Linux continue d'être le terrain naturel de la cybersécurité et ce n'est pas un hasard. Plus de 90 % de l'infrastructure cloud fonctionne sur ce système et, selon la propre documentation de Wireshark, son analyseur de protocole est déjà le plus utilisé au monde pour inspecter le trafic en temps réel. La question n’est pas de savoir si vous aurez besoin de ces outils, mais quand.
Si vous gérez des serveurs, auditez une infrastructure ou souhaitez simplement comprendre ce qui entre et sort de votre machine, ces cinq utilitaires constituent le kit minimum qui sépare une défense improvisée d'un système véritablement renforcé.
Pourquoi Linux est-il le terrain d'essai pour la sécurité ?
Sous Windows, vous pouvez installer des suites fermées qui font presque tout en un seul clic. Bien sûr, c'est une boîte fermée, l'outil fonctionne, mais on ne sait pas ce qu'il fait, ni comment il le fait, et le pire c'est ; si ça marche vraiment. Sous Linux, c'est le contraire qui se produit, puisque chaque élément est spécialisé, léger et composable.
Cette fragmentation est un avantage, car elle permet d’enchaîner les outils dans un flux professionnel. Vous découvrez ce qui est exposé, capturez ce qui circule, vérifiez si un identifiant faible ouvre la porte et vérifiez si votre propre configuration est conforme aux normes. L’essentiel est de comprendre qu’il ne s’agit pas de programmes isolés, mais plutôt de couches.
Par exemple, des outils comme Nmap vous donnent une visibilité sur le réseau, tcpdump et Wireshark fournissent des preuves, Hydra teste vos mots de passe et Lynis vous indique ce que vous auriez dû configurer dès le départ.
Il convient de préciser qu’aucun outil ne remplace les critères. Un scanner mal utilisé peut faire tomber un service, une attaque par force brute sans autorisation est illégale dans presque toutes les juridictions et une capture non filtrée peut exposer des données sensibles. C’est ici que le durcissement croise l’usage responsable, et que l’éthique professionnelle doit primer avant tout.
Jupyter Notebooks, un laboratoire informatique à portée de main
Nmap, la carte de votre surface d'attaque
Nmap est le point de départ. Créé par Gordon Lyon et maintenu en projet open source depuis la fin des années 90, il reste le scanner de ports de référence.
La version 7.95, d'avril 2024, a ajouté plus de 6 500 traces et quatre scripts industriels, et la branche s'est poursuivie jusqu'à 7 991 à partir d'août 2026 selon son site officiel. Ces signatures permettent de distinguer un Linux 6.1 d'un macOS Ventura ou d'un iOS 16 avec juste la réponse à une sonde.
Mais à quoi sert cet outil ? En gros, il envoie des paquets artisanaux et analyse chaque port : ouvert, fermé, filtré. De là, vous en déduisez si un ordinateur ou un serveur expose SSH là où il ne devrait pas, si un conteneur oublié a laissé le port Docker 2375 exposé ou si votre pare-feu répond à la sécurité qu'il promet. De cette façon, nmap vous aide à connaître votre réseau, les services qui s'y trouvent, ce qui est activé ou non, et vous donne des indices sur la manière d'attaquer.
Par exemple, une utilisation défensive de base de cet outil serait :
sudo nmap -sV -sC -O -T4 192.168.10.0/24Cette commande exécute une analyse réseau rapide et avancée sur l'ensemble de votre réseau local (192.168.10.0/24) à l'aide des privilèges d'administrateur (sudo). Son objectif est d'identifier tous les appareils connectés, en détectant avec précision quels ports sont ouverts, les versions exactes des services qu'ils exécutent (-sV), les vulnérabilités et les informations de base grâce à des scripts automatisés (-sC) et le système d'exploitation de chaque ordinateur (-O), le tout traité à grande vitesse (-T4).
Une excellente façon de commencer à tester la sécurité de votre réseau à son point le plus élémentaire.
tcpdump, le scalpel dans le terminal
Si Nmap est la carte, tcpdump est le stéthoscope. Il n'a pas d'interface graphique, ne pèse que quelques centaines de kilo-octets et est préinstallé sur presque toutes les distributions, d'Ubuntu à Rocky Linux. C’est précisément pour cette raison qu’il reste irremplaçable sur les serveurs distants sur lesquels vous ne pouvez pas ouvrir Wireshark.
Capture les paquets via libpcap et les enregistre dans des fichiers avec l'extension .pcap. Sa force réside dans le Berkeley Packet Filter (BPF), qui vous évite de vous noyer dans les embouteillages.
Exemple pour déboguer HTTPS :
sudo tcpdump -i eth0 -w captura.pcap host 10.0.0.1 and port 443 -c 1000Avec -i vous choisissez l'interface et -w dumps à classer ; l'expression host ... and port ... C'est du pur GMP. Canard -n pour ne pas résoudre DNS et -X pour voir la charge utile en hexadécimal.
