Surveiller les connexions suspectes sur un serveur Linux demande méthode et régularité pour être efficace. Une lecture ciblée des journaux et l’usage des bons outils réduisent significativement les risques d’accès non autorisés.
Les sections suivantes présentent les étapes pratiques, les commandes utiles et les automatismes recommandés pour détecter les intrusions. La synthèse qui suit facilite la mise en œuvre immédiate des contrôles et des réponses.
A retenir :
- Analyse régulière des fichiers de logs système et d’authentification
- Usage combiné d’outils réseau et de sniffers pour vérifier les sessions
- Automatisation des blocages et alertes par règles et scripts
- Vérifications périodiques avec outils anti-rootkit et diagnostics réseau
Lecture des logs système pour détecter les connexions suspectes sous Linux
Après le repérage des priorités, il convient d’examiner en profondeur les journaux système, pour retracer les accès et erreurs. Une analyse méthodique des fichiers comme /var/log/auth.log ou du journal systemd apporte des indices décisifs sur les attaques.
Utiliser journalctl et les fichiers traditionnels pour l’analyse
Ce paragraphe montre comment l’accès centralisé aide le diagnostic et la corrélation des événements. Selon la documentation systemd, journalctl facilite le filtrage par priorité et par unité système pour isoler les anomalies.
Un tableau récapitulatif aide à repérer rapidement quel fichier lire selon le besoin et la distribution. Les administrateurs gagneront du temps en combinant journalctl et l’inspection de fichiers classiques.
Chemin
Usage principal
Distribution typique
/var/log/syslog
Événements système généraux et messages applicatifs
Debian/Ubuntu
/var/log/messages
Logs système globaux et périphériques
CentOS/RHEL
/var/log/auth.log
Authentifications, tentatives SSH, échecs
Debian/Ubuntu
/var/log/secure
Authentifications et politiques de sécurité
CentOS/RHEL
/var/log/btmp
Échecs de connexion consignés
Toutes
Fichiers analysés :
- Consultation ciblée des logs système
- Filtrage par dates et par processus
- Extraction des échecs d’authentification
Pour lire les erreurs de démarrage, journalctl -b fournit l’historique complet depuis le dernier boot. Cette inspection prépare le passage aux outils réseau pour localiser les sessions suspectes.
« J’ai repéré une dizaine de tentatives de brute force en observant /var/log/auth.log une fois par jour. »
Alice D.
Outils réseau essentiels pour repérer des connexions anormales
Après l’examen des journaux, l’analyse réseau permet de confirmer l’origine et la nature des connexions suspectes. Les utilitaires en ligne de commande offrent une visibilité immédiate sur les sockets actifs et les processus associés.
Commandes de base : netstat, ss, lsof, iftop, iptraf
Cette partie détaille l’usage combiné de ces commandes pour établir l’inventaire des connexions en cours. Selon les manuels officiels, ss remplace efficacement netstat pour la plupart des vérifications en 2025.
Le tableau ci-dessous compare ces outils selon leur objectif et un exemple d’usage simple, pour faciliter le choix opérationnel sur le terrain. L’emploi conjoint augmente la précision du diagnostic.
Outil
But
Exemple d’utilisation
netstat
Inventaire des connexions et ports ouverts
netstat -tulpn pour sockets et PID
ss
Affichage précis des sockets réseau
ss -tunap pour lister sockets et processus
lsof
Fichiers ouverts et ports par processus
lsof -iTCP -sTCP:LISTEN
iftop
Suivi de la bande passante en temps réel
iftop -i eth0 pour trafic interface
iptraf
Moniteur interactif de trafic et sessions
iptraf-ng pour statistiques par hôte
Outils réseau recommandés :
- Combinaison ss et lsof pour lier connexions et processus
- Mesure temporaire du trafic avec iftop
- Inspection interactive rapide avec iptraf
Ensuite, pour capturer et analyser le trafic, on passe à des sniffers et scanners plus puissants afin d’identifier paquets et services exposés. Cette phase prépare l’usage de tcpdump et Wireshark.
« L’utilisation conjointe de ss et lsof m’a permis d’isoler un binaire suspect lié à une connexion externe. »
Marc L.
Analyse approfondie : tcpdump, Wireshark et Nmap
Ce paragraphe explique comment capturer paquets et analyser sessions pour confirmer une intrusion ou faux positif. Selon les pages man de tcpdump, le filtrage BPF réduit significativement le volume des captures nécessaires.
Nmap complète le diagnostic en cartographiant ports et services actifs, utile pour vérifier des impressions issues des logs et des captures. L’enchaînement capture puis scan affine la réponse opérationnelle.
Règles d’analyse réseau :
- Capturer sur l’interface la plus pertinente
- Filtrer par IP ou port suspect
- Analyser les paquets suspects avec Wireshark
« Une capture ciblée a révélé un protocole non documenté vers une IP externe inconnue. »
Sébastien R.
Automatisation et réponse : Fail2Ban, scripts et vérifications anti-rootkit
Après la détection manuelle et l’analyse réseau, il faut automatiser le blocage et l’alerte pour réduire l’exposition. Fail2Ban permet de bannir automatiquement des adresses qui génèrent des échecs d’authentification répétés.
Configurer Fail2Ban et scripts d’alerte simples
Cette section décrit les étapes pour activer Fail2Ban pour SSH et envoyer notifications par mail ou webhook. Selon la documentation Fail2Ban, la définition de jail.local permet d’ajuster le temps de blocage et le chemin de log.
Un script Bash qui surveille les lignes « Failed password » peut compléter Fail2Ban en générant des rapports horaires et des alertes. Cette double couche aide à détecter des patterns non bloqués automatiquement.
Automatisation recommandée :
- Activer Fail2Ban pour SSH et services critiques
- Planifier scripts d’alerte via cron
- Archiver les logs et chiffrer les archives
« Après avoir déployé Fail2Ban, les tentatives répétées ont chuté significativement sur notre serveur de production. »
Laura M.
Vérifications post-intrusion et chkrootkit
Pour conclure la phase opérationnelle, il faut exécuter des scans anti-rootkit et revues d’intégrité des binaires pour détecter toute compromission persistante. chkrootkit et outils d’intégrité des fichiers aident à limiter les risques d’accès rémanents.
Les contrôles périodiques associés à une stratégie de rotation et d’archivage des logs garantissent un historique exploitable en cas d’enquête. Ce travail prépare les audits ultérieurs et améliore la résilience système.
Post-intrusion priorités :
- Lancer chkrootkit et scanners d’intégrité
- Analyser fichiers de configuration modifiés
- Réinitialiser clés et mots de passe compromis
