Activer la prise en charge des SYN cookies TCP/IP
Exige un noyau compilé avec CONFIG_SYN_COOKIES=y, activant la protection par SYN cookies contre les attaques DoS par inondation de SYN TCP.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
CONFIG_SYN_COOKIES=y compile dans le noyau la défense contre les attaques par inondation de SYN TCP. Lorsque la file des connexions semi-ouvertes (SYN) déborde, le noyau encode l'état de la connexion dans le numéro de séquence du SYN-ACK (un « cookie ») au lieu d'allouer de la mémoire : les clients légitimes peuvent encore terminer la poignée de main tandis qu'un attaquant inondant de SYN usurpés ne peut pas épuiser la file. Sans cette option, le réglage à l'exécution net.ipv4.tcp_syncookies est sans effet et l'hôte reste vulnérable à un déni de service peu coûteux.
Ce que vérifie Pavois
Pavois lit la configuration de compilation du noyau en cours d'exécution via /boot/config-$(uname -r) ou /proc/config.gz et vérifie CONFIG_SYN_COOKIES=y. Lire la config effective du noyau démarré prouve que le mécanisme de SYN cookies est compilé dans le noyau utilisé, prérequis sans lequel le sysctl net.ipv4.tcp_syncookies est inerte.
describe command("C=/boot/config-$(uname -r); if [ -r \"$C\" ]; then cat \"$C\"; elif zcat /proc/config.gz 2>/dev/null | head -1 | grep -q .; then zcat /proc/config.gz; else echo PAVOIS_NO_KERNEL_CONFIG; fi | grep -E '^(CONFIG_SYN_COOKIES=|PAVOIS_NO_KERNEL_CONFIG)'") do
its('stdout') { should_not match(/PAVOIS_NO_KERNEL_CONFIG/) }
its('stdout') { should match(/^CONFIG_SYN_COOKIES=y$/) }
endComment vérifier qu’elle est appliquée
grep '^CONFIG_SYN_COOKIES=' /boot/config-$(uname -r) || zcat /proc/config.gz | grep '^CONFIG_SYN_COOKIES='
Sortie attendue : CONFIG_SYN_COOKIES=y. Pour confirmer que la fonctionnalité est réellement active à l'exécution, vérifiez sysctl net.ipv4.tcp_syncookies (attendu = 1).
Inspecter et investiguer
Lorsque les SYN cookies se déclenchent sous charge, le noyau journalise un avertissement, examinez dmesg ou journalctl -k pour Possible SYN flooding on port <n>. Sending cookies.. Le réglage à l'exécution et les compteurs sont visibles via sysctl net.ipv4.tcp_syncookies et nstat -z | grep -i syncookie.
Remédiation
Aucune remédiation automatique n'est fournie : CONFIG_SYN_COOKIES est une option noyau à la compilation, non ajoutable à chaud. La correction consiste à démarrer un noyau compilé avec cette option, c'est déjà le cas des noyaux par défaut des OS pris en charge. Une fois compilée, assurez-vous que la fonctionnalité est bien active via la règle sysctl associée (net.ipv4.tcp_syncookies = 1). Pour un noyau personnalisé, positionnez CONFIG_SYN_COOKIES=y puis reconstruisez.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| resource | kernel_build |
|---|
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sans SYN cookies compilés, un hôte exposant un service TCP peut voir sa file SYN épuisée par une inondation de SYN usurpés à faible débit, privant de service les clients légitimes. Précautions : le remède est un changement de noyau imposant un redémarrage, planifiez une fenêtre de maintenance et gardez une entrée de boot de repli. Les SYN cookies désactivent certaines options TCP (par ex. grandes fenêtres/SACK) uniquement sur les connexions validées par cookie pendant une inondation active, un compromis négligeable ; aucune précaution n'est requise au-delà de l'activation du sysctl correspondant net.ipv4.tcp_syncookies.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R22 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.