Créer son premier lab cybersécurité avec Proxmox : guide pas à pas

Pourquoi monter un laboratoire ?

Un laboratoire répond à trois besoins que rien d’autre ne couvre aussi bien. Le premier est l’apprentissage : on ne comprend réellement un mécanisme qu’en le manipulant, en le cassant et en observant ce qui se passe. Le deuxième est la preuve : en reconversion, le laboratoire remplace l’expérience professionnelle que vous n’avez pas encore. Le troisième est le test personnel : quelques semaines de laboratoire vous diront si le quotidien du métier vous convient, pour un coût sans commune mesure avec celui d’une formation.

Il y a aussi une raison plus terre à terre. Les entretiens techniques en cybersécurité tournent presque tous autour des mêmes objets : un domaine Active Directory, des journaux, un réseau segmenté, un serveur Linux. Ce sont exactement les objets que ce laboratoire met en place. Les avoir manipulés change la nature de la conversation.

• Vous pouvez tout casser sans conséquence, et revenir en arrière en quelques secondes
• Vous voyez les effets réels d’une mauvaise configuration, ce qu’aucun cours ne montre
• Vous produisez des traces, des captures et des journaux réutilisables dans un portfolio
• Vous apprenez à documenter au fur et à mesure, compétence directement évaluée en poste
• Le coût est celui d’une machine d’occasion, pas celui d’une formation

Le matériel : minimum, confortable, idéal

Proxmox publie deux niveaux d’exigence : une configuration minimale destinée à l’évaluation et une configuration recommandée pour la production. Un laboratoire personnel se situe entre les deux, et ce sont les machines virtuelles invitées qui déterminent réellement le besoin.

Pourquoi Proxmox VE plutôt qu’autre chose ?

Proxmox VE est un hyperviseur de type 1 : il s’installe directement sur la machine, sans système d’exploitation hôte. Il est administrable depuis un navigateur, gère à la fois les machines virtuelles complètes et les conteneurs, et repose sur une base Debian que vous pouvez administrer en ligne de commande.

• Interface web complète : pas besoin d’installer un client lourd
• Instantanés et sauvegardes intégrés, essentiels pour un laboratoire
• Réseau virtuel souple : créer un segment totalement isolé prend deux minutes
• Machines virtuelles et conteneurs dans la même interface
• Base Debian : tout ce que vous apprenez sur l’hyperviseur vous resservira ailleurs
• Documentation officielle détaillée et accessible publiquement

Il existe des alternatives parfaitement valables, à commencer par un hyperviseur de type 2 installé sur votre système habituel. Elles conviennent pour deux ou trois machines. Elles deviennent pénibles dès qu’il faut gérer des segments réseau distincts, des instantanés multiples et cinq machines allumées simultanément — c’est-à-dire dès que le laboratoire ressemble à quelque chose.

Machine virtuelle ou conteneur LXC ?

Proxmox propose les deux, et le choix n’est pas une question de goût. Une machine virtuelle émule un ordinateur complet avec son propre noyau. Un conteneur LXC partage le noyau de l’hyperviseur et ne peut donc faire tourner que du Linux.

Installer Proxmox VE

L’installation se fait depuis l’image ISO officielle, écrite sur une clé USB. La procédure complète est décrite dans le wiki Proxmox ; les points ci-dessous sont ceux qui posent problème dans un contexte de laboratoire.

1. Activer la virtualisation matérielle

   Dans le firmware UEFI de la machine, activer Intel VT-x ou AMD-V. Sans cela, Proxmox s’installe mais les machines virtuelles seront inutilisables.

2. Écrire l’image ISO sur une clé USB

   Télécharger l’ISO depuis le site officiel de Proxmox et l’écrire sur une clé d’au moins 8 Go.

3. Démarrer sur la clé et suivre l’assistant

   Choisir le disque cible, la locale, le fuseau horaire et le mot de passe root. Ce mot de passe protège l’ensemble du laboratoire : choisissez-le sérieusement.

4. Renseigner le réseau d’administration

   Nom de machine complet, adresse IP fixe sur votre réseau domestique, passerelle et serveur DNS. C’est cette adresse qui servira à joindre l’interface web.

5. Se connecter à l’interface web

   Depuis un navigateur, sur le port d’administration, avec l’utilisateur root et le mot de passe défini. L’avertissement de certificat est normal : le certificat est auto-signé.

