S'assurer que /boot est sur une partition séparée
Vérifie que /boot est monté sur sa propre partition afin que des options de montage restrictives protègent le noyau et le chargeur d'amorçage.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
La partition /boot contient le noyau, l'initramfs et les fichiers du chargeur d'amorçage. La monter séparément permet d'appliquer des options de montage restrictives (nodev, nosuid, noexec, voire lecture seule hors mises à jour), limitant l'altération de la chaîne de démarrage et isolant les fichiers de boot d'un système de fichiers racine saturé.
Ce que vérifie Pavois
Pavois utilise la ressource InSpec mount('/boot'), qui lit la table de montage effective (/proc/self/mountinfo) plutôt que d'analyser /etc/fstab. Cela reflète ce que le noyau en cours d'exécution a réellement monté, captant les montages ajoutés à chaud ou les entrées fstab jamais appliquées, qu'un contrôle limité aux fichiers signalerait à tort.
describe mount('/boot') do
it { should be_mounted }
endComment vérifier qu’elle est appliquée
Exécutez :
findmnt /boot
Attendu : une ligne montrant /boot comme source montée à part (un périphérique/partition distinct). Si findmnt /boot ne renvoie rien, /boot fait partie du système de fichiers racine et la règle échoue.
Inspecter et investiguer
Inspectez les montages avec findmnt /boot ou mount | grep ' /boot ' ; la définition persistante est dans /etc/fstab. Les événements de montage/démontage apparaissent dans le journal via journalctl -k (noyau) et les journaux d'unité journalctl -u boot.mount.
Remédiation
Aucun plan de durcissement automatisé n'est fourni pour cette règle, séparer /boot sur sa propre partition est une modification manuelle de l'agencement disque, idéale à l'installation. Sur un système existant, cela exige un repartitionnement, la copie des fichiers de boot, l'ajout d'une entrée /etc/fstab et la mise à jour du chargeur d'amorçage ; Pavois ne peut pas l'effectuer sans risque à chaud.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | # /boot should be its OWN filesystem (isolation + mount options). This needs (re)partitioning , # offline disk/LVM work, not a safe runtime change. findmnt /boot >/dev/null 2>&1 && echo '/boot is already a mount point' || echo '/boot is NOT separate' # Then: dedicate an LVM volume / disk to /boot and add it to /etc/fstab. |
|---|---|
| reason | a separate /boot filesystem needs partitioning/LVM/tmpfs, not a safe runtime change |
| resource | manual |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Repartitionner /boot sur un système en service est très risqué : une erreur dans le chargeur d'amorçage ou /etc/fstab peut rendre la machine non amorçable. Précautions : planifiez-le à l'installation ; en retrofit, faites une sauvegarde complète, gardez un accès console/snapshot, validez la sortie de update-grub/grub2-mkconfig et testez un redémarrage avant de vous y fier. Le simple fait que le contrôle passe n'exige que l'existence du montage, il ne casse rien par lui-même.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R28 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.