Configuration et renforcement de la sécurité du serveur Linux

La sécurisation des serveurs de production n'est pas une tâche ponctuelle mais un processus systématique qui nécessite une couverture méthodique de chaque surface d'attaque. Nos trois serveurs VPS Ubuntu 22.04 hébergent des applications PHP, des bases de données MySQL et un service web Nginx — une pile LEMP standard, mais qui présente un risque significatif si elle n'est pas correctement durcie. Nous avons exploité ces serveurs avec des configurations de sécurité par défaut ou presque par défaut, et un examen interne a signalé que nous sommes exposés sur plusieurs fronts : SSH est accessible sur le port 22 avec authentification par mot de passe, les règles de pare-feu sont minimales, il n'y a pas de prévention d'intrusion automatisée, et les certificats SSL sont renouvelés manuellement.

Nous avons besoin d'un ingénieur DevOps avec une expérience avérée dans des environnements de production Linux pour effectuer un audit de sécurité approfondi et mettre en œuvre toutes les mesures de durcissement de manière documentée et réversible. Chaque changement doit être testé pour son impact sur les applications en cours d'exécution avant d'être appliqué à la production, et toutes les modifications doivent être documentées de manière exhaustive afin que notre équipe comprenne ce qui a été fait et pourquoi. L'engagement doit se conclure par un rapport de sécurité au format PDF résumant toutes les constatations, les actions entreprises et les risques résiduels, ainsi qu'une configuration de surveillance fonctionnelle qui nous alerte si la posture de sécurité change.

Portée des travaux :
— Durcissement SSH : authentification par clé uniquement, port personnalisé, restrictions de connexion, fail2ban
— Règles de pare-feu UFW/iptables avec ensemble de règles documenté
— Configuration de Fail2ban pour SSH, Nginx et PHP-FPM
— SSL Let's Encrypt avec renouvellement automatique des certificats
— Durcissement Nginx : en-têtes de sécurité, application de TLS 1.2+, HSTS, CSP
— Audit de sécurité MySQL et durcissement : privilèges utilisateur, bind-address, chiffrement au repos
— Logwatch et alertes par e-mail pour activité anormale
— Configuration de ClamAV antivirus et scanner de rootkit
— Surveillance de la santé basée sur Cron avec alertes de disponibilité

Livrables : tous les changements appliqués et documentés, rapport de sécurité PDF avec constatations, tableau de bord de surveillance (Netdata ou équivalent).