Lab : reprendre en main les serveurs de Signalements

#!/usr/bin/env python3
"""Signalements, version de laboratoire : répond à GET /sante."""
import json
import os
from http.server import BaseHTTPRequestHandler, HTTPServer


class Gestionnaire(BaseHTTPRequestHandler):
    def do_GET(self):
        if self.path == "/sante":
            code, corps = 200, {"etat": "ok", "version": os.environ.get("APP_VERSION", "inconnue")}
        else:
            code, corps = 404, {"erreur": "introuvable"}
        donnees = json.dumps(corps).encode()
        self.send_response(code)
        self.send_header("Content-Type", "application/json")
        self.send_header("Content-Length", str(len(donnees)))
        self.end_headers()
        self.wfile.write(donnees)


adresse = os.environ.get("SIGNALEMENTS_ADRESSE", "127.0.0.1")
HTTPServer((adresse, 8000), Gestionnaire).serve_forever()

"""Signalements, version de laboratoire : export CSV quotidien pour la mairie."""
import argparse
import csv
import datetime
import os
import tempfile


def main():
    parametres = argparse.ArgumentParser()
    parametres.add_argument("--sortie", default="/srv/donnees/exports")
    sortie = parametres.parse_args().sortie
    jour = datetime.date.today().isoformat()
    final = os.path.join(sortie, f"signalements-{jour}.csv")
    # Écrire à côté puis renommer : une relance remplace le fichier, la mairie ne lit jamais un fichier partiel.
    fd, provisoire = tempfile.mkstemp(dir=sortie, prefix=".export-", suffix=".tmp")
    with os.fdopen(fd, "w", newline="") as fichier:
        ecrivain = csv.writer(fichier)
        ecrivain.writerow(["id", "type", "commune", "date"])
        ecrivain.writerow([1, "nid-de-poule", os.environ.get("EXPORT_COMMUNE", "inconnue"), jour])
    os.chmod(provisoire, 0o640)
    os.replace(provisoire, final)
    print(f"export écrit : {final}")


if __name__ == "__main__":
    main()

#!/usr/bin/env bash
# Vérifie les propriétés attendues du lab « reprendre en main les serveurs de Signalements ».
# Usage : sudo bash verifier-lab.sh   (sur sig-app-1, puis sur sig-outils, qui exige jq)
# Rôle déduit de /etc/os-release : Ubuntu = sig-app-1, Debian = sig-outils.
# Chaque contrôle affiche OK ou ÉCHEC ; le code de sortie est le nombre d'échecs.
set -uo pipefail
export LC_ALL=C.UTF-8
echecs=0

controle() {   # controle "libellé" commande...
  local libelle=$1; shift
  if "$@" > /dev/null 2>&1; then
    echo "OK     $libelle"
  else
    echo "ÉCHEC  $libelle"
    echecs=$((echecs + 1))
  fi
}

droits()     { [ "$(stat -c '%a %U:%G' "$1")" = "$2" ]; }              # chemin "mode proprio:groupe"
propriete()  { [ "$(systemctl show -p "$2" --value "$1")" = "$3" ]; }  # unité propriété valeur
noyau()      { [ "$(sysctl -n "$1")" = "$2" ]; }                       # clé valeur
paquet()     { dpkg-query -W -f='${Status}' "$1" 2>/dev/null | grep -q 'install ok installed'; }
sshd_vaut()  { sshd -T 2>/dev/null | grep -qx "$1"; }                  # "mot-clé valeur" effectif
module_interdit() { modprobe -n -v "$1" 2>&1 | grep -q 'install /bin/false'; }

