Securite et automatisation

1. SSH : cles plutot que mots de passe

SSH (port 22) chiffre l'administration distante. Bonne pratique examen : authentification par cles, interdiction du login root, changement du port optionnel.

ssh-keygen -t ed25519 -C "eleve@lpic1"
ssh-copy-id eleve@serveur1
ssh -p 22 eleve@serveur1
sudo nano /etc/ssh/sshd_config
Port 22
PermitRootLogin no
PasswordAuthentication no
sudo systemctl restart sshd
 chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys

2. sudoers au scalpel

sudo visudo
# Exemples progressifs :
alice ALL=(ALL) ALL                                  # totale (oky lab, a restreindre en prod)
deploiement ALL=(ALL) /usr/bin/systemctl restart nginx
%compta ALL=(ALL) /usr/bin/apt update, /usr/bin/apt upgrade
Defaults timestamp_timeout=10
Defaults logfile="/var/log/sudo.log"

3. fail2ban et hygiene

fail2ban surveille les logs (/var/log/auth.log) et bannit temporairement les IP apres N echecs (anti brute-force SSH). Completez avec : mises a jour regulieres, UFW actif (22 restreint), mots de passe forts, comptes verrouilles (passwd -l), aucune cle en 777.

sudo apt install fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status
sudo fail2ban-client status sshd
grep "Failed password" /var/log/auth.log
 sudo ufw allow from 192.168.1.0/24 to any port 22

1. Squelette d'un script note a l'examen

#!/bin/bash
# sauvegarde.sh : archive horodatee de /srv
set -u                      # erreur si variable non definie
SRC="/srv"
DEST="/tmp/srv-$(date +%F).tar.gz"
if [ ! -d "$SRC" ]; then
  echo "Erreur : $SRC introuvable" >&2
  exit 1
fi
tar czf "$DEST" "$SRC"
echo "Archive creee : $DEST"
exit 0

Puis chmod +x sauvegarde.sh et execution ./sauvegarde.sh ou bash sauvegarde.sh. Le shebang (#!) choisit l'interpreteur.

2. Variables, parametres, arithmetique

NOM="alice"                       # pas d'espace autour du =
echo "Bonjour $NOM"                # guillemets : protege + etend
echo 'Bonjour $NOM'                # apostrophes : litteral
echo "./s.sh toto" ; ./s.sh toto
# dans s.sh : $0=nom $1=toto $#=nb $?=retour $$=pid
COMPTEUR=$((COMPTEUR + 1))
echo $((3 + 4 * 2))                # 11
export LANG=fr_FR.UTF-8            # transmise aux fils

3. Tests et boucles

# Tests : [ ] classique, [[ ]] etendu
[ -f /etc/passwd ] && echo "fichier present"
[ "$1" = "prod" ] || { echo "usage : $0 prod|test" >&2; exit 2; }
[ -d /data ] || mkdir -p /data
# Boucles
for svc in sshd nginx cron; do
  systemctl is-active "$svc"
done
i=1
while [ "$i" -le 3 ]; do echo "tour $i"; i=$((i+1)); done
# Fonction
sauvegarder() {
  tar czf "/tmp/$1.tar.gz" "$2"
}
 sauvegarder srv /srv

1. Voir et piloter les processus

ps aux | head            # instantane : USER PID %CPU %MEM CMD
ps aux | grep nginx
top                      # temps reel (q pour quitter) ; htop en couleurs
jobs                     # taches du shell ; sleep 60 & (arriere-plan)
kill 1234                # SIGTERM (demande polie)
kill -9 1234             # SIGKILL (brutal, sans appel)
pkill -f backup.sh       # par motif
 nice -n 10 ./lourd.sh    # priorite basse ; renice pour ajuster

2. cron : la recurrence (5 champs + commande)

Ordre : minute heure jour-du-mois mois jour-semaine commande. * = toutes les valeurs, */10 = tous les 10.

crontab -l               # afficher
crontab -e               # editer
# Sauvegarde quotidienne a 2h30 :
30 2 * * * /home/eleve/sauvegarde.sh >> /var/log/sauvegarde.log 2>&1
# Toutes les 10 minutes :
*/10 * * * * /usr/bin/check.sh
# Lundi 8h :
0 8 * * 1 /usr/bin/rapport.sh
# Systeme : /etc/crontab, /etc/cron.d/, /etc/cron.daily/ ...

3. at et systemd timers

echo "/home/eleve/sauvegarde.sh" | at 02:30 tomorrow
atq && atrm 3
 systemctl list-timers    # timers systemd (successeurs modernes de cron)

1. Ou sont les indices ?

• journalctl : journal centralise systemd (-b boot, -u service, -f suivi, -p err erreurs, --since/--until fenetre).
• /var/log/syslog (Debian) / /var/log/messages (RHEL) : messages generaux.
• /var/log/auth.log (Debian) / /var/log/secure (RHEL) : authentifications SSH/sudo.
• dmesg : messages du noyau (materiel, pilotes).

journalctl -p err -b
journalctl -u sshd --since "2026-01-12 08:00"
grep -i "failed\|error" /var/log/auth.log | tail
tail -f /var/log/syslog
 dmesg | grep -i "ata\|usb\|error"

2. Methode de depannage en 6 etapes

1. Reproduire : commande exacte, message exact, code retour ($?).
2. Perimetre : un seul hote ? depuis quand ? qu'a change (paquet, config, reboot) ?
3. Couches basses d'abord : espace disque (df -h), permissions (ls -l), service actif (systemctl is-active), reseau (ip/ss/ping).
4. Logs ciblés : journalctl -u du service fautif + auth.log si acces.
5. Hypothese - test - rollback : une seule modification a la fois, sauvegarder le fichier avant (cp sshd_config sshd_config.bak).
6. Documenter : cause racine, fix, verification (systemctl status, test fonctionnel).

# Exemple : SSH refuse
systemctl is-active sshd || sudo systemctl start sshd
ss -tlnp | grep :22
sudo sshd -t                # teste la syntaxe de sshd_config
journalctl -u sshd -b
ls -ld ~/.ssh && ls -l ~/.ssh/authorized_keys
 # 700 et 600 exiges, sinon la cle est ignoree