Désactiver l'hibernation
Exige que le noyau soit compilé sans CONFIG_HIBERNATION=y, supprimant la prise en charge de la mise en veille sur disque.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
L'hibernation (mise en veille sur disque) écrit le contenu intégral de la RAM, y compris les clés de chiffrement et autres secrets, dans une zone de swap sur le disque, puis le restaure à la reprise. Un attaquant ayant accès au disque peut lire cette image, et le chemin de reprise peut être détourné pour remplacer le noyau en cours d'exécution par une image contrôlée par l'attaquant, contournant Secure Boot et la signature des modules. Compiler le noyau sans CONFIG_HIBERNATION supprime à la fois l'image mémoire sur disque et le vecteur de remplacement du noyau.
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau en cours d'exécution, /boot/config-$(uname -r) et /proc/config.gz en mémoire, et confirme que CONFIG_HIBERNATION n'est pas à y. Vérifier la config réelle du noyau démarré (plutôt qu'un /boot/config-* obsolète ou une cible systemd masquée) reflète si la mise en veille sur disque est réellement compilée.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_HIBERNATION=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should_not match(/^CONFIG_HIBERNATION=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep '^CONFIG_HIBERNATION=' /boot/config-$(uname -r). Attendu : aucune correspondance, ou # CONFIG_HIBERNATION is not set, la ligne CONFIG_HIBERNATION=y doit être absente.
Inspecter et investiguer
L'activité d'hibernation apparaît dans le journal noyau : dmesg | grep -i -e hibernat -e 'PM: ' ou journalctl -k | grep -i hibernat. Sur les systèmes où le noyau le prend encore en charge, les cibles systemd sont visibles via systemctl status hibernate.target hybrid-sleep.target.
Remédiation
Aucune remédiation automatisée : il s'agit d'une option de compilation du noyau, pas d'un paramètre modifiable à chaud. Le plan de durcissement Pavois est vide. Pour supprimer entièrement la fonctionnalité, démarrez un noyau compilé sans CONFIG_HIBERNATION. En atténuation provisoire à l'exécution, vous pouvez désactiver les déclencheurs côté utilisateur (systemctl mask hibernate.target hybrid-sleep.target et AllowHibernation=no dans logind), mais cela ne supprime pas le chemin de reprise dans le noyau visé par cette règle.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Désactiver l'hibernation signifie que la machine ne peut plus se mettre en veille sur disque ; sur les ordinateurs portables, cela retire une fonction d'économie d'énergie et de protection de la batterie (la mise en veille en RAM reste possible). Sur les serveurs et VM, aucune perte fonctionnelle. Avant de remplacer le noyau, vérifiez que le noyau de remplacement démarre et qu'aucune charge ne dépend de la reprise après hibernation ; conservez l'entrée du noyau précédent dans le chargeur d'amorçage comme solution de repli.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R23 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.