Pavois
EN
← Tous les domaines de contrôles

Compilation du noyau : 62 contrôles de durcissement Linux

Pavois audite 62 contrôles de durcissement du domaine Compilation du noyau, sur 9 systèmes Linux et 1 norme (ANSSI BP-028). Chaque contrôle déclare la preuve qu'il collecte, sa sévérité, sa remédiation et ses références de norme.

Le domaine en chiffres

Contrôles62
Sévérités
élevée 3moyenne 48faible 11
Preuves collectées
runtime effectif 62
Normes
ANSSI BP-028
Systèmes
Debian 12Debian 13FedoraRHEL 10 / Rocky 10 / AlmaLinux 10RHEL 8 / Rocky 8 / AlmaLinux 8RHEL 9 / Rocky 9 / AlmaLinux 9Ubuntu 22.04Ubuntu 24.04Ubuntu 26.04
Profondeur de couvertureen profondeur

Que vérifie Pavois dans ce domaine ?

runtime effectif 62
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.

Quelles normes ce domaine couvre-t-il ?

Un même contrôle de configuration effective sert de preuve pour plusieurs normes à la fois. Les références ci-dessous sont celles que porte réellement le corpus, jamais une équivalence revendiquée. comment lire un mapping de norme.

ANSSI BP-028
R15, R16, R17, R18, R19, R20, R21, R22, R23, R25, R27

Les 62 contrôles du domaine Compilation du noyau

Réf.RègleSév.OSNormes
SOCLE-CLD-KRN-040Interdire le repli sur la taille de l'objet en cas de violation de la liste blanche usercopyélevée9
bp28
SOCLE-CLD-KRN-039Renforcer les copies mémoire entre le noyau et l'espace utilisateurélevée9
bp28
SOCLE-CLD-KRN-056Supprimer la cartographie du noyau en mode utilisateurélevée9
bp28
SOCLE-CLD-KRN-062Eviter les branches indirectes spéculatives dans le noyaumoyenne9
bp28
SOCLE-CLD-KRN-063Détecter la corruption de pile lors des appels à schedule()moyenne9
bp28
SOCLE-CLD-KRN-024Désactiver la compatibilité avec brk()moyenne9
bp28
SOCLE-CLD-KRN-041Désactiver l'hibernationmoyenne9
bp28
SOCLE-CLD-KRN-042Désactiver l'émulation IA32moyenne9
bp28
SOCLE-CLD-KRN-021Désactiver la prise en charge des binaires MISC par le noyaumoyenne9
bp28
SOCLE-CLD-KRN-044Désactiver la prise en charge des PTY hérités (BSD)moyenne9
bp28
SOCLE-CLD-KRN-068Désactiver les hooks modifiablesmoyenne9
bp28
SOCLE-CLD-KRN-048Désactiver la LDT (table de descripteurs locale)moyenne9
bp28
SOCLE-CLD-KRN-047Désactiver l'émulation vsyscall en exécution seulemoyenne8
bp28
SOCLE-CLD-KRN-045Désactiver l'émulation vsyscallmoyenne9
bp28
SOCLE-CLD-KRN-046Désactiver le mappage vsyscallmoyenne9
bp28
SOCLE-CLD-KRN-072Interdire la fusion des caches slabmoyenne9
bp28
SOCLE-CLD-KRN-020Émuler Privileged Access Never (PAN)moyenne9
bp28
SOCLE-CLD-KRN-050Activer la signature automatique de tous les modulesmoyenne9
bp28
SOCLE-CLD-KRN-066Activer la prise en charge des modèles de sécuritémoyenne9
bp28
SOCLE-CLD-KRN-049Activer la vérification de signature des modulesmoyenne9
bp28
SOCLE-CLD-KRN-053Activer l'empoisonnement des pages après libérationmoyenne9
bp28
SOCLE-CLD-KRN-054Activer l'empoisonnement sans vérification d'intégritémoyenne1
bp28
SOCLE-CLD-KRN-064Activer seccomp pour exécuter sans risque du bytecode non fiablemoyenne9
bp28
SOCLE-CLD-KRN-073Activer la prise en charge du débogage SLUBmoyenne9
bp28
SOCLE-CLD-KRN-022Activer la prise en charge de BUG()moyenne9
