S'assurer que /srv est sur une partition séparée
Vérifie que /srv est monté sur sa propre partition afin d'isoler les données servies et d'appliquer des options de montage restrictives.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/srv contient les données servies par l'hôte (racines web, FTP, partages réseau). Le monter sur sa propre partition permet d'appliquer des options restrictives comme nodev et nosuid, et garantit que le contenu généré par les utilisateurs ou les services ne peut pas saturer trivialement le système de fichiers racine ou de logs/audit et provoquer un déni de service.
Ce que vérifie Pavois
Pavois utilise la ressource InSpec mount('/srv'), lisant la table de montage effective (/proc/self/mountinfo) plutôt que /etc/fstab. Elle indique ce que le noyau a réellement monté, distinguant un vrai montage séparé d'une entrée fstab jamais appliquée.
describe mount('/srv') do
it { should be_mounted }
endComment vérifier qu’elle est appliquée
Exécutez :
findmnt /srv
Attendu : une ligne montrant /srv sur son propre périphérique/partition. Aucune sortie signifie que /srv fait partie du système de fichiers racine et la règle échoue.
Inspecter et investiguer
Vérifiez le montage actif avec findmnt /srv ou mount | grep ' /srv ' ; l'entrée persistante est dans /etc/fstab. Les événements d'unité de montage apparaissent via journalctl -u srv.mount et l'activité de montage du noyau via journalctl -k.
Remédiation
Aucun plan de durcissement automatisé n'est fourni pour cette règle, déplacer /srv sur sa propre partition est une modification manuelle de l'agencement disque, idéale à l'installation. En retrofit, cela exige un nouveau système de fichiers, la copie des données servies avec rsync -aXS, une entrée /etc/fstab et un remontage ; Pavois ne l'effectue pas automatiquement.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | # /srv should be its OWN filesystem (isolation + mount options). This needs (re)partitioning , # offline disk/LVM work, not a safe runtime change. findmnt /srv >/dev/null 2>&1 && echo '/srv is already a mount point' || echo '/srv is NOT separate' # Then: dedicate an LVM volume / disk to /srv and add it to /etc/fstab. |
|---|---|
| reason | a separate /srv filesystem needs partitioning/LVM/tmpfs, not a safe runtime change |
| resource | manual |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Déplacer /srv sur un serveur en service peut interrompre les services qui le lisent (web, FTP, partages de fichiers), et noexec/nosuid peuvent casser des applications exécutant des utilitaires depuis les chemins servis. Précautions : planifiez une fenêtre de maintenance, sauvegardez /srv, arrêtez les services de diffusion pendant la copie, vérifiez le nouveau montage avant de supprimer les anciennes données, puis redémarrez et testez les services. Le contrôle exige seulement l'existence du montage.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R28 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.