Restreindre l'accès non privilégié au journal du noyau
Exige que le noyau soit compilé avec CONFIG_SECURITY_DMESG_RESTRICT=y afin que kernel.dmesg_restrict vaille 1 par défaut et que seuls les processus privilégiés puissent lire le journal du noyau.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Empêche les utilisateurs non privilégiés de récupérer des adresses du noyau via dmesg. CONFIG_SECURITY_DMESG_RESTRICT fixe la valeur par défaut de kernel.dmesg_restrict à 1, de sorte que seuls les processus disposant de CAP_SYSLOG peuvent lire le tampon circulaire du noyau. Les lignes de journal du noyau divulguent régulièrement des pointeurs, contenus de pile et adresses qui contournent KASLR ; les restreindre prive un attaquant local d'un tremplin facile de divulgation d'informations vers une exploitation fiable.
Ce que vérifie Pavois
Pavois lit les options de compilation du noyau en cours d'exécution, grep '^CONFIG_SECURITY_DMESG_RESTRICT=' /boot/config-$(uname -r) ou zcat /proc/config.gz, et exige y. Lire la configuration du noyau réellement démarré (indexée sur uname -r) reflète exactement le noyau démarré ; notez que l'option de compilation ne fixe que la valeur par défaut, que kernel.dmesg_restrict peut encore surcharger à l'exécution.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_SECURITY_DMESG_RESTRICT=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_SECURITY_DMESG_RESTRICT=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep '^CONFIG_SECURITY_DMESG_RESTRICT=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep CONFIG_SECURITY_DMESG_RESTRICT). Sortie attendue :
CONFIG_SECURITY_DMESG_RESTRICT=y
Confirmez la valeur effective à l'exécution avec sysctl kernel.dmesg_restrict, elle doit renvoyer kernel.dmesg_restrict = 1.
Inspecter et investiguer
Aucune entrée de journal courante. Vérifiez la valeur en direct avec sysctl kernel.dmesg_restrict ; une tentative dmesg non privilégiée en mode restreint échoue avec Operation not permitted. Confirmez l'option de compilation avec grep CONFIG_SECURITY_DMESG_RESTRICT /boot/config-$(uname -r).
Remédiation
Il s'agit d'une option de compilation du noyau (elle fixe la valeur par défaut), Pavois ne fournit donc aucune étape de durcissement automatique pour le symbole CONFIG_ lui-même. Elle est satisfaite en démarrant un noyau de distribution compilé avec CONFIG_SECURITY_DMESG_RESTRICT=y ; un noyau personnalisé doit être recompilé. Le contrôle équivalent à l'exécution est la règle sysctl distincte fixant kernel.dmesg_restrict = 1.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
En son absence (et avec le sysctl laissé à 0), tout utilisateur local peut lire le tampon circulaire du noyau et récolter des adresses qui affaiblissent KASLR. Précautions : restreindre dmesg peut surprendre des agents de supervision, collecteurs de logs ou scripts de diagnostic non privilégiés qui analysent dmesg ; accordez-leur CAP_SYSLOG ou exécutez-les en root avant d'appliquer, et vérifiez que votre alerting collecte toujours les messages noyau pour ne pas perdre en visibilité.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R15 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.