# Comptes avec shell interactif
grep -v '/nologin\|/false' /etc/passwd | cut -d: -f1,3,7
# UID 0 — doit être root UNIQUEMENT
awk -F: '($3 == 0) {print}' /etc/passwd
# Comptes sans mot de passe (DANGER)
sudo awk -F: '($2 == "" || $2 == "!!") {print $1}' /etc/shadow

# Règles sudo actives
sudo cat /etc/sudoers /etc/sudoers.d/* 2>/dev/null | grep -v '^#\|^$'
# Qui peut utiliser sudo ?
getent group sudo wheel | cut -d: -f4
# NOPASSWD : règle dangereuse
sudo grep -r 'NOPASSWD' /etc/sudoers /etc/sudoers.d/ 2>/dev/null

last -n 20                    # connexions réussies
sudo lastb -n 20              # tentatives échouées
sudo faillock --user $(whoami) # verrouillage pam_faillock

sudo sshd -T | grep -E \
  'permitrootlogin|passwordauth|pubkeyauth|maxauthtries|x11forward|permitempty'
# Résultats attendus :
# permitrootlogin no
# passwordauthentication no
# pubkeyauthentication yes
# maxauthtries 3
# x11forwarding no

ssh -V   # doit être ≥ 9.9p2 ou patché distro
# CVE-2025-26465 côté CLIENT
grep -r 'VerifyHostKeyDNS' /etc/ssh/ssh_config ~/.ssh/config 2>/dev/null
# Mitigation CVE-2025-26466
sudo sshd -T | grep -E 'maxstartups|logingracetime|persourcepenalties'

# Empreinte et type des clés locales
for f in ~/.ssh/*.pub; do
  echo "$f:"; ssh-keygen -l -f "$f" 2>/dev/null
done
# Ordre : Ed25519 > ECDSA > RSA 4096 > RSA 2048
# RSA 1024 ou DSA = compromis, régénérer
# Générer une clé Ed25519 (recommandé 2026)
ssh-keygen -t ed25519 -a 100 -C "$(whoami)@$(hostname)-$(date +%Y)"

systemctl is-active firewalld   # openSUSE, RHEL, Fedora
systemctl is-active ufw         # Ubuntu, Debian
systemctl is-active nftables    # distros modernes
sudo ufw status verbose
sudo firewall-cmd --state && sudo firewall-cmd --list-all

# Politique INPUT (doit être DROP)
sudo iptables -L | grep 'Chain INPUT'
sudo ip6tables -L -n | grep 'Chain INPUT'  # IPv6 souvent oublié
# Ports en écoute avec processus
sudo ss -tlnup
# Ports exposés vers l'extérieur
sudo ss -tlnup | grep -v '127.0.0.1\|::1'

systemctl list-unit-files --type=service --state=enabled
# Protocoles en clair à supprimer
dpkg -l telnet rsh-client rsh-server ftp 2>/dev/null | grep '^ii'
rpm -qa telnet rsh rlogin ftp 2>/dev/null
# Compilateurs (risque post-exploitation)
which gcc g++ cc make 2>/dev/null

# Top 15 par CPU (cryptomineurs souvent ici)
ps aux --sort=-%cpu | head -15
# Processus sans exécutable sur disque (rootkits mémoire)
ls -la /proc/*/exe 2>/dev/null | grep deleted
# Crontabs tous utilisateurs
for u in $(cut -f1 -d: /etc/passwd); do
  cron=$(crontab -u $u -l 2>/dev/null)
  [ -n "$cron" ] && echo "=== $u ===" && echo "$cron"
done

sudo sysctl \
  kernel.randomize_va_space \
  kernel.kptr_restrict \
  kernel.dmesg_restrict \
  kernel.unprivileged_bpf_disabled \
  net.core.bpf_jit_harden \
  net.ipv4.tcp_syncookies \
  fs.protected_hardlinks \
  fs.protected_symlinks \
  fs.suid_dumpable 2>/dev/null
# Attendus : 2 / 2 / 1 / 1 / 2 / 1 / 1 / 1 / 0

mokutil --sb-state 2>/dev/null           # Secure Boot actif ?
[ -d /sys/firmware/efi ] && echo "UEFI" || echo "BIOS legacy"
stat -c '%a %U %G %n' /boot/grub*/grub.cfg 2>/dev/null
# Attendu : 600 root root
sudo bpftool prog list 2>/dev/null | wc -l # eBPF chargés