# --- Contrôles communs aux deux machines ---
preauth_avant_unix() {
  awk '/pam_faillock\.so[[:space:]]+preauth/ {p = NR} /pam_unix\.so/ && !u {u = NR}
       END {exit !(p && u && p < u)}' /etc/pam.d/common-auth
}
faillock_regle() { grep -Eq "^[[:space:]]*$1[[:space:]]*(=[[:space:]]*$2)?[[:space:]]*$" /etc/security/faillock.conf; }
aucun_mot_de_passe_vide() { [ -z "$(awk -F: '$2 == ""' /etc/shadow)" ]; }
rp_filter_strict() {
  local f
  for f in /proc/sys/net/ipv4/conf/*/rp_filter; do [ "$(cat "$f")" = 1 ] || return 1; done
}
journal_persistant() {
  local conf
  conf=$(systemd-analyze cat-config systemd/journald.conf) || return 1
  [ -d "/var/log/journal/$(cat /etc/machine-id)" ] &&
    grep -qx 'Storage=persistent' <<< "$conf" && grep -q '^MaxRetentionSec=' <<< "$conf"
}
retour_arriere_trace() {   # un minuteur retour-pare-feu a existé et n'est plus actif
  journalctl -q --no-pager -u retour-pare-feu.timer | grep -q . &&
    ! systemctl is-active --quiet retour-pare-feu.timer
}
cles_audit() {
  local regles cle
  regles=$(auditctl -l) || return 1
  for cle in identite sudoers sshd audit-conf module-load heure root-cmd; do
    grep -Eq -- "(-k |key=)$cle( |$)" <<< "$regles" || return 1
  done
}
audit_aucune_perte() { auditctl -s | awk '$1 == "lost" {found = 1; ok = ($2 == 0)} END {exit !(found && ok)}'; }
exposition_ok() { systemd-analyze security --no-pager --threshold=50 "$1"; }   # note <= 5,0
aucune_capacite() { [ -z "$(systemctl show -p CapabilityBoundingSet --value "$1")" ]; }

[ "$(id -u)" -eq 0 ] || { echo "Lancez ce script avec sudo." >&2; exit 1; }
. /etc/os-release
case "$ID" in
  ubuntu) role=app;    moi=172.16.8.11; pair=172.16.8.20; nom_pair=sig-outils.pn-signalements.internal; confine=signalements.service ;;
  debian) role=outils; moi=172.16.8.20; pair=172.16.8.11; nom_pair=sig-app-1.pn-signalements.internal; confine=signalements-export.service ;;
  *) echo "Distribution non prévue par le lab : $ID" >&2; exit 1 ;;
esac
echo "Machine : $PRETTY_NAME, rôle $role"

controle "etckeeper versionne /etc" bash -c "$(declare -f paquet); paquet etckeeper && test -d /etc/.git"
controle "le fuseau est UTC" bash -c 't=$(timedatectl show -p Timezone --value); [ "$t" = Etc/UTC ] || [ "$t" = UTC ]'
controle "la machine ne route pas (ip_forward = 0)" noyau net.ipv4.ip_forward 0

controle "adresse privée $moi/22 présente" bash -c 'ip -o -4 addr show | grep -q "inet $1/22 "' _ "$moi"
controle "la machine paire $pair répond" ping -c 2 -W 2 -q "$pair"
controle "$nom_pair se résout en $pair" bash -c '[ "$(getent ahostsv4 "$1" | awk "NR == 1 {print \$1}")" = "$2" ]' _ "$nom_pair" "$pair"

controle "sysctl : kptr_restrict = 2" noyau kernel.kptr_restrict 2
controle "sysctl : yama.ptrace_scope = 2" noyau kernel.yama.ptrace_scope 2
controle "sysctl : unprivileged_bpf_disabled = 1" noyau kernel.unprivileged_bpf_disabled 1
controle "sysctl : suid_dumpable = 0" noyau fs.suid_dumpable 0
controle "sysctl : protected_symlinks et protected_hardlinks = 1" bash -c '[ "$(sysctl -n fs.protected_symlinks fs.protected_hardlinks | sort -u)" = 1 ]'
controle "sysctl : protected_regular et protected_fifos = 2" bash -c '[ "$(sysctl -n fs.protected_regular fs.protected_fifos | sort -u)" = 2 ]'
controle "sysctl : rp_filter = 1 sur toutes les interfaces" rp_filter_strict
controle "sysctl : redirections ICMP refusées (all et default, IPv4 et IPv6)" bash -c '[ "$(sysctl -n net.ipv4.conf.all.accept_redirects net.ipv4.conf.default.accept_redirects net.ipv6.conf.all.accept_redirects net.ipv6.conf.default.accept_redirects | sort -u)" = 0 ]'
controle "60-durcissement.conf est lu au démarrage" bash -c 'systemd-analyze cat-config sysctl.d | grep -qx "# /etc/sysctl.d/60-durcissement.conf"'