# La virtualisation matérielle est-elle bien vue par le noyau ?
grep -E -c '(vmx|svm)' /proc/cpuinfo

# Version installée
pveversion

# Espace disponible sur les stockages
pvesm status

# Configuration réseau actuelle de l'hyperviseur
ip -br addr

Créer le réseau LAB isolé

C’est l’étape la plus importante du tutoriel, et celle que l’on saute le plus souvent. Le principe : créer un pont Linux sans interface physique rattachée. Les machines qui s’y connectent se parlent entre elles, mais n’ont aucun chemin vers votre réseau domestique ni vers Internet.

Dans l’interface Proxmox, la création se fait au niveau du nœud, dans la configuration réseau : ajouter un pont Linux, lui donner un nom, une adresse IP sur un sous-réseau qui n’existe nulle part ailleurs chez vous, et surtout ne lui associer aucun port physique et aucune passerelle.

auto vmbr0
iface vmbr0 inet static
    address 192.168.1.10/24
    gateway 192.168.1.1
    bridge-ports enp1s0
    bridge-stp off
    bridge-fd 0
# Pont d'administration : relié à la carte physique.

auto vmbr1
iface vmbr1 inet static
    address 10.10.10.1/24
    bridge-ports none
    bridge-stp off
    bridge-fd 0
# Pont LAB : aucun port physique, aucune passerelle.
# Les machines du laboratoire ne peuvent joindre que ce segment.

Installer le serveur Windows

Microsoft met à disposition des versions d’évaluation de Windows Server sur son centre d’évaluation officiel. C’est la source à utiliser : elle est légale, gratuite pour l’évaluation, et limitée dans le temps — ce qui convient parfaitement à un laboratoire remis à zéro régulièrement.

1. Créer la machine virtuelle

   Avec les paramètres du tableau ci-dessus, en attachant l’ISO Windows Server et l’ISO des pilotes VirtIO.

2. Installer le système

   Choisir l’édition avec expérience de bureau pour un premier laboratoire : l’interface graphique facilite l’apprentissage.

3. Installer les invités QEMU

   Après l’installation, installer les pilotes et l’agent invité pour bénéficier d’un arrêt propre et de statistiques correctes.

4. Fixer le nom et l’adresse

   Renommer la machine en DC01, lui attribuer l’adresse IP fixe prévue, et pointer son DNS vers elle-même.

5. Créer un premier instantané

   Avant toute promotion en contrôleur de domaine. Vous y reviendrez plus souvent que prévu.

Installer AD DS et le DNS

La promotion d’un serveur en contrôleur de domaine se fait en deux temps : installation du rôle Services de domaine Active Directory, puis promotion proprement dite. Le service DNS est installé au passage, parce qu’Active Directory en dépend entièrement pour la localisation de ses services.

# 1. Installer le rôle AD DS et les outils d'administration
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

# 2. Promouvoir le serveur en premier contrôleur d'une nouvelle forêt
#    Adapter le nom de domaine a celui que vous avez choisi (voir section suivante)
Install-ADDSForest `
  -DomainName 'ad.mondomaine.fr' `
  -DomainNetbiosName 'AD' `
  -InstallDns:$true `
  -Force:$true

# Le serveur redemarre automatiquement a la fin de la promotion.

# Le domaine est-il bien en place ?
Get-ADDomain | Select-Object DNSRoot, NetBIOSName, DomainMode

# La forêt et son niveau fonctionnel
Get-ADForest | Select-Object Name, ForestMode

# Les enregistrements DNS de service sont-ils publies ?
Resolve-DnsName -Type SRV _ldap._tcp.ad.mondomaine.fr

# Diagnostic complet du controleur de domaine
dcdiag /q

Choisir le nom du domaine selon les bonnes pratiques Microsoft

Ce point mérite une section à lui seul, parce que c’est une décision quasi irréversible et parce que la plupart des tutoriels donnent encore de mauvais conseils. La documentation Microsoft est explicite sur le sujet.

Le nom de la racine de forêt est un nom DNS composé d’un préfixe et d’un suffixe, sous la forme préfixe.suffixe — l’exemple donné par Microsoft étant corp.contoso.com. Microsoft recommande d’utiliser des noms DNS inscrits auprès d’une autorité Internet, seuls à garantir l’unicité mondiale. La documentation déconseille explicitement les suffixes non enregistrés comme .local et met en garde contre les noms DNS à étiquette unique. Le préfixe doit compter quinze caractères ou moins, ce qui permet au nom NetBIOS d’être identique au préfixe, et ne contenir que des caractères standard Internet.

