Guide de renforcement de la sécurité CIS pour Debian 12 : Configuration de base du serveur étape par étape

Qu'est-ce qui a changé pour Debian 12 et sa norme CIS de base ?

Debian 12 « Bookworm » est entré en phase de support à long terme (LTS) le 12 juillet 2026. Le support de sécurité est assuré jusqu'au 30 juin 2028, tandis que Debian 13 est désormais la version stable actuelle. Debian recommande la migration vers Debian 13 lorsque cela est possible. Si vous devez conserver Bookworm, assurez-vous que l'architecture de votre processeur et les paquets installés restent couverts par le support à long terme, maintenez la configuration des sources de sécurité de Bookworm et planifiez une migration testée avant la fin du support.

La liste CIS actuelle inclut le benchmark CIS Debian Linux 12 v2.0.0 . Le CIS a annoncé cette mise à jour majeure en 2026 : elle a ajouté, supprimé, déplacé et révisé des recommandations. Les listes de contrôle et les outils d'automatisation plus anciens pour Debian 12 peuvent donc cibler une configuration de référence différente. Ce guide utilise le benchmark v2.0.0 comme référence d'évaluation, mais ne reproduit pas tous les contrôles et ne garantit pas un résultat conforme. Utilisez le benchmark et le profil exacts acceptés par votre organisation.

Références : l'annonce de la transition de Bookworm LTS de Debian , la liste des benchmarks CIS Debian et la mise à jour des benchmarks CIS de juin 2026 .

Avant le renforcement de la sécurité : sélectionnez un profil et un chemin de récupération

Le renforcement de la sécurité selon les normes CIS n'est pas une solution miracle. Un profil de niveau 1 constitue un point de départ pratique pour de nombreux serveurs de production ; le niveau 2 renforce la sécurité en profondeur et peut avoir un impact plus important sur la compatibilité et l'exploitation. CIS recommande de tester au préalable les recommandations choisies dans un environnement hors production. Si une autorité de réglementation, un contrat client ou une politique interne spécifie un profil, il convient de suivre scrupuleusement cette exigence.

• Indiquez la cible comme étant Debian 12 Bookworm, la version de référence CIS et le profil serveur applicable.
• Effectuez une sauvegarde testée ou un instantané de machine virtuelle et confirmez l'accès à la console ou hors bande avant de modifier les paramètres de connexion à distance ou de pare-feu.
• Notez les services, ports, utilisateurs, tâches planifiées, points de montage et dépendances de l'application requis.
• Définir qui peut approuver les exceptions et où seront conservés les rapports d'analyse et les enregistrements de modifications.

Le CIS décrit le niveau 1 comme un profil de base et le niveau 2 comme un profil de défense en profondeur plus restrictif. Consultez la FAQ officielle du CIS sur les profils avant de faire votre choix.

1. Confirmez la version de Debian et la couverture LTS.

Avant d'apporter des modifications, veuillez noter la version, l'architecture, le noyau, les services actifs et les sockets d'écoute de l'hôte :

cat /etc/os-release
dpkg --print-architecture
uname -r
systemctl --failed
sudo ss -tulpn

La couverture LTS de Bookworm est limitée aux architectures listées et exclut certains paquets. Consultez les informations relatives aux paquets Bookworm LTS de Debian , notamment si votre machine exécute des logiciels extérieurs à l'archive principale de Debian. Un score CIS n'étend pas la portée du support de sécurité de Debian.

2. Mettez le système à jour en toute sécurité

Vérifiez que les sources APT utilisent bien le bookwormnom de code et incluent les sources de sécurité/LTS actuelles de Debian pour cette installation. Évitez de modifier les sources d'un serveur de production par bookwormsimple stablecommodité ; l'alias stable pointe désormais vers Debian 13 et une mise à jour de sécurité peut transformer une mise à niveau de la distribution en une mise à niveau de la distribution elle-même.

sudo apt update
sudo apt upgrade

Examinez les modifications proposées aux paquets avant de les confirmer. Planifiez une fenêtre de maintenance pour les mises à niveau qui remplacent un noyau ou redémarrent un service critique. N'utilisez pas cette fonctionnalité full-upgradesans avoir examiné les suppressions de paquets et les modifications de dépendances. Pour l'application de correctifs sans intervention, le paquet Debian unattended-upgradespeut automatiser l'installation à partir des sources APT configurées ; assurez-vous que les redémarrages automatiques et les redémarrages d'applications sont compatibles avec la politique de gestion des modifications de l'hôte avant de les activer.