controle "chrony actif, systemd-timesyncd arrêté" bash -c 'systemctl is-active --quiet chrony && ! systemctl is-active --quiet systemd-timesyncd'
controle "horloge synchronisée selon timedatectl" bash -c '[ "$(timedatectl show -p NTPSynchronized --value)" = yes ]'
controle "chrony : Leap status Normal" bash -c 'chronyc tracking | grep -Eq "^Leap status +: Normal$"'

controle "journal persistant et borné dans le temps" journal_persistant
controle "le journal contient le démarrage précédent" journalctl -b -1 -n 1 -q --no-pager

controle "pam_faillock preauth avant pam_unix" preauth_avant_unix
controle "pam_faillock authfail dans common-auth" grep -Eq 'pam_faillock\.so[[:space:]]+authfail' /etc/pam.d/common-auth
controle "pam_faillock dans la pile account" grep -Eq '^account[[:space:]]+required[[:space:]]+pam_faillock\.so' /etc/pam.d/common-account
controle "faillock.conf : deny = 5, unlock_time = 900, silent" bash -c "$(declare -f faillock_regle); faillock_regle deny 5 && faillock_regle unlock_time 900 && faillock_regle silent"
controle "aucun mot de passe vide dans /etc/shadow" aucun_mot_de_passe_vide

controle "SSH : root refusé" sshd_vaut 'permitrootlogin no'
controle "SSH : pas de mot de passe" sshd_vaut 'passwordauthentication no'
controle "SSH : pas de clavier interactif" sshd_vaut 'kbdinteractiveauthentication no'
controle "SSH : AllowGroups acces-ssh" sshd_vaut 'allowgroups acces-ssh'
controle "SSH : MaxAuthTries 3" sshd_vaut 'maxauthtries 3'
controle "SSH : bannière /etc/issue.net sans nom de distribution" bash -c 'sshd -T | grep -qx "banner /etc/issue.net" && ! grep -Eqi "ubuntu|debian" /etc/issue.net'
controle "modules dccp et sctp interdits" bash -c "$(declare -f module_interdit); module_interdit dccp && module_interdit sctp"

controle "$confine : NoNewPrivileges=yes" propriete "$confine" NoNewPrivileges yes
controle "$confine : ProtectSystem=strict" propriete "$confine" ProtectSystem strict
controle "$confine : aucune capacité" aucune_capacite "$confine"
controle "$confine : exposition <= 5,0 (systemd-analyze security)" exposition_ok "$confine"

controle "pare-feu : minuteur de retour arrière utilisé puis arrêté" retour_arriere_trace

controle "auditd actif" systemctl is-active --quiet auditd
controle "audit=1 sur la ligne de commande du noyau" grep -qw 'audit=1' /proc/cmdline
controle "audit : configuration verrouillée (enabled 2)" bash -c 'auditctl -s | grep -qx "enabled 2"'
controle "audit : loginuid immuable" bash -c 'auditctl -s | grep -q "^loginuid_immutable 1"'
controle "audit : aucun enregistrement perdu" audit_aucune_perte
controle "audit : règles de la leçon 15 chargées" cles_audit

controle "AIDE : base de référence présente" test -s /var/lib/aide/aide.db
controle "AIDE : fragment 90_aide_signalements" test -f /etc/aide/aide.conf.d/90_aide_signalements
controle "AIDE : configuration valide" aide --config /etc/aide/aide.conf --config-check
controle "AIDE : vérification quotidienne activée" systemctl is-enabled --quiet dailyaidecheck.timer