Sur un serveur distant via SSH à deux heures du matin, cette ligne est tout ce dont vous disposez. L’essentiel est de capturer peu et bien : les secondes avec le bon filtre valent plus que les gigaoctets non filtrés. Une astuce utile consiste à faire pivoter : tcpdump -C 100 -W 5 -w traza.pcap Crée des fichiers de 100 Mo et effectue une rotation entre cinq sans remplir le disque.
N'oubliez pas que tcpdump voit tout ce qui passe par l'interface. Dans les environnements sensibles, cette capture est un atout essentiel : chiffrez-la, limitez sa durée et supprimez-la lorsque vous avez terminé.
Le CERN abandonne RHEL pour Debian Linux dans ses accélérateurs
Wireshark, le laboratoire pour comprendre ce qui se passe
Wireshark est le même moteur que tcpdump, mais avec un microscope. Il s'agit de l'analyseur le plus populaire au monde, maintenu par la Fondation Wireshark, et sa branche 4.4 reste active : la 4.4.8 de juillet 2025 a amélioré les dissecteurs tels que DTLS et IPsec et la 4.4.9 de septembre a corrigé un crash dans le dissecteur SSH.
Il décode plus de 3 000 protocoles et son filtre d'affichage est plus expressif que BPF. Alors que BPF filtre lors de la capture, Wireshark filtre après la capture : http.request.method == "POST" && ip.addr == 192.168.1.50 par exemple, affiche uniquement les POST de cette adresse IP, filtrant leur contenu plus efficacement.
Sa valeur en matière de durcissement va au-delà du simple fait d’être un outil médico-légal. Par exemple, votre serveur Nginx négocie-t-il TLS 1.0 pour une compatibilité existante ? Wireshark est capable de détecter cela, grâce à son utilisation de ClientHello. Un logiciel malveillant utilise DNS TXT sur un domaine étrange ? Avec Wireshark, vous pouvez le voir clairement. Une sauvegarde expose-t-elle les informations d'identification FTP non cryptées ? Vous pourrez également le voir sans problème.
Pour l'utiliser sous Linux sans recourir à sudo à chaque fois, le package crée le groupe network (puis déconnectez-vous et reconnectez-vous pour appliquer la modification) :
sudo usermod -aG network $USERNéanmoins, la recommandation du projet est de ne pas exécuter l'interface en tant que root. Capturez avec dumpcap et analyse en tant qu'utilisateur normal. Le flux le plus efficace est hybride : vous capturez légèrement avec tcpdump à distance et ouvrez le .pcap dans Wireshark sur votre ordinateur. Légèreté du terminal et puissance visuelle du laboratoire.
Une capture peut contenir des jetons, des cookies et des mots de passe. Traitez-le comme un vidage de base de données et anonymisez-le avant de le partager.
Hydra, le miroir inconfortable de vos mots de passe
Hydra de THC Ce n'est pas un renifleur ou un scanner. Il s’agit d’un testeur d’identifiants en ligne, et sa valeur défensive est précisément celle-là : il vous oblige à vérifier si ce que vous considérez comme un mot de passe raisonnable résiste à une attaque automatisée.
Développé par van Hauser et la communauté THC, il prend en charge plus de 50 protocoles (FTP, SSH, HTTP-Form, SMB, RDP, PostgreSQL) et parallélise les tentatives lorsque le protocole le permet. 9.7, datant de mai et répertorié comme la dernière version stable sur GitHub et Kali Linux Tools, maintient le projet actif après deux décennies.
Exemple avec le laboratoire SSH :
hydra -l admin -P /usr/share/wordlists/rockyou.txt ssh://192.168.1.20 -t 4 -f -VAvec -l correctifs utilisateur, -P une liste de mots et -t 4 Vous limitez les threads pour ne pas interrompre le service. -f s'arrête au premier succès ; Testez toujours par rapport aux environnements que vous contrôlez.
Hydra ne casse pas les hachages hors ligne comme Hashcat. Attaque la connexion en direct, plus lente et plus détectable. Si tu trouves admin:admin en quelques secondes, vous n'avez pas besoin d'un auditeur externe pour savoir que vous avez un problème. Vous pouvez automatiser ce contrôle dans votre laboratoire avant les autres.
Lancer Hydra contre d’autres systèmes sans autorisation est illégal. Dans les audits, le périmètre est signé, la fenêtre est limitée et elle est coordonnée avec le monitoring pour ne pas confondre test et attaque. Si votre Fail2Ban ne détecte pas ces tentatives, le constat est double : mot de passe faible et absence de détection.
Lynis, l'audit que tu devrais réussir chaque semaine
Lynis est le moins tape-à-l'œil et peut-être le plus utile pour renforcer Linux de l'intérieur. Open source GPL depuis 2007 et maintenu par CISOfy, il effectue des centaines de contrôles sur l'hôte : autorisations, noyau, authentification, correctifs et alignement avec CIS ou NIST, comme détaillé dans sa documentation officielle et son repo sur GitHub avec plus de 16 000 étoiles.
Aucun agent nécessaire :
sudo lynis audit systemVous bénéficiez d'un indice de durcissement sur 100 et de suggestions priorisées. Cela ne dit pas que vous êtes sûr, cela dit que vous ne vous conformez pas.
