers services (SSH, Apache, FTP…) à la recherche d’erreurs d'authentification répétées et ajoute une règle à iptables pour bannir l'adresse IP de la source.
Ligne 850: Ligne 757:
 [root@centos7 ~]# cat /etc/fail2ban/jail.local [root@centos7 ~]# cat /etc/fail2ban/jail.local
 [DEFAULT] [DEFAULT]
-ignoreip = 127.0.0.1 10.0.2.15 +ignoreip = 127.0.0.1 172.YY+20.0.3 
 findtime = 3600 findtime = 3600
 bantime = 86400 bantime = 86400
Ligne 866: Ligne 773:
  
 <WRAP center round important 50%> <WRAP center round important 50%>
-**Important** - Notez que la définition des variables dans la section **[GLOBAL]** du fichier **/etc/fail2ban/jail.local** s'appliquent à toutes les sections de prisons actives dans les fichiers **/etc/fail2ban/jail.local** et **/etc/fail2ban/jail.conf** sauf si dans la section du prison elle-même, la variable est redéfinie.+**Important** - Notez que la définition des variables dans la section **[DEFAULT]** du fichier **/etc/fail2ban/jail.local** s'appliquent à toutes les sections de prisons actives dans les fichiers **/etc/fail2ban/jail.local** et **/etc/fail2ban/jail.conf** sauf si dans la section du prison elle-même, la variable est redéfinie.
 </WRAP> </WRAP>
  
Ligne 1504: Ligne 1411:
 <html> <html>
 <div align="center"> <div align="center">
-Copyright © 2020 Hugh Norris.<br><br>+Copyright © 2021 Hugh Norris.<br><br>
 </div> </div>
 </html> </html>

Piste : • LDF900 - Prérequis • LDF905 - Automatiser l'Administration Système de CentOS 8

Menu