if [ "$role" = app ]; then
  # --- sig-app-1 (Ubuntu 24.04) ---
  ecoute_privee_seule() { [ "$(ss -Hltn 'sport = :8000' | awk '{print $4}' | sort -u)" = "172.16.8.11:8000" ]; }
  processus_confine() {
    local pid; pid=$(systemctl show -p MainPID --value signalements)
    [ "$pid" -gt 0 ] && grep -Eq '^NoNewPrivs:[[:space:]]+1$' "/proc/$pid/status" &&
      grep -Eq '^Seccomp:[[:space:]]+2$' "/proc/$pid/status"
  }
  chrony_suit_outils() { chronyc -c -n sources | awk -F, '$3 == "172.16.8.20" && $2 ~ /[*+]/ {ok = 1} END {exit !ok}'; }
  rsyslog_conf() { grep -rqsF -- "$1" /etc/rsyslog.d/; }
  etat_ufw=$(ufw status verbose 2>/dev/null)

  controle "signalements.service actif et activé" bash -c 'systemctl is-active --quiet signalements && systemctl is-enabled --quiet signalements'
  controle "signalements.service tourne sous signalements" propriete signalements.service User signalements
  controle "le processus a no_new_privs et un filtre seccomp" processus_confine
  controle "GET /sante répond 200" curl -fsS -m 5 -o /dev/null http://172.16.8.11:8000/sante
  controle "le port 8000 n'écoute que sur 172.16.8.11" ecoute_privee_seule
  controle "fichiers netplan lisibles par root seul" bash -c '[ -z "$(find /etc/netplan -name "*.yaml" -perm /077)" ]'

  controle "ufw actif et activé au démarrage" bash -c 'grep -qx "Status: active" <<< "$1" && grep -q "^ENABLED=yes" /etc/ufw/ufw.conf' _ "$etat_ufw"
  controle "ufw : refus par défaut en entrée" bash -c 'grep -q "^Default: deny (incoming)" <<< "$1"' _ "$etat_ufw"
  controle "ufw : SSH limité au réseau privé" bash -c 'grep -Eq "^22/tcp +LIMIT IN +172\.16\.8\.0/22" <<< "$1" && ! grep -Eq "^22(/tcp)? .*Anywhere" <<< "$1"' _ "$etat_ufw"
  controle "ufw : port 8000 ouvert au seul réseau privé" bash -c 'grep -Eq "^8000/tcp +ALLOW IN +172\.16\.8\.0/22" <<< "$1" && ! grep -Eq "^8000(/tcp)? .*Anywhere" <<< "$1"' _ "$etat_ufw"

  controle "chrony suit sig-outils (source retenue ou combinée)" chrony_suit_outils

