Une adresse IP publique est scannée par des robots quelques minutes après sa mise en ligne — c'est mesurable dans les journaux de n'importe quel serveur neuf. Ce n'est pas une raison de s'inquiéter : c'est une raison de faire trois gestes simples, maintenant, pendant que le serveur est encore vide.
1. Activez le pare-feu (UFW)
UFW est le pare-feu simple d'Ubuntu. Il bloque tout ce qui n'est pas explicitement autorisé.
sudo ufw allow OpenSSH # 1) d'abord : garder l'accès SSH sudo ufw enable # 2) ensuite : activer sudo ufw status verbose # vérifier
Quand vous installerez un site web, vous ouvrirez le trafic web de la même façon :
sudo ufw allow 80/tcp # HTTP sudo ufw allow 443/tcp # HTTPS
2. Installez Fail2ban
Fail2ban lit les journaux et bannit temporairement les adresses qui multiplient les tentatives de connexion ratées. Deux commandes, zéro réglage nécessaire pour commencer :
sudo apt install -y fail2ban sudo systemctl enable --now fail2ban sudo fail2ban-client status sshd # voir les adresses bannies
3. Activez les mises à jour de sécurité automatiques
Les correctifs de sécurité d'Ubuntu s'installeront tout seuls, sans toucher au reste :
sudo apt install -y unattended-upgrades sudo dpkg-reconfigure --priority=low unattended-upgrades # répondre "Yes"
Ce qui est déjà fait pour vous
Sur les serveurs IGIS Cloud, la connexion par mot de passe est désactivée d'origine : seule votre clé SSH ouvre la porte. C'est la protection la plus efficace contre les attaques par force brute — ne réactivez jamais PasswordAuthentication dans la configuration SSH.
Garder un œil
last -a | head # les dernières connexions réussies et leur origine w # qui est connecté en ce moment sudo journalctl -u ssh --since today # le journal SSH du jour
Si vous voyez dans le journal des tentatives Invalid user venues d'adresses inconnues : c'est le bruit de fond d'Internet. Fail2ban s'en occupe, et sans mot de passe elles n'ont aucune chance.
Étape suivante : 4. Les commandes Linux essentielles au quotidien.
