Désactiver les hooks modifiables
Exige que le noyau ne soit pas compilé avec CONFIG_SECURITY_WRITABLE_HOOKS=y, afin que la table des hooks LSM reste en lecture seule après l'initialisation.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Si CONFIG_SECURITY_WRITABLE_HOOKS est activé, les hooks peuvent être chargés à l'exécution et la possibilité de les manipuler est un moyen de contourner tous les LSM. Lorsque la table des hooks LSM reste en lecture seule (CONFIG_SECURITY_WRITABLE_HOOKS non défini, associé à __ro_after_init), un attaquant qui obtient une primitive d'écriture noyau ne peut pas réécrire les hooks de sécurité pour neutraliser silencieusement SELinux/AppArmor, supprimant une voie de falsification puissante qui mettrait en échec toutes les protections de contrôle d'accès obligatoire d'un coup.
Ce que vérifie Pavois
Pavois lit les options de compilation du noyau en cours d'exécution, grep '^CONFIG_SECURITY_WRITABLE_HOOKS=' /boot/config-$(uname -r) ou zcat /proc/config.gz, et exige que la valeur ne soit pas y (le symbole est normalement absent). Lire la configuration du noyau réellement démarré (indexée sur uname -r) reflète exactement le noyau démarré, ce qu'une supposition de nom de paquet ou un fichier générique ne peut faire.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_SECURITY_WRITABLE_HOOKS=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should_not match(/^CONFIG_SECURITY_WRITABLE_HOOKS=y$/) }
endComment vérifier qu’elle est appliquée
Exécutez grep '^CONFIG_SECURITY_WRITABLE_HOOKS=' /boot/config-$(uname -r) (ou zcat /proc/config.gz | grep CONFIG_SECURITY_WRITABLE_HOOKS). Résultat attendu : aucune sortie, ou une ligne comme # CONFIG_SECURITY_WRITABLE_HOOKS is not set, tout sauf CONFIG_SECURITY_WRITABLE_HOOKS=y est conforme.
Inspecter et investiguer
Aucune entrée de journal courante. Confirmez directement via grep CONFIG_SECURITY_WRITABLE_HOOKS /boot/config-$(uname -r). Les LSM actifs dont cette option protège les hooks sont listés dans /sys/kernel/security/lsm.
Remédiation
Il s'agit d'une option de compilation du noyau, Pavois ne fournit donc aucune étape de durcissement automatique. Elle est satisfaite en démarrant un noyau de distribution compilé sans CONFIG_SECURITY_WRITABLE_HOOKS (le défaut de tous les noyaux Debian/Ubuntu/RHEL actuels) ; un noyau personnalisé qui l'active doit être reconfiguré et recompilé.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Si activé, une primitive d'écriture noyau peut être exploitée pour modifier la table des hooks LSM et désactiver silencieusement tout le contrôle d'accès obligatoire. Précautions : garder les hooks en lecture seule est le défaut sûr et ne casse rien, seuls des LSM hors arbre ou des modules expérimentaux devant enregistrer des hooks à l'exécution nécessiteraient des hooks modifiables, ce qui est en soi un anti-patron de sécurité. Retirer l'option revient simplement à utiliser un noyau standard ; aucun impact de service ni risque de blocage.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R20 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.