Créer les utilisateurs, les groupes et les unités d’organisation

Un domaine vide n’apprend rien. L’objectif ici est de reproduire une structure ressemblant à une petite entreprise : des unités d’organisation par fonction, des groupes de sécurité, des utilisateurs ordinaires, et un compte d’administration distinct du compte quotidien.

$dn = 'DC=ad,DC=mondomaine,DC=fr'

# Unites d'organisation
New-ADOrganizationalUnit -Name 'LAB'        -Path $dn
New-ADOrganizationalUnit -Name 'Utilisateurs' -Path "OU=LAB,$dn"
New-ADOrganizationalUnit -Name 'Postes'       -Path "OU=LAB,$dn"
New-ADOrganizationalUnit -Name 'Serveurs'     -Path "OU=LAB,$dn"
New-ADOrganizationalUnit -Name 'Groupes'      -Path "OU=LAB,$dn"

# Groupes de securite
New-ADGroup -Name 'GS-Comptabilite' -GroupScope Global -Path "OU=Groupes,OU=LAB,$dn"
New-ADGroup -Name 'GS-Informatique' -GroupScope Global -Path "OU=Groupes,OU=LAB,$dn"

# Un utilisateur standard
New-ADUser -Name 'Camille Durand' -SamAccountName 'c.durand' `
  -UserPrincipalName 'c.durand@ad.mondomaine.fr' `
  -Path "OU=Utilisateurs,OU=LAB,$dn" `
  -AccountPassword (Read-Host -AsSecureString 'Mot de passe') `
  -Enabled $true

Add-ADGroupMember -Identity 'GS-Comptabilite' -Members 'c.durand'

Ces habitudes n’ont l’air de rien dans un laboratoire de cinq machines. Elles sont pourtant exactement ce qu’un recruteur vérifie quand il vous demande de décrire votre environnement : la séparation des comptes à privilèges est l’une des mesures d’hygiène les plus citées, et savoir l’expliquer vous distingue immédiatement.

Ajouter un poste Windows 11 au domaine

Microsoft publie également des versions d’évaluation de Windows 11 Entreprise sur son centre d’évaluation. Ce poste client est indispensable : la plupart des scénarios d’attaque et de détection commencent sur un poste utilisateur, pas sur un serveur.

1. Créer la machine virtuelle

   2 vCPU, 4 Go de mémoire, 64 Go de disque, carte réseau sur le pont LAB. Windows 11 exige un module de plateforme sécurisée virtuel et un démarrage UEFI : les deux s’activent dans les options de la machine.

2. Installer sans compte en ligne

   Choisir l’installation avec un compte local, puisque la machine n’a aucun accès à Internet dans le segment isolé.

3. Vérifier la configuration réseau

   Le poste doit recevoir une adresse du serveur DHCP du domaine, et surtout avoir le contrôleur de domaine comme serveur DNS.

4. Joindre le domaine

   Depuis les paramètres système ou en PowerShell, avec un compte autorisé à joindre des machines au domaine.

5. Ouvrir une session avec un compte du domaine

   Puis vérifier que le profil se crée et que les stratégies s’appliquent.

# Verifier que le DNS pointe bien vers le controleur de domaine
Get-DnsClientServerAddress -AddressFamily IPv4

# Le domaine est-il resolu ?
Resolve-DnsName -Type SRV _ldap._tcp.ad.mondomaine.fr

# Joindre le domaine et renommer la machine
Add-Computer -DomainName 'ad.mondomaine.fr' -NewName 'CLI01' -Restart

# Apres redemarrage : verifier la relation d'approbation
Test-ComputerSecureChannel -Verbose

# Quelles strategies de groupe s'appliquent ?
gpresult /r

Ajouter un serveur Debian

Un laboratoire uniquement Windows donne une vision faussée. Un serveur Linux permet de travailler le durcissement, la lecture de journaux en ligne de commande, l’administration à distance et, plus tard, la centralisation des journaux.

1. Installer Debian stable

   Installation minimale, sans environnement graphique, avec seulement le serveur SSH et les utilitaires système. La procédure officielle est détaillée dans le guide d’installation Debian.

2. Fixer l’adresse et le DNS

   Adresse statique sur le segment du laboratoire, et serveur DNS pointant vers le contrôleur de domaine.

3. Durcir l’installation

   Désactiver la connexion SSH par mot de passe au profit des clés, retirer les services inutiles, activer un pare-feu local, mettre en place les mises à jour de sécurité.

4. Documenter chaque décision

   C’est ce document, et non la machine, qui constituera la preuve dans votre portfolio.