  controle "rsyslog actif, rsyslog-gnutls installé" bash -c "$(declare -f paquet); systemctl is-active --quiet rsyslog && paquet rsyslog-gnutls"
  controle "rsyslog : configuration valide" rsyslogd -N1
  controle "rsyslog : TLS imposé (StreamDriverMode=\"1\")" rsyslog_conf 'StreamDriverMode="1"'
  controle "rsyslog : authentification x509/name" rsyslog_conf 'StreamDriverAuthMode="x509/name"'
  controle "rsyslog : framing par comptage d'octets" rsyslog_conf 'TCP_Framing="octet-counted"'
  controle "rsyslog : file d'attente sur disque" rsyslog_conf 'queue.filename='
  controle "rsyslog : clé privée non lisible par tous" bash -c '[ -z "$(find /etc/rsyslog.d/tls -name "*.key" -perm /o+r)" ] && ls /etc/rsyslog.d/tls/*.key'
  controle "connexion établie vers 172.16.8.20:6514" bash -c 'ss -Htn state established "( dport = :6514 )" | grep -q "172\.16\.8\.20:6514"'
else
  # --- sig-outils (Debian 13) ---
  command -v jq > /dev/null || { echo "Installez jq sur sig-outils." >&2; exit 1; }
  fstab_uuid_nofail() {
    findmnt --fstab -n -o SOURCE /srv/donnees | grep -q '^UUID=' &&
      findmnt --fstab -n -o OPTIONS /srv/donnees | tr ',' '\n' | grep -qx nofail
  }
  options_montage() {
    local o x; o=$(findmnt -n -o OPTIONS /srv/donnees) || return 1
    for x in nosuid nodev noexec; do tr ',' '\n' <<< "$o" | grep -qx "$x" || return 1; done
  }
  volume_distinct() { mountpoint -q /srv/donnees && [ "$(findmnt -n -o SOURCE /srv/donnees)" != "$(findmnt -n -o SOURCE /)" ]; }
  limites_memoire() {
    local u=signalements-export.service high max
    high=$(systemctl show -p MemoryHigh --value $u); max=$(systemctl show -p MemoryMax --value $u)
    [[ $high =~ ^[0-9]+$ && $max =~ ^[0-9]+$ ]] && [ "$high" -lt "$max" ]
  }
  limites_cpu_taches() {
    local u=signalements-export.service cpu tasks
    cpu=$(systemctl show -p CPUWeight --value $u); tasks=$(systemctl show -p TasksMax --value $u)
    [[ $cpu =~ ^[0-9]+$ && $tasks =~ ^[0-9]+$ ]] && [ "$cpu" -lt 100 ] && [ "$tasks" -le 256 ]
  }
  regle_restreinte() {   # port motif : chaque règle de la chaîne entree sur ce port contient le motif
    local lignes
    lignes=$(nft list chain inet filtre entree | grep -E "dport $1( |$)") || return 1
    ! grep -vqF -- "$2" <<< "$lignes"
  }
  client_ntp_vu() { chronyc -n clients | awk '$1 == "172.16.8.11" {ok = 1} END {exit !ok}'; }
  ecoute_6514() { [ "$(ss -Hltn 'sport = :6514' | awk '{print $4}' | sort -u)" = "172.16.8.20:6514" ]; }
  rsyslog_conf() { grep -rqsF -- "$1" /etc/rsyslog.d/; }
  derniere_sauvegarde_recente() {
    local t
    t=$( (set -a; . /etc/restic/sig-outils.env; set +a
          restic --no-lock snapshots --tag fichiers --latest 1 --json) | jq -r 'map(.time) | max // empty') || return 1
    [ -n "$t" ] && [ $(( $(date +%s) - $(date -d "$t" +%s) )) -lt $((26 * 3600)) ]
  }
  restauration_testee() { [ -d /root/restauration/etc/signalements ] && diff -rq /root/restauration/etc/signalements /etc/signalements; }

  controle "/srv/donnees est un volume distinct de la racine" volume_distinct
  controle "fstab : /srv/donnees par UUID, avec nofail" fstab_uuid_nofail
  controle "/srv/donnees monté en nosuid, nodev, noexec" options_montage
  controle "findmnt --verify sans erreur" findmnt --verify
  controle "/srv/donnees/exports : 750 signalements:signalements" droits /srv/donnees/exports "750 signalements:signalements"
  controle "/srv/donnees/pieces-jointes : 750 signalements:signalements" droits /srv/donnees/pieces-jointes "750 signalements:signalements"
  controle "/srv/donnees/journaux : 750, propriétaire root" bash -c '[ "$(stat -c "%a %U" /srv/donnees/journaux)" = "750 root" ]'

  controle "nftables activé au démarrage" systemctl is-enabled --quiet nftables
  controle "nft : chaîne entree en politique drop" bash -c 'nft list chain inet filtre entree | grep -q "policy drop;"'
  controle "nft : SSH seulement depuis des sources nommées" regle_restreinte 22 saddr
  controle "nft : port 6514 réservé à sig-app-1" regle_restreinte 6514 172.16.8.11
  controle "nft : NTP (UDP 123) réservé à sig-app-1" regle_restreinte 123 172.16.8.11
  controle "l'API de sig-app-1 répond depuis sig-outils" curl -fsS -m 5 -o /dev/null http://172.16.8.11:8000/sante

