Documentation à jour (R3)
Un document de référence unique : topologie, règles, sauvegardes, retours arrière et points ouverts, daté à chaque modification.
Administration sécurisée — auto-évaluation selon le guide ANSSI PA-022
Les recommandations de l’ANSSI pour l’administration des systèmes d’information, confrontées à l’administration réelle d’un homelab.
LinuxSSHTailscaleWireGuardnftablesFirewallCrowdSecsystemdBashTelegram
Ce que le projet démontre
Flux d’administration protégés (R21, R24)
SSH par clé uniquement et accès distant par un réseau privé chiffré, sans exposition directe des interfaces d’administration.
Filtrage par source (R16, R17, R19)
Pare-feu sur chaque équipement : chaque service n’est ouvert qu’aux réseaux qui en ont besoin.
Maintien en condition de sécurité (R42, R44)
Veille sur les avis CERT-FR, sondes automatiques avec alertes, correctifs validés avant d’être généralisés.
Changements maîtrisés
Audit, sauvegarde, correctif ciblé, validation, observation, puis production ; retour arrière automatique pour les changements à risque.
Secrets protégés (R35)
Coffre-fort de mots de passe ; aucun secret affiché ni copié dans la documentation, seulement l’emplacement du fichier qui le contient.
Description
Le guide « Recommandations relatives à l’administration sécurisée des systèmes d’information » (ANSSI-PA-022, version 3.0 du 11/05/2021, toujours en vigueur) propose 71 recommandations. L’ANSSI conseille de s’en servir comme grille : pour chacune, indiquer si elle est respectée, partiellement respectée ou non respectée, puis en tirer un plan d’actions adapté au contexte.
J’ai appliqué cette démarche à l’administration d’une infrastructure auto-hébergée : serveurs Linux, stockage réseau, routeur, point d’accès et réseau privé d’administration, gérés par un seul administrateur. Les recommandations pensées pour une organisation (prestataires tiers, qualification PAMS, annuaire centralisé, VPN IPsec qualifié) ne s’appliquent pas telles quelles ; elles sont remplacées par leur équivalent à cette échelle ou écartées.
Cette page présente les mesures en place, domaine par domaine. Les écarts relevés sont suivis dans un plan d’actions et traités par priorité ; ils ne sont volontairement pas détaillés ici, car publier les points faibles d’une infrastructure réelle aiderait un attaquant plus qu’un lecteur.
Source : ANSSI, guide ANSSI-PA-022 v3.0 (11/05/2021), réutilisé sous Licence Ouverte v2.0 (Etalab). L’évaluation et les mesures décrites sont les miennes.
Fonctionnalités & points techniques
- ▹R1 à R3 — Organisation : veille technique continue, documentation officielle citée avant toute interprétation, document de référence unique daté à chaque étape.
- ▹R4, R5 — Zones de confiance : réseaux séparés selon l’usage, réseau privé dédié à l’administration.
- ▹R8 à R14 — Poste d’administration : système maintenu et mis à jour, secrets hors des documents de travail.
- ▹R15 à R21 — Réseau d’administration : administration par un réseau privé chiffré (WireGuard), filtrage local et par source sur chaque équipement.
- ▹R24 — Protocoles sécurisés : SSH par clé, HTTPS, aucun protocole d’administration en clair.
- ▹R27 à R31 — Comptes d’administration : comptes d’administration distincts des comptes d’usage sur les équipements qui le permettent.
- ▹R34, R35 — Mots de passe : coffre-fort, mots de passe propres à chaque équipement, secrets jamais affichés ni copiés dans la documentation.
- ▹R42 à R44 — Maintien en condition de sécurité : veille sur les avis CERT-FR, sondes planifiées, alertes temps réel, correctifs testés avant généralisation.
- ▹R45 — Sauvegarde : sauvegardes système et configurations sur plusieurs supports, exports réimportables vérifiés.
- ▹R46, R47 — Journalisation et détection : détection d’intrusion collaborative, blocage au pare-feu, alertes regroupées.
- ▹R48 à R51 — Nomadisme : administration à distance uniquement par le réseau privé chiffré.
- ▹R52 à R71 — Échanges sécurisés, tiers et assistance à distance : sans objet (un seul administrateur, aucun prestataire).
- ▹Écarts : identifiés recommandation par recommandation, suivis dans un plan d’actions et traités par priorité.
Architecture technique
Référentiel
ANSSI-PA-022 v3.0
71 recommandations, grille respectée / partielle / non respectée.
Documentation
Document de référence unique
État, sauvegardes, retours arrière et points ouverts, daté à chaque étape.
Accès
SSH par clé + Tailscale
Réseau privé chiffré, aucune interface d’administration exposée.
Filtrage
nftables + pare-feu des équipements
Services ouverts par source, tables indépendantes.
Détection
CrowdSec + sondes
Blocage au pare-feu, contrôles planifiés, alertes regroupées.
Changements
Retour arrière automatique
Sauvegarde, correctif ciblé, validation ; retour arrière annulé seulement si tout passe.
Technologies utilisées
LinuxSSHTailscaleWireGuardnftablesFirewallCrowdSecsystemdBashTelegram