#Securite
Veille des connexions, et le WAF à nouveau
Une alerte quand des tentatives de connexion viennent d'une adresse jamais vue réussir, sans bruit avec la 5G ; des tableaux corrigés ; et une nuit où le WAF a été tué 139 fois.
Audit de sécurité, mises à jour du parc et e-mails
Un audit en boîte noire et en boîte grise, des mises à jour programmables pour tout le parc avec une veille des failles, des journaux consultables et des e-mails qui passent enfin les filtres.
ADR 0021 : Détection et prévention des intrusions en couches légères
Suricata sur le pare-feu, CrowdSec partagé par toutes les machines avec blocage au pare-feu, règles de détection sur les journaux centralisés ; pas de SIEM lourd.
ADR 0022 : Autorité de certification interne et TLS vérifié sur les flux internes
Une autorité interne (racine hors ligne, intermédiaire sur le pare-feu) pour chiffrer et authentifier chaque flux entre machines, et rendre inopérante une usurpation DNS ou ARP.
ADR 0023 : Mises à jour du parc et veille de sécurité
Chaque machine publie son état de mise à jour, une veille nocturne compare versions et failles connues, et la maintenance se lance en deux clics dans Semaphore (annonce, puis mise à jour programmée).
Post-mortem : toute la maison bannie par le WAF
Des tests d'intrusion lancés depuis le réseau de la maison ont fait bannir son adresse publique ; toute la famille a reçu des 403 sur le portail d'authentification.
ADR 0018 : Un groupe par service, droits d'administration et quotas dérivés de l'annuaire
L'accès à chaque service se donne en ajoutant quelqu'un à un groupe ; les droits d'administration des applications suivent le groupe des administrateurs ; les quotas se règlent depuis la page des comptes.
ADR 0019 : Sauvegardes hors site chiffrées, ciblées sur ce qui est irremplaçable
Chaque nuit, exports des VM, photos et fichiers partent chiffrés vers un stockage distant de 1 To ; ce qui peut être recopié depuis sa source n'en fait pas partie.
ADR 0020 : Journaux centralisés avec VictoriaLogs, collecte sans agent
Les journaux de toutes les machines arrivent dans VictoriaLogs sur la VM de supervision, par les mécanismes déjà présents (journald, syslog), consultables dans Grafana.
ADR 0015 : Semaphore UI pour lancer Ansible depuis le homelab
Une interface web interne, protégée par le SSO, lance les playbooks versionnés ; ses accès sont limités et vérifiés.
ADR 0016 : Un coffre à secrets OpenBao, à côté de SOPS
Les secrets passent dans un coffre OpenBao (connexion SSO, accès par identité, audit) ; SOPS reste le magasin de démarrage.
ADR 0017 : Inviter sans transmettre de mot de passe, depuis une page des comptes
Les comptes sont créés sans mot de passe et la personne choisit le sien par un lien à usage unique ; une page d'administration, derrière le VPN et le SSO, remplace la ligne de commande.