# Mettre a jour le systeme
sudo apt update && sudo apt full-upgrade -y

# Quels services ecoutent sur le reseau ?
sudo ss -tulpn

# Desactiver l'authentification SSH par mot de passe
sudo sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin no/'           /etc/ssh/sshd_config
sudo systemctl restart ssh

# Pare-feu local : tout fermer sauf SSH
sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow from 10.10.10.0/24 to any port 22 proto tcp
sudo ufw enable

# Ou vont les traces d'authentification ?
sudo journalctl -u ssh --since '1 hour ago'

Ajouter Kali Linux (optionnel)

Kali Linux est une distribution spécialisée qui rassemble des outils de test de sécurité. Sa documentation officielle est très claire sur son public : ce n’est pas une distribution destinée à un usage général ni à un débutant en Linux, mais un outil professionnel destiné à des personnes qui savent ce qu’elles font.

Dans ce laboratoire, Kali sert à deux choses et deux choses seulement : générer de l’activité observable sur le segment isolé, afin d’apprendre à la détecter depuis le contrôleur de domaine et le serveur Linux ; et se familiariser avec l’outillage que vous rencontrerez en poste, y compris en défense.

Pour un candidat qui se destine à la défense — ce qui est le cas de la grande majorité des premiers postes — l’intérêt de Kali n’est pas d’attaquer. Il est de comprendre à quoi ressemble une attaque dans les journaux, pour savoir la reconnaître. C’est exactement ce que fait un analyste SOC au quotidien.

Instantanés et sauvegardes : ce qui rend le laboratoire utilisable

Sans instantanés, un laboratoire devient vite inutilisable : on n’ose plus rien casser, donc on n’apprend plus rien. Proxmox intègre à la fois des instantanés, qui figent l’état d’une machine, et des sauvegardes, qui produisent une archive complète restaurable.

Cinq exercices défensifs simples

Le laboratoire ne vaut que par ce que vous y faites. Ces cinq exercices sont volontairement simples, reproductibles, et couvrent des gestes réellement attendus en premier poste. Chacun doit donner lieu à un compte rendu écrit.

1. Exercice 1 — retrouver une connexion échouée

   Tentez d’ouvrir une session avec un mauvais mot de passe sur le poste client, puis retrouvez l’événement correspondant dans les journaux du contrôleur de domaine. Identifiez l’identifiant d’événement, le compte concerné, la machine source et l’horodatage.

2. Exercice 2 — observer une création de compte

   Créez un utilisateur, ajoutez-le à un groupe privilégié, puis retrouvez les deux opérations dans les journaux. Expliquez pourquoi ces deux événements précis intéressent un analyste.

3. Exercice 3 — activer une journalisation détaillée

   Installez Sysmon sur le poste client avec une configuration de base, puis comparez le niveau de détail obtenu avec les journaux natifs. Documentez la différence.

4. Exercice 4 — vérifier une segmentation

   Depuis le poste client, tentez de joindre votre réseau domestique et Internet. Le résultat doit être un échec complet. Prouvez-le par une capture, et expliquez par quel mécanisme l’isolation est obtenue.

5. Exercice 5 — durcir puis contrôler

   Appliquez une mesure de durcissement sur le serveur Debian, vérifiez qu’elle est effective par un test technique, puis rédigez la fiche de contrôle correspondante. C’est exactement le geste d’un auditeur.

Niveau 2 : SIEM, EDR, pare-feu et segmentation avancée

Une fois le socle en place et les cinq exercices réalisés, le laboratoire peut s’enrichir. Ces ajouts demandent davantage de mémoire vive, et se traitent un par un plutôt que tous en même temps.

Tableau des ressources par machine

Ce tableau est aussi un outil de planification d’achat. Si vous visez le niveau 2 dès le départ, 32 Go de mémoire vive constituent un seuil raisonnable. Si vous vous en tenez au socle, 16 Go suffisent à condition de ne pas tout allumer simultanément.

Checklist finale

Dépannage des problèmes les plus fréquents

Prochaines étapes

Une fois le socle stable, la progression la plus efficace consiste à approfondir plutôt qu’à ajouter des machines. Trois directions donnent les meilleurs résultats.

• Approfondir la détection : améliorer la journalisation, écrire vos propres règles, mesurer ce que vous détectez et ce qui vous échappe
• Approfondir le durcissement : appliquer méthodiquement des mesures d’hygiène et vérifier techniquement chacune d’elles
• Approfondir la restitution : produire des comptes rendus courts, structurés et lisibles par un non-spécialiste