3. Faites l'inventaire des logiciels et supprimez uniquement ceux dont le rôle n'a pas besoin.

Utilisez votre inventaire de services et votre liste de ports d'écoute pour identifier les expositions réseau inattendues. Vérifiez le propriétaire du paquet avant de supprimer un démon et assurez-vous que le service est bien requis par l'application, l'agent de surveillance, le logiciel de sauvegarde ou l'automatisation locale. La désactivation d'un service peut entraîner la rupture d'une dépendance dont le nom n'est pas évident.

systemctl --type=service --state=running
sudo ss -lntup
apt-mark showmanual

Supprimez les paquets inutilisés via APT uniquement après confirmation de leur inutilité par leur propriétaire. Pour les services qui doivent rester installés mais ne doivent pas démarrer, documentez la raison et suivez la recommandation CIS exacte du profil sélectionné. Évitez les commandes qui désactivent tous les services d'une catégorie ou qui suppriment des paquets en masse.

4. Renforcez la sécurité SSH sans vous bloquer l'accès.

Pour un serveur géré par SSH, créez et testez un compte administrateur nommé sudoavant de restreindre l'accès root ou par mot de passe. Vérifiez que l'authentification par clé fonctionne depuis une seconde session de terminal et que vous pouvez accéder à la console. Appliquez ensuite uniquement les paramètres SSH requis par votre profil et votre modèle opérationnel. Les contrôles courants incluent la prévention de la connexion root directe et la limitation de l'authentification par mot de passe, mais il est risqué de les appliquer avant qu'une autre méthode d'authentification fonctionnelle ne soit en place.

Après avoir modifié /etc/ssh/sshd_configun fichier de configuration inclus, vérifiez la syntaxe et les valeurs effectives, puis rechargez SSH :

sudo sshd -t
sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication'
sudo systemctl reload ssh

Laissez la session ouverte et testez une nouvelle connexion avant de la fermer. Si l'accès à une identité centralisée ou à un mot de passe d'urgence est requis, ne désactivez pas ce chemin d'accès tant que la solution de remplacement n'a pas été testée. Le manuel du serveur OpenSSH Bookworm de Debian documente les paramètres pris en charge ; le test de performance fournit les valeurs cibles applicables.

5. Configurez un pare-feu hôte avec le trafic requis

Choisissez une méthode de gestion du pare-feu adaptée à l'hôte (par exemple, nftables ou un pare-feu orchestrant existant) et utilisez un ensemble de règles faisant autorité. Avant d'appliquer une politique de blocage par défaut du trafic entrant, autorisez le chemin d'administration et tous les services que le serveur doit fournir. Une règle incorrecte peut déconnecter un hôte distant ou interrompre un contrôle d'intégrité sans modifier l'application elle-même.

sudo nft list ruleset

Comparez les règles en vigueur avec votre architecture réseau approuvée, puis effectuez un test depuis un hôte externe autorisé. Si votre organisation utilise un gestionnaire de pare-feu tel que UFW, examinez ses règles via ce gestionnaire plutôt que d'ajouter un ensemble de règles indépendant. Le manuel nftables de Debian décrit la syntaxe de la commande ; la liste blanche appropriée dépend du rôle du serveur et de la segmentation du réseau.

6. Vérifiez AppArmor et évitez d'affaiblir le confinement des applications.

AppArmor est le framework de contrôle d'accès obligatoire pris en charge par Debian. Vérifiez s'il est installé, activé et s'il applique des profils aux services concernés :

sudo aa-status
systemctl status apparmor

Si AppArmor est absent, vérifiez d'abord si l'image hôte ou la politique de sécurité utilise intentionnellement un autre module de sécurité Linux. N'installez ni n'appliquez de nouveaux profils en production sans avoir testé le comportement des applications. Un profil en mode « avertissement » enregistre les violations de politique, mais ne les bloque pas ; le mode « application » peut empêcher les accès non autorisés aux fichiers ou au réseau, et un profil mal testé peut également perturber un service légitime.

La documentation du paquet Bookworm AppArmor de Debian décrit les composants de l'espace utilisateur. Appliquez les recommandations de benchmark exactes concernant l'état du profil et les exceptions, plutôt que de supposer que l'installation du paquet suffit.

