Durcir un serveur Debian exposé

Contexte

Une PME a mis en ligne un serveur Debian pour héberger son intranet. Il a été installé avec les options par défaut, un compte partagé et SSH ouvert sur Internet. Vous reprenez la machine avant l’audit de la semaine prochaine.

Objectifs

Restreindre l’accès SSH à l’authentification par clé et à des comptes nominatifs
Supprimer les services et paquets inutiles
Mettre en place un pare-feu local avec une politique par défaut restrictive
Conserver les journaux d’authentification

Énoncé

Dressez l’inventaire des ports en écoute et des services actifs. Justifiez chaque service conservé.
Créez deux comptes nominatifs, désactivez le compte partagé et la connexion root à distance.
Configurez le serveur SSH pour n’accepter que les clés, et seulement pour une liste d’utilisateurs autorisés.
Écrivez les règles nftables : tout est refusé en entrée sauf SSH depuis le réseau d’administration (10.10.0.0/24) et HTTPS.
Vérifiez que les tentatives de connexion échouées sont journalisées et conservées 90 jours.

# point de départ
$ ss -tulpn
$ systemctl list-units --type=service --state=running

Livrable

Un court rapport (une page) listant chaque changement, la commande ou le fichier concerné, et la preuve que la mesure fonctionne.