# Fichiers avec bit SUID (escalade de privilèges)
sudo find / -perm -4000 -type f -ls 2>/dev/null | \
  grep -v '/proc\|/sys'
# Capabilities binaires étendues
getcap -r / 2>/dev/null
# Répertoires world-writable hors /tmp
sudo find / -type d -perm -0002 -ls 2>/dev/null | \
  grep -v '/proc\|/sys\|/dev\|/run\|/tmp\|/var/tmp'

# /tmp doit avoir noexec,nosuid,nodev
findmnt -o TARGET,OPTIONS | grep -E 'noexec|nosuid|nodev'
mount | grep ' /tmp '
# Intégrité fichiers système (AIDE)
sudo aide --check 2>/dev/null | head -20

sestatus
getenforce
# enforcing  = protection active ✓
# permissive = AUCUNE protection
# Alertes récentes
sudo ausearch -m avc -ts recent 2>/dev/null | tail -20
sudo journalctl -b | grep 'avc:  denied' | tail -10

sudo aa-status
sudo aa-status | grep -E 'enforce|complain'
# 0 profil en "complain" pour les services critiques
sudo aa-enforce /etc/apparmor.d/PROFIL   # activer

systemctl is-active auditd
sudo auditctl -s | grep enabled
# 1 = actif  /  2 = immutable (optimal)
systemctl is-active systemd-journald
journalctl --disk-usage
ls -lh /var/log/audit/audit.log 2>/dev/null

# Tentatives SSH échouées
sudo journalctl -u sshd | grep "Failed\|Invalid" | tail -20
# Escalades sudo
sudo journalctl | grep "sudo:" | \
  grep -v 'session opened\|session closed' | tail -20
sudo fail2ban-client status sshd 2>/dev/null

sudo ss -tunap | grep ESTABLISHED       # connexions établies
sudo ss -tlnup                          # écoutes actives
# Connexions sortantes inattendues
sudo ss -tunap | grep ESTABLISHED | \
  grep -v '127.0.0.1\|::1\|192.168\|10\.'

cat /etc/resolv.conf                    # résolveur DNS
# DNS-over-TLS actif ?
resolvectl status 2>/dev/null | grep -i 'dns\|tls\|protocol'
ip -6 addr show                         # IPv6 activé ?
sudo ip6tables -L -n 2>/dev/null | head -5  # pare-feu IPv6

# Vérifier si Falco est installé et actif
systemctl is-active falco 2>/dev/null || systemctl is-active falco-kmod 2>/dev/null
# Dernières alertes
journalctl -u falco --since "1 hour ago" | grep -i "alert\|warning"
# Pour les environnements Kubernetes :
kubectl get pods -n falco 2>/dev/null || echo "Falco non déployé dans K8s"

# Vérifier les conteneurs en cours d’exécution
docker ps 2>/dev/null || podman ps 2>/dev/null || echo "Aucun runtime conteneur"
# Conteneurs avec utilisateur root (dangereux)
docker ps -q 2>/dev/null | xargs -I {} docker inspect {} | grep -E '"User":""|"User":"0"'

# Volumes LUKS actifs
sudo lsblk -o NAME,TYPE,FSTYPE,MOUNTPOINT | grep -i crypt
# Partition racine chiffrée ?
sudo cryptsetup isLuks /dev/sda3 2>/dev/null && \
  echo "LUKS ✓" || echo "Non chiffré"
# Adapter /dev/sda3 (lsblk)
sudo cryptsetup luksDump /dev/VOTRE_PARTITION 2>/dev/null | \
  grep -i 'cipher\|hash\|key'

swapon --show
grep swap /etc/crypttab 2>/dev/null
# Permissions clés privées (doivent être 600)
stat -c '%a %n' ~/.ssh/id_* 2>/dev/null
# 644 ou 777 = DANGER