Ajouter l'option noexec à /boot
Monte la partition /boot avec l'option noexec afin qu'aucun binaire ne puisse y être exécuté.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
La partition /boot contient le noyau, l'initramfs et les fichiers du chargeur d'amorçage. Une fois le démarrage terminé, aucun programme ne devrait y être exécuté. Monter cette partition avec noexec supprime une zone de stockage qu'un attaquant pourrait utiliser pour exécuter des binaires, et réduit la surface d'attaque sur la chaîne d'amorçage.
Ce que vérifie Pavois
Pavois lit la table de montage effective via mount('/boot') et vérifie que la liste d'options résolue contient noexec. Cela reflète la façon dont le noyau a réellement monté le système de fichiers à cet instant, y compris les options injectées par les unités de montage systemd ou par un remontage, alors que la simple lecture de /etc/fstab manquerait une partition remontée avec d'autres options ou montée par un générateur. Si /boot n'est pas un point de montage distinct, le contrôle n'a pas de partition séparée à durcir.
describe mount('/boot') do
its('options') { should include 'noexec' }
end
describe command("{ findmnt --fstab -no OPTIONS /boot 2>/dev/null; grep -hsE '[[:space:]]/boot[[:space:]]' /etc/fstab 2>/dev/null; systemctl show -p Options -- $(systemd-escape -p --suffix=mount /boot 2>/dev/null) 2>/dev/null; } | grep -ow 'noexec'") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez findmnt /boot (ou findmnt -no OPTIONS /boot) et vérifiez que noexec figure dans la liste d'options, par exemple rw,nosuid,nodev,noexec,relatime. Vous pouvez aussi consulter mount | grep ' /boot '.
Inspecter et investiguer
Utilisez findmnt /boot pour voir les options de montage en vigueur. Toute tentative d'exécuter un binaire depuis un montage noexec échoue avec Permission denied et apparaît dans la sortie du shell ; si auditd est configuré, des refus EXECVE associés peuvent apparaître dans /var/log/audit/audit.log.
Remédiation
Cette règle n'a pas de plan de durcissement automatisé : elle doit être appliquée manuellement. Ajoutez noexec à la ligne /boot de /etc/fstab (par ex. options defaults,nosuid,nodev,noexec), puis mount -o remount /boot pour l'appliquer sans redémarrer. Vérifiez avec findmnt /boot avant de considérer la tâche terminée.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | awk -v m=/boot -v o=noexec '$0!~/^[[:space:]]*#/&&$2==m{n=split($4,a,",");h=0;for(i=1;i<=n;i++)if(a[i]==o)h=1;if(!h)$4=$4","o}{print}' /etc/fstab >/etc/.fstab.pav && cat /etc/.fstab.pav >/etc/fstab && rm -f /etc/.fstab.pav; mountpoint -q /boot && mount -o remount,noexec /boot || true |
|---|---|
| name | mount-boot-noexec |
| not_if | awk -v m=/boot '$2==m&&$0!~/^[[:space:]]*#/{print $4}' /etc/fstab | tr , '\n' | grep -qx noexec |
| resource | exec |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sans noexec, un attaquant pouvant écrire dans /boot pourrait y déposer et exécuter des programmes. Le risque avant application est faible pour /boot : il ne contient normalement que des images de noyau et aucun programme. Précautions : assurez-vous que les outils de mise à jour du noyau/chargeur (par ex. grub-mkconfig, update-initramfs, kernel-install) n'ont pas besoin d'exécuter des scripts directement depuis /boot, ce n'est pas le cas sur les distributions standard. Si /boot n'est pas une partition distincte, n'ajoutez pas l'option à / aveuglément : noexec sur la racine casserait le système.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R28 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.