Désactiver la prise en charge de RDS
Garantit que le module noyau du protocole réseau rds (Reliable Datagram Sockets) ne peut pas être chargé.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
RDS (Reliable Datagram Sockets) est un protocole de transport spécialisé conçu pour le calcul haute performance/HPC et les grappes InfiniBand. Il est rarement nécessaire et son implémentation noyau a un historique de vulnérabilités graves (dont une faille root locale, CVE-2010-3904). Désactiver RDS protège le système contre l'exploitation de toute faille de son implémentation et retire un protocole réseau inutilisé de la surface d'attaque.
Ce que vérifie Pavois
Pavois utilise la ressource InSpec kernel_module('rds') pour confirmer que le module n'est pas chargé et qu'il est désactivé (blacklist plus une redirection install ... /bin/true). Cela reflète l'état effectif du noyau via lsmod et modprobe --showconfig, et non un grep statique de /etc/modprobe.d/, ainsi une application ou un drop-in qui chargerait automatiquement le protocole est détecté.
describe kernel_module('rds') do
it { should_not be_loaded }
it { should be_disabled }
endComment vérifier qu’elle est appliquée
Exécutez modprobe -n -v rds, la sortie doit afficher install /bin/true. Vérifiez qu'il n'est pas chargé avec lsmod | grep rds (aucune sortie attendue). modprobe --showconfig | grep rds doit afficher une ligne blacklist rds et une ligne install rds /bin/true.
Inspecter et investiguer
Les tentatives de chargement apparaissent dans le tampon noyau : dmesg | grep rds ou journalctl -k | grep rds. La politique modprobe effective est affichée par modprobe --showconfig | grep rds.
Remédiation
pavois harden apply utilise la ressource kernel_module pour mettre rds en blacklist : il écrit un drop-in sous /etc/modprobe.d/ avec blacklist rds et install rds /bin/true, et décharge le module s'il est chargé. Comme le protocole peut déjà être chargé, reboot_required est vrai pour garantir un état propre.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | blacklist |
|---|---|
| name | rds |
| reboot_required | true |
| resource | kernel_module |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque en l'absence d'application : un protocole réseau de niche au passif de CVE noyau reste chargeable et joignable.
- Avant d'appliquer, vérifiez qu'aucune application n'utilise de sockets RDS, pertinent uniquement pour certaines charges HPC/InfiniBand ou l'interconnexion Oracle RAC.
- Non perturbateur sur les serveurs et VM généralistes.
- Un redémarrage est requis pour un effet complet ; planifiez-le dans une fenêtre de maintenance.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 3.2.3, 3.2.5, 3.2.4 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a), CM-7(a), CM-7(b) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.