bp28
SOCLE-CLD-KRN-078Activer la prise en charge des SYN cookies TCP/IPmoyenne9
bp28
SOCLE-CLD-KRN-065Activer l'usage du Berkeley Packet Filter avec seccompmoyenne9
bp28
SOCLE-CLD-KRN-069Activer la prise en charge de Yamamoyenne9
bp28
SOCLE-CLD-KRN-037Forcer l'initialisation des variables contenant des adresses de l'espace utilisateurmoyenne9
bp28
SOCLE-CLD-KRN-034Générer de l'entropie pendant le démarrage et l'exécutionmoyenne9
bp28
SOCLE-CLD-KRN-033Durcir les fonctions str/mem courantes contre les débordements de tamponmoyenne9
bp28
SOCLE-CLD-KRN-070Durcir les métadonnées de la freelist du slabmoyenne9
bp28
SOCLE-CLD-KRN-057Panique du noyau sur oopsmoyenne9
bp28
SOCLE-CLD-KRN-076Rendre le texte et les rodata du noyau en lecture seulemoyenne9
bp28
SOCLE-CLD-KRN-077Rendre le texte et les rodata des modules en lecture seulemoyenne9
bp28
SOCLE-CLD-KRN-061Effectuer la validation complète des compteurs de référencesmoyenne9
bp28
SOCLE-CLD-KRN-036Effacer la pile noyau avant le retour des appels systèmemoyenne8
bp28
SOCLE-CLD-KRN-035Randomiser la disposition des structures sensibles du noyaumoyenne9
bp28
SOCLE-CLD-KRN-071Randomiser la freelist du slabmoyenne9
bp28
SOCLE-CLD-KRN-059Randomiser l'adresse de l'image du noyau (KASLR)moyenne9
bp28
SOCLE-CLD-KRN-060Randomiser les sections mémoire du noyaumoyenne9
bp28
SOCLE-CLD-KRN-051Exiger que les modules soient valablement signésmoyenne9
bp28
SOCLE-CLD-KRN-067Restreindre l'accès non privilégié au journal du noyaumoyenne9
bp28
SOCLE-CLD-KRN-052Signer les modules du noyau avec SHA-512moyenne9
bp28
SOCLE-CLD-KRN-074Détection des débordements de tampon par Stack Protectormoyenne9
bp28
SOCLE-CLD-KRN-075Stack Protector renforcémoyenne9
bp28
SOCLE-CLD-KRN-079Démapper le noyau lors de l'exécution en espace utilisateur (alias KAISER)moyenne9
bp28
SOCLE-CLD-KRN-055Utiliser zéro pour l'empoisonnement au lieu d'une valeur de débogagemoyenne1
bp28
SOCLE-CLD-KRN-080Utiliser une pile à mappage virtuelmoyenne9
bp28
SOCLE-CLD-KRN-031Avertir sur les mappages W+X détectés au démarragemoyenne9
bp28
SOCLE-CLD-KRN-038Initialiser à zéro tout ce qui est passé par référencemoyenne9
bp28
SOCLE-CLD-KRN-032Désactiver la prise en charge du périphérique virtuel /dev/kmemfaible9
bp28
SOCLE-CLD-KRN-043Désactiver l'appel système kexecfaible9
bp28
SOCLE-CLD-KRN-058Désactiver la prise en charge de /proc/kcorefaible9
bp28
SOCLE-CLD-KRN-025Désactiver le vDSO 32 bitsfaible9
bp28
SOCLE-CLD-KRN-081Désactiver l'émulation vsyscall x86faible9
bp28
SOCLE-CLD-KRN-019Interdire l'insertion/le remplacement des méthodes ACPI à l'exécutionfaible9
bp28
SOCLE-CLD-KRN-026Activer les vérifications de la gestion des identifiants (credentials)faible4
bp28
SOCLE-CLD-KRN-028Activer les vérifications sur la manipulation des listes chaînéesfaible9
bp28
SOCLE-CLD-KRN-029Activer les vérifications sur les chaînes d'appel de notifiersfaible9
bp28
SOCLE-CLD-KRN-030Activer les vérifications sur les opérations de tables scatter-gather (SG)faible9
bp28
SOCLE-CLD-KRN-023Déclencher un BUG noyau lorsqu'une corruption de données est détectéefaible9
bp28

Catalogue complet des contrôles · Tous les domaines de contrôles