Activer le paramètre noyau pour appliquer le DAC sur les fichiers réguliers
Définit fs.protected_regular=2 pour qu'un processus ne puisse pas créer/ouvrir un fichier régulier qu'il ne possède pas dans un répertoire sticky accessible en écriture par le groupe ou tous, bloquant les courses par usurpation de fichier.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Disponible depuis Linux 4.19, fs.protected_regular=2 interdit à un processus d'ouvrir, avec l'intention O_CREAT, un fichier régulier qu'il ne possède pas dans un répertoire sticky accessible en écriture par le groupe ou tous (comme /tmp). Cela protège contre une course par usurpation de fichier, où un attaquant pré-crée un fichier régulier à l'emplacement qu'un programme privilégié s'attend à créer lui-même, détournant les données que le programme écrit. Appliquer le DAC à ces ouvertures empêche les écritures vers un fichier contrôlé par l'attaquant.
Ce que vérifie Pavois
Pavois lit la valeur effective du noyau via la ressource kernel_parameