Offre d'emploi Expert Linux N3 – Pare-feu locaux / Durcissement / Automatisation

Dans le cadre de la sécurisation de son infrastructure, le service exploite un parc de serveurs Linux (Debian 12, en cours de migration vers Debian 13) hébergés sur VMware vSphere, dans un environnement cloisonné et durci, sans accès direct à Internet.

Aujourd’hui, la protection réseau repose principalement sur le filtrage périmétrique : les serveurs ne disposent pas d’un filtrage local homogène. Conformément aux recommandations de l’ANSSI (défense en profondeur, guide de configuration d’un système GNU/Linux BP-028, recommandations de cloisonnement), le service souhaite doter chaque serveur Linux d’un pare-feu local, piloté de façon centralisée et industrialisée.

La mission consiste à concevoir, outiller, déployer et documenter ce filtrage local sur l’ensemble du parc Linux, sans interruption de service, puis à compléter le durcissement des serveurs Debian 13 et l’automatisation Ansible associée. L’équipe interne étant très restreinte, une attention particulière est portée à la documentation et au transfert de compétences, afin que la solution puisse être exploitée et maintenue en autonomie à l’issue de la prestation.

- Réaliser l’inventaire du parc et la cartographie des flux réels, entrants et sortants, de chaque serveur, à l’aide d’une phase d’observation sans blocage (journalisation uniquement).

- Concevoir une politique de filtrage restrictive par défaut (« tout ce qui n’est pas explicitement autorisé est interdit »), en entrée comme en sortie, organisée en un socle commun (administration, DNS, NTP, annuaire AD, supervision, journaux, dépôt APT…) complété de règles spécifiques par rôle de serveur.

- Implémenter ce filtrage avec nftables, solution native de Debian 12/13, de façon homogène sur l’ensemble des serveurs Linux.

- Garantir la non-régression : mécanisme anti-verrouillage (retour arrière automatique si l’accès d’administration est perdu après application des règles) et préservation permanente des accès depuis les postes de rebond autorisés.

- Déployer de manière progressive : environnement de recette, puis vagues de production par ordre de criticité croissante, avec passage contrôlé du mode observation au mode bloquant.

- Développer un rôle Ansible « pare-feu » paramétrable : la matrice des flux est décrite sous forme de variables (fichiers YAML par groupe et par hôte) versionnées dans GitLab, qui deviennent la référence unique du filtrage (« filtrage as code »).

- Mettre en place des contrôles qualité automatisés : validation syntaxique des règles avant application, analyse des playbooks (ansible-lint), revue des modifications par merge request et, si possible, pipeline GitLab CI.

- Détecter les écarts : contrôle périodique que les règles réellement en place correspondent à la référence (mode « check » Ansible, empreinte du jeu de règles), avec alerte en cas de dérive.

- Superviser via Zabbix : état du service nftables, présence et empreinte du jeu de règles, volume de paquets rejetés (template Zabbix livré).

- Tracer les flux rejetés : journalisation des paquets bloqués (avec limitation de débit) remontée dans la stack ELK existante, et tableaux de bord Kibana (flux bloqués par serveur, par port, par source).

- Outiller les opérations courantes : demande et ouverture d’un nouveau flux, suppression d’un flux, intégration d’un nouveau serveur, désactivation d’urgence (« bris de glace ») et retour arrière.

- Mettre à jour et compléter les rôles Ansible de durcissement pour Debian 13 selon le guide ANSSI BP-028 (niveau cible à valider) : SSH, paramètres noyau (sysctl), modules, comptes et PAM, journalisation et auditd, options de montage, services inutiles, AppArmor.

- Intégrer le pare-feu local et le durcissement dans le processus de création des VM (templates et playbooks de post-installation), afin que tout nouveau serveur soit conforme dès sa mise en service.

- Mesurer la conformité avant et après (Lynis et/ou OpenSCAP) et produire un rapport d’écarts assorti d’un plan de remédiation priorisé.

- Contribuer, selon le temps disponible, à la fiabilisation des playbooks Ansible existants utilisés en MCO/MCS (mises à jour, homogénéisation, idempotence).

- Produire l’ensemble de la documentation en français, versionnée dans GitLab (Markdown) et/ou au format bureautique, à jour de l’état final déployé.

- Animer des sessions de transfert de compétences auprès de l’équipe interne, avec mise en pratique (ouverture d’un flux, ajout d’un serveur, diagnostic, retour arrière).