Prévenir
Hardening noyau, services systemd, firewall local, isolation applicative et permissions restrictives.
Un environnement Linux personnel transformé en études de cas SecOps publiques.
Ce portfolio documente un environnement Linux personnel réécrit sous la forme d'un ensemble d'études de cas publiques: hardening, mini-SIEM local, chaîne de confiance Secure Boot / UKI, PRA Restic, Proxmox physique, réseau OPNsense et bastion d'administration. Le détail de mon positionnement candidat, de mes objectifs et de mes projets phares se trouve sur la page Profil.
Observer
Audit kernel, FIM, corrélation, scoring, états Waybar et rapports exploitables.
Restaurer
Backups vérifiés, smoke restore, PRA, Secure Boot maintenable et récupération testée sur plateforme de validation.
Architecture
Une documentation publique construite par couches.
Socle système
Arch Linux, noyau stable, permissions cohérentes, services limités et hygiène de configuration.
Chaîne de confiance
Secure Boot, UKI, LUKS, TPM/FIDO et contrôles après mise à jour pour détecter les artefacts stale.
Isolation
AppArmor, Firejail, profils applicatifs et arbitrage entre sécurité stricte et usage desktop.
Réseau & validation
nftables, OPNsense, segmentation VLAN progressive, Proxmox physique, virtualisation et services locaux non exposés.
Détection
auditd, FIM, corrélation d'événements, réduction du bruit et classification maintenance/sécurité.
Résilience
Restic, timers systemd, retry, smoke restore et procédures de récupération testées en VM.
Projets phares
Sept études pour évaluer rapidement ma méthode et mes compétences.
SecOps
Projet vitrine
Dashboard SecOps local
Console SecOps locale en React et TypeScript : posture, preuves, timeline SQLite, Analytics, drill-down et durcissement systemd.
- Preuves bornées
- Contrats avant interface
- 43 tests automatisés : API, contrats, stockage et collecteur.
SecOps
Projet vitrine
Auditd & SecOps
Pile SecOps locale: auditd, corrélateur, FIM, Secure Boot, sauvegarde, SSD, Waybar, Dunst, maintenance et rapports.
- Audit
- Bruit après mise à jour
- Fixtures de régression pour vérifier qu'un événement boot attendu reste informatif.
PRA
Projet vitrine
Restauration PRA automatisée
Flux public anonymisé d'une restauration PRA complète: sauvegarde Restic, disque cible, LUKS, UKI, Secure Boot et contrôles après restauration.
- Source de sauvegarde
- Runbook restaurable
- Restauration complète et réparations après restauration validées sur VM vierge en 11 min 13 s.
Boot
Projet vitrine
Boot Trust Morpheus
Chaîne de confiance au boot: systemd-boot, UKI, Secure Boot, LUKS, TPM, FIDO2 et contrôles après restauration PRA.
- systemd-boot
- Règle UKI
- bootctl status confirme l'entrée et le bootloader attendus.
Infrastructure
Déploiement partiel vérifié
Proxmox VE sur serveur physique
Premier nœud Proxmox VE physique installé et exploité en mode autonome, avec chaîne de démarrage renforcée, accès d'administration restreints et stockages provisoires documentés.
- Nœud autonome
- Socle installé
- Version de l'hyperviseur, noyau démarré, unités en échec et interfaces contrôlés sur le nœud réel.
Réseau
Déploiement partiel vérifié
Réseau homelab physique
Pare-feu OPNsense physique opérationnel, switch manageable intégré et premiers segments Administration/Management validés en adressage statique, avec mutations réversibles et limites explicites.
- Frontière physique
- OPNsense qualifié
- Liaison WAN, route IPv4, sortie Internet, résolution récursive et synchronisation temporelle vérifiées sur le pare-feu réel.
Sécurité
Déploiement partiel vérifié
Bastion d'administration durci
Bastion Debian physique avec rôles séparés, MFA matériel, navigateur administré, confinement applicatif et pare-feu local ; migration Ethernet vers le réseau d'administration encore différée.
- Rôle système
- Socle dédié
- Identité de la machine, version du système, noyau actif et noyau de secours contrôlés avant toute clôture.
Validation
Chaque sujet est rattaché à une preuve observable.
Hardening
Permissions, services systemd, audit Lynis et vérification des changements après mise à jour.
Virtualisation
VM UEFI, Proxmox physique, réseau segmenté, snapshots et tests de restauration hors machine principale.
Détection
Logs classés, scoring, FIM OK/DIFF, bruit système réduit et état opérateur Waybar.
PRA
Backups automatisés, préchecks, retry, smoke restore et séparation des secrets.
Documentation
Chaque page suit la même logique: contexte, contraintes, architecture, décisions, validation, résultats et limites.
Anonymisation
Les éléments exploitables restent privés: chemins exacts, secrets, logs bruts, règles complètes et commandes dangereuses.
Portée
Le portfolio expose les décisions, les contrôles et les résultats utiles, sans rendre l'environnement privé reproductible.