  controle "chrony sert le réseau privé (allow 172.16.8.0/22)" grep -rqsx 'allow 172.16.8.0/22' /etc/chrony/
  controle "chrony : sig-app-1 figure parmi les clients" client_ntp_vu

  controle "signalements-export.timer actif et activé" bash -c 'systemctl is-active --quiet signalements-export.timer && systemctl is-enabled --quiet signalements-export.timer'
  controle "le minuteur rattrape les échéances manquées (Persistent)" propriete signalements-export.timer Persistent yes
  controle "le minuteur a un déclencheur calendaire" bash -c 'systemctl show -p TimersCalendar --value signalements-export.timer | grep -q "OnCalendar="'
  controle "le service d'export est oneshot" propriete signalements-export.service Type oneshot
  controle "le service d'export tourne sous signalements" propriete signalements-export.service User signalements
  controle "le service d'export a une durée bornée" bash -c '[ "$(systemctl show -p TimeoutStartUSec --value signalements-export.service)" != infinity ]'
  controle "le service d'export prévient en cas d'échec" bash -c 'systemctl show -p OnFailure --value signalements-export.service | grep -q "notifier-echec@"'
  controle "le service d'export exige /srv/donnees" bash -c 'systemctl show -p RequiresMountsFor --value signalements-export.service | grep -qw /srv/donnees'
  controle "la dernière exécution de l'export a réussi" propriete signalements-export.service Result success
  controle "un CSV est présent dans /srv/donnees/exports" bash -c 'find /srv/donnees/exports -maxdepth 1 -type f -name "signalements-*.csv" | grep -q .'
  controle "export : MemoryHigh sous MemoryMax" limites_memoire
  controle "export : CPUWeight < 100 et TasksMax <= 256" limites_cpu_taches

  controle "rsyslog actif, rsyslog-gnutls installé" bash -c "$(declare -f paquet); systemctl is-active --quiet rsyslog && paquet rsyslog-gnutls"
  controle "rsyslog : configuration valide" rsyslogd -N1
  controle "rsyslog : écoute 6514 sur 172.16.8.20 seulement" ecoute_6514
  controle "rsyslog : émetteurs authentifiés (x509/name)" rsyslog_conf 'StreamDriver.AuthMode="x509/name"'
  controle "rsyslog : sig-app-1 dans PermittedPeer" rsyslog_conf '"sig-app-1.pn-signalements.internal"'
  controle "rsyslog : clé privée non lisible par le groupe ni par tous" bash -c '[ -z "$(find /etc/rsyslog.d/tls -name "*.key" -perm /077)" ] && ls /etc/rsyslog.d/tls/*.key'
  controle "le message lab-verif de sig-app-1 est arrivé" bash -c 'grep -qsF lab-verif /srv/donnees/journaux/*/syslog.log'
  controle "logrotate : règle journaux-distants valide" logrotate -d /etc/logrotate.d/journaux-distants

  controle "restic : secrets en 0600 root:root" bash -c "$(declare -f droits); droits /etc/restic/sig-outils.env '600 root:root' && droits /etc/restic/sig-outils.motdepasse '600 root:root'"
  controle "restic : dépôt dans sig-sauvegardes/sig-outils" grep -q '^RESTIC_REPOSITORY=s3:https://s3.fr-par.scw.cloud/sig-sauvegardes/sig-outils' /etc/restic/sig-outils.env
  controle "restic : instantané « fichiers » de moins de 26 h" derniere_sauvegarde_recente
  controle "sig-sauvegarde.timer activé, Persistent" bash -c 'systemctl is-enabled --quiet sig-sauvegarde.timer && [ "$(systemctl show -p Persistent --value sig-sauvegarde.timer)" = yes ]'
  controle "sig-sauvegarde.service oneshot, avec OnFailure" bash -c '[ "$(systemctl show -p Type --value sig-sauvegarde.service)" = oneshot ] && systemctl show -p OnFailure --value sig-sauvegarde.service | grep -q .'
  controle "restauration testée : /etc/signalements identique" restauration_testee
fi

echo
echo "$echecs échec(s)"
exit "$echecs"