Trois cent vingt-deux tentatives, aucune chance

« Y a-t-il eu des tentatives d'intrusion ? » La réponse honnête est oui, trois cent vingt-deux, depuis cent trente-trois adresses. La réponse utile est : aucune ne pouvait aboutir, et voici pourquoi on peut l'affirmer.

1. Le chiffre brut ne veut rien dire

Un serveur joignable depuis Internet reçoit des tentatives de connexion en permanence. Ce n'est pas un signe d'intérêt pour vous : des programmes parcourent les adresses une par une et essaient les noms de comptes les plus courants sur tout ce qui répond.

Chez nous, les cibles étaient sans surprise : le compte d'administration classique en tête avec quatre-vingt-trois essais, puis des noms tirés du nom de domaine, puis le générique « user ». C'est la signature d'un balayage automatique, pas d'une visite ciblée. Quelqu'un qui vous vise ne commence pas par essayer « admin ».

Annoncer « trois cent vingt-deux tentatives d'intrusion » sans rien ajouter, c'est produire une inquiétude sans information. Le nombre mesure l'exposition à Internet, pas le risque.

2. Ce qui transforme le nombre en réponse

La question intéressante n'est pas « combien ont essayé », c'est « que se serait-il passé si l'un d'eux avait deviné juste ». Et là, le journal répond seul.

Les trois cent vingt-deux tentatives visaient un mot de passe. Or l'authentification par mot de passe est désactivée sur cette machine : seule une clé cryptographique ouvre la porte. Un attaquant qui devine le bon mot de passe se voit refuser l'entrée exactement comme celui qui se trompe. Le taux de réussite n'est pas faible : il est nul.

Ensuite seulement viennent les protections d'usure — écarter les adresses insistantes, limiter la cadence. C'est utile — ça réduit le bruit et la charge — mais c'est la deuxième ligne. La première est d'avoir supprimé la serrure que ces gens essayaient de crocheter.

3. Où regarder pour la vraie réponse

Les échecs sont bruyants et rassurants. Les réussites sont discrètes et décisives. C'est la liste qu'il faut lire, et elle est courte.

Chez nous, toutes les connexions réussies l'ont été par clé, sur le compte attendu, depuis des origines peu nombreuses et toutes attendues. Chaque empreinte de clé correspond à une clé autorisée qu'on peut nommer. Aucune connexion acceptée ne provenait d'une clé qu'on ne savait pas identifier.

C'est cette phrase-là qui vaut réponse, pas le trois cent vingt-deux.

4. Le contrôle qu'on garde

On a aussi vérifié ce qu'on ne pense jamais à vérifier : toutes les façons connues de laisser une porte ouverte sans qu'elle apparaisse dans la liste des clés — un compte privilégié joignable directement, une commande forcée à la connexion, une source de clés consultée à l'extérieur, un tunnel de niveau réseau. La liste de ce qui est fermé chez nous reste chez nous : ce qui compte, c'est de la relire régulièrement.

Regarder ces points prend quelques minutes. Ne pas les regarder, c'est déclarer une machine saine après n'avoir inspecté que l'entrée principale.

🔭