Merci de vos points de vue.
Veuillez pardonner mon ignorance, je ne sais pas ce qu'est une "SeedBox".
Pour ma part, je suis en train de tester un serveur dédié possédant un Xeon E3-1220v5, serveur qui a pour objectif, si les tests sont concluant, de motoriser les sites de eCommerce de mon entreprise.
jean-luc : Tes arguments sont intéressants, et je ne connaissais pas ce que tu écris, car je n'ai JAMAIS été Admin, ni Root avant aujourd'hui :
jean-luc tous les ports sous linux sont fermés par défaut et ce sans règles iptables, sauf ceux qui ont un service derrière, et comme ceux là t'es de toute façon obligé de les laisser ouverts pour pouvoir utiliser tes services....
En fait, en tant que wsebmaster d'un site "PCI DSS compliant", le service certificateur t'oblige de fermer certains ports, comme par exemple les ports 111, 161, 543, 544, 2105 et 3306. J'imagine que cette mesure est destinée à contrecarrer des tentatives d'intrusion sur le serveur. Il est bien à noter que l'on nous ne demande PAS un mot de passe solide, mais bien de verrouiller le port. Si l'on ne ferme pas le port, la certification n'est pas validée.
https://fr.pcisecuritystandards.org/minisite/en/
Donc, toujours dans cette optique du PCI DSS, il est nécessaire d'avoir a minima un firewall PLUS un WAF (Web Application Firewall) afin de contrer les 10.000 tentatives d'intrusions du robot du service de conformité PCI DSS pour obtenir le fameux certificat.
Le WAF étant là pour pallier les éventuels trous de sécurité de l'application de eCommerce, et/ou du Kernel, et/ou de je ne sais quoi d'autres.
Enfin, je tiens à vous dire que depuis que j'ai redirigé le port SSH, j'ai nettement moins de monde à la porte 😉
Trouver des IP venant de la jungle Amazonienne, d'une ville au nom imprononçable, très peu pour moi, bien que j'utilise des mots de passe niveau paranoïaque en phase terminale, je préfère garder mes mesures de sécurité présentes.
Donc, avant la redirection, j'avais des milliers d'IP chaque jour dans mes logs Fail2Ban, et depuis 24 heures que je viens de faire la redirection, j'en ai seulement une petite dizaine. Voilà pourquoi j'aimerai savoir s'il est possible d'interdire le Scan de ports.
Merci de votre précieuse aide !