Le flux idéal est de l'exécuter après chaque déploiement : nouvelle image Docker, VPS nouvellement créé. Si vous vérifiez /tmp sans noexec, kernel.sysrq actif ou PermitRootLogin yes dans OpenSSH, vous savez sur quoi appuyer /etc/sysctl.conf soit sshd_config.
Contrairement à OpenVAS ou Nessus, qui analysent de l'extérieur, Lynis inspecte les fichiers locaux. C’est plus rapide, moins intrusif et ne contamine pas les bûches. L’un montre comment ils vous voient de l’extérieur ; l'autre, comment tu es à l'intérieur.
Lynis n'explose pas. Il ne confirme pas un CVE avec un exploit, mais il confirme si vous disposez des ingrédients nécessaires pour être vulnérable. Combinez-le avec des patchs et un scanner externe pour obtenir la photo complète.
Comment enchaîner les cinq pièces sans rien casser ?
Avoir les outils installés ne vous rend pas plus en sécurité. Utilisez-les dans l’ordre, avec jugement et dans un environnement contrôlé, oui.
Ce flux est celui suivi par de nombreuses équipes qui partent de zéro avec un serveur Ubuntu, Debian ou Rocky nouvellement provisionné :
| Phase | Outil | But défensif | Commande de référence |
|---|---|---|---|
| Découverte | nmap | Inventaire des ports et versions réels | nmap -sV -sC 192.168.1.10 |
| prise de lumière | tcpdump | Enregistrez des preuves minimes et divulguées | tcpdump -i eth0 -w trace.pcap port 443 |
| Analyse approfondie | requin filaire | Décoder les protocoles et détecter les anomalies | Ouvrez trace.pcap et filtrez tls.handshake |
| Preuve d'accréditation | Hydre | Vérifiez qu'il n'y a pas de connexions triviales | hydra -L utilisateurs.txt -P clés.txt ssh://hôte |
| Audit interne | Lynis | Mesurer le durcissement et prioriser les corrections | système d'audit Lynis – rapide |
Commencez toujours en laboratoire : clonez la machine, isolez le réseau et testez-y. En production, informez l'équipe, enregistrez la fenêtre et limitez la portée. Documente la commande, les paramètres et les résultats.
L'automatisation fait la différence. Nmap et Lynis génèrent une sortie analysable (-oX, --report-format), tcpdump permet .pcap traitable avec tshark -r traza.pcap -Y "dns" et Hydra exporte vers JSON. Un cron hebdomadaire ou votre IC d'imagerie vous alerte avant un scanner externe.
Le hack Hugging Face et le message puissant qu'il envoie au monde
Erreurs courantes et limites à connaître
La puissance de ces utilitaires présente un avantage. Ce sont les pièges les plus répétés lorsqu’on l’utilise sans bagages.
La première consiste à confondre analyse et audit. Passer Nmap sans comprendre les états open|filtered ou lancer Hydra avec 64 threads contre un SSH en production n'est pas un test, c'est un déni de service auto-infligé. Ajuster -t à Hydra, Etats-Unis -T2 dans Nmap si le service est réactif et coordonne.
La seconde consiste à capturer sans filtre et à sauvegarder pour toujours. UN .pcap Les heures de trafic client peuvent contenir des données personnelles. Appliquez un BPF étroit, faites pivoter les fichiers et cryptez le résultat. La médecine légale ne justifie pas d’en conserver plus que nécessaire.
La troisième consiste à se fier à l’indice de durcissement comme s’il s’agissait d’une note finale. Lynis peut vous donner 85 sur 100 et vous serez toujours vulnérable si vous n'appliquez pas de correctif. L'indice mesure la configuration, et non l'exposition aux exploits du jour zéro. Utilisez-le comme une liste de choses à faire, pas comme un tampon.
N'oubliez pas les limites : Wireshark ne déchiffre pas TLS 1.3 sans clé, tcpdump ne voit pas l'intérieur des VPN bien configurés et Hydra plante contre l'AMF ou le blocage progressif. Si votre système résiste à Hydra parce que Fail2Ban se bloque après cinq tentatives et que votre SSH nécessite un mot de passe, l'outil s'est conformé même s'il ne trouve rien.
Un kit qui vous oblige à regarder votre système avec les yeux d'un attaquant
La maîtrise de ces cinq outils ne fait pas de vous un hacker, cela fait de vous un meilleur défenseur. Ils fournissent des preuves brutes de ce que fait votre Linux sur le réseau et des lacunes de votre configuration.
Wireshark et tcpdump apprennent à lire le réseau sans intermédiaires. Nmap force un inventaire honnête. Hydra se souvient de ça P@ssw0rd2024 Ce n'est pas de la sécurité, c'est de la décoration. Lynis vous oblige à fermer précipitamment ce que vous avez ouvert et à justifier ce que vous avez laissé ouvert.
Lorsque vous déployez votre prochain serveur, consacrez une heure au cycle : analyse, capture, analyse, test des informations d'identification, audit. Répétez la semaine suivante et comparez. Cette routine sépare un système qui semble sécurisé de celui qui l’est.