7. Ajoutez un système d'audit et de conservation des journaux que vous pouvez réellement surveiller.

Si le profil CIS sélectionné l'exige, installez et activez le démon d'audit de Debian, puis appliquez les règles du référentiel actuel et de votre processus de contrôle des modifications :

sudo apt install auditd
sudo systemctl enable --now auditd
sudo systemctl status auditd
sudo auditctl -l

Vérifiez que les règles attendues se chargent après le redémarrage et que les journaux d'audit sont collectés, conservés et protégés des utilisateurs non experts. Les règles d'audit peuvent augmenter le volume de stockage et d'événements ; dimensionnez donc la conservation et les alertes en fonction de la charge de travail de l'hôte. Si les journaux sont centralisés, vérifiez également leur réception et les contrôles d'accès. La page du paquet auditd de Bookworm pour Debian explique qu'il fournit des utilitaires pour stocker et rechercher les journaux d'audit du noyau ; son installation ne configure pas automatiquement l'ensemble des règles CIS.

8. Vérifiez que les contrôles du noyau, du système de fichiers et des comptes correspondent bien à la liste de contrôle.

Explorez les paramètres du benchmark relatifs au noyau, aux permissions des fichiers, à la politique de mots de passe, aux bannières de connexion, aux tâches planifiées et aux options de montage du système de fichiers. Ces paramètres dépendent du rôle de l'hôte. Par exemple, noexecl'utilisation d'un système de fichiers temporaire peut entrer en conflit avec un programme d'installation ou une application qui y exécute des fichiers ; la désactivation d'IPv6 peut perturber un réseau qui l'utilise ; et la restriction de la durée de vie des comptes peut être incompatible avec la gestion centralisée des identités.

Pour chaque recommandation, consignez le résultat de l'audit, la valeur requise, la valeur actuelle et indiquez si la modification est applicable. Appliquez les paramètres correspondants dans un fichier de configuration géré ou un système de gestion de la configuration, puis vérifiez l'état d'exécution. Évitez chmodles chowncommandes récursives trop larges : elles peuvent compromettre silencieusement la propriété des packages, l'accès aux applications et la restauration du système.

9. Évaluer, corriger et documenter les exceptions

Exécutez un outil d'évaluation qui prend explicitement en charge le référentiel CIS Debian Linux 12 v2.0.0 et le profil sélectionné à l'étape 1. CIS répertorie les ressources d'évaluation et d'automatisation sur sa page dédiée aux référentiels Debian ; certaines sont réservées aux membres de CIS SecureSuite. Une liste de contrôle au format PDF peut faciliter la vérification manuelle, mais ne permet pas de conclure à la conformité à partir d'un scanner Linux générique ou d'un référentiel CIS pour Debian 13.

Corrigez les anomalies par petits lots. Après chaque lot, vérifiez l'accès, l'état de l'application, les ports requis, les sauvegardes planifiées, la collecte des journaux et la surveillance. Relancez l'évaluation et comparez le résultat avec le rapport précédent. Pour chaque écart accepté, consignez le contrôle, la raison, la mesure compensatoire, le responsable et la date de révision. La mention « Non applicable » doit être justifiée et ne doit pas servir à améliorer artificiellement le score.

Liste de contrôle opérationnelle

• Utilisez le benchmark actuel de Debian 12 v2.0.0 et le profil serveur approprié.
• Maintenez à jour les sources de sécurité de Bookworm et vérifiez la couverture LTS pour l'architecture et les paquets de cet hôte.
• Prévoyez une procédure de récupération avant de modifier le comportement du protocole SSH, du pare-feu, du démarrage ou du système de fichiers.
• Tester d'abord le niveau 2 et les modifications ayant un impact sur l'application en dehors de la production.
• Enregistrer les résultats d'évaluation, les exceptions, les mises à jour des packages et l'état du redémarrage.
• Planifiez la migration vers Debian 13 avant la fin du support de Debian 12 LTS le 30 juin 2028, lorsque la charge de travail le permet.

Le renforcement de la sécurité peut réduire l'exposition aux vulnérabilités, mais la conformité aux normes CIS repose sur l'évaluation de la version et du profil de référence spécifiques, l'application des contrôles requis, la validation du résultat et la documentation des exceptions autorisées. Elle ne garantit pas la sécurité d'un système ni ne remplace l'évaluation de conformité de l'organisation.