SSH : 37 contrôles de durcissement Linux

Pavois audite 37 contrôles de durcissement du domaine SSH, sur 9 systèmes Linux et 5 normes (CIS, ANSSI BP-028, NIST 800-53, PCI DSS, DISA STIG). Chaque contrôle déclare la preuve qu'il collecte, sa sévérité, sa remédiation et ses références de norme.

Le domaine en chiffres

Contrôles	37
Sévérités	critique 2moyenne 33faible 2
Preuves collectées	runtime effectif 37
Normes	CISANSSI BP-028NIST 800-53PCI DSSDISA STIG
Systèmes	Debian 12Debian 13FedoraRHEL 10 / Rocky 10 / AlmaLinux 10RHEL 8 / Rocky 8 / AlmaLinux 8RHEL 9 / Rocky 9 / AlmaLinux 9Ubuntu 22.04Ubuntu 24.04Ubuntu 26.04
Profondeur de couverture	en profondeur

Que vérifie Pavois dans ce domaine ?

runtime effectif 37: Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.

Quelles normes ce domaine couvre-t-il ?

Un même contrôle de configuration effective sert de preuve pour plusieurs normes à la fois. Les références ci-dessous sont celles que porte réellement le corpus, jamais une équivalence revendiquée. comment lire un mapping de norme.

CIS: 2.2.6, 2.2.7, 5.1.5, 5.1.6, 5.1.7, 5.1.8, 5.1.9, 5.1.10, 5.1.11, 5.1.12, 5.1.13, 5.1.14, 5.1.15, 5.1.16, 5.1.17, 5.1.18, 5.1.19, 5.1.20, 5.1.21, 5.1.22, 5.1.23, 5.1.24, 8.2.8
ANSSI BP-028: R33
NIST 800-53: 3.1.1, 3.1.9, 3.1.11, 3.1.12, AC-2(5), AC-6(2), AC-8(a), AC-8(c), AC-12, AC-17 (2), AC-17(1), AC-17(2), AC-17(a), CM-6(a), CM-7(a), CM-7(b), IA-2, IA-2(5), SC-10
PCI DSS: 2.2.6, 2.2.7, 8.2.8
DISA STIG: UBTU-22-255020, UBTU-22-255025, UBTU-22-255030, UBTU-22-255035, UBTU-22-255050, UBTU-22-255055, UBTU-22-255060, UBTU-22-255065, UBTU-22-612020, UBTU-24-100830, UBTU-24-200640, UBTU-24-300031, UBTU-24-400030, UBTU-24-500050, UBTU-24-600000, UBTU-24-600010

Les 37 contrôles du domaine SSH

Réf.	Règle	Sév.	OS	Normes
SOCLE-CLD-SSH-003	Interdire l'accès SSH par mot de passe vide	critique	9	cisnistpci-dssstig
SOCLE-CLD-SSH-008	Désactiver la connexion SSH en root	critique	9	bp28cisnistpci-dss
SOCLE-CLD-SSH-002	Désactiver la compression SSH (ou la limiter à delayed)	moyenne	8	nist
SOCLE-CLD-SSH-005	Désactiver l'authentification GSSAPI	moyenne	9	cisnist
SOCLE-CLD-SSH-006	Désactiver l'authentification Kerberos	moyenne	8	nist
SOCLE-CLD-SSH-001	Désactiver le transfert d'agent SSH	moyenne	8
SOCLE-CLD-SSH-004	Désactiver le forwarding SSH	moyenne	9	cis
SOCLE-CLD-SSH-009	Interdire la connexion SSH root par mot de passe (non sécurisé)	moyenne	8
SOCLE-CLD-SSH-007	Désactiver la prise en charge SSH des fichiers .rhosts	moyenne	9	cisnistpci-dss
SOCLE-CLD-SSH-012	Désactiver la prise en charge SSH des known_hosts utilisateur	moyenne	8	nist
SOCLE-CLD-SSH-010	Désactiver le forwarding TCP SSH	moyenne	8	pci-dss
SOCLE-CLD-SSH-013	Désactiver le transfert X11 dans SSH	moyenne	8
SOCLE-CLD-SSH-034	Répartir la configuration du serveur SSH dans plusieurs fichiers d'un répertoire de configuration.	moyenne	3
SOCLE-CLD-SSH-014	Interdire les options d'environnement SSH	moyenne	9	cisnistpci-dssstig
SOCLE-CLD-SSH-015	Activer PAM	moyenne	9	cispci-dssstig
SOCLE-CLD-SSH-016	Activer l'authentification par clé publique	moyenne	9	stig
SOCLE-CLD-SSH-020	Activer l'affichage de la dernière connexion SSH	moyenne	8
SOCLE-CLD-SSH-018	Activer la bannière d'avertissement SSH	moyenne	4	nist
SOCLE-CLD-SSH-019	Activer la bannière d'avertissement SSH (issue.net)	moyenne	9	cisniststig
SOCLE-CLD-SSH-017	Activer la vérification en mode strict	moyenne	8	nist
SOCLE-CLD-SSH-023	Configurer le LoginGraceTime de SSH	moyenne	9	cispci-dss
SOCLE-CLD-SSH-028	Configurer le MaxStartups de SSH	moyenne	9	cispci-dss
SOCLE-CLD-SSH-029	Imposer une renégociation fréquente des clés de session SSH	moyenne	8
SOCLE-CLD-SSH-026	Définir la limite de tentatives d'authentification SSH	moyenne	9	cispci-dss
SOCLE-CLD-SSH-022	Définir le nombre maximal de sondes d'activité du client SSH	moyenne	9	cisnistpci-dssstig
SOCLE-CLD-SSH-021	Définir l'intervalle de vérification d'activité du client SSH	moyenne	9	cisnistpci-dssstig
SOCLE-CLD-SSH-025	Définir le LogLevel du démon SSH sur VERBOSE	moyenne	9	cisnistpci-dss
SOCLE-CLD-SSH-027	Définir la limite SSH MaxSessions	moyenne	9	cispci-dss
SOCLE-CLD-SSH-031	N'utiliser que des chiffrements validés FIPS 140-2	moyenne	1	stig
SOCLE-CLD-SSH-032	N'utiliser que des algorithmes d'échange de clés validés FIPS 140-2	moyenne	1	niststig
SOCLE-CLD-SSH-030	N'utiliser que des MAC validés FIPS 140-2	moyenne	2	cisstig
SOCLE-CLD-SSH-033	N'utiliser que des MAC validés FIPS 140-2	moyenne	1	stig
SOCLE-CLD-SSH-035	N'utiliser que des algorithmes de chiffrement robustes	moyenne	9	cis
SOCLE-CLD-SSH-036	N'utiliser que des algorithmes d'échange de clés robustes	moyenne	9	cispci-dss
SOCLE-CLD-SSH-037	N'utiliser que des MAC robustes	moyenne	9	cisnist
SOCLE-CLD-SSH-011	Désactiver TCPKeepAlive dans SSH (utiliser ClientAlive à la place)	faible	8
SOCLE-CLD-SSH-024	Définir LogLevel sur INFO	faible	9	cisnist

Sources & références

manuel Pavois : Durcir SSH SSH hardening, blog.stephane-robert.info ↗

sshd_config ↗

Catalogue complet des contrôles · Tous les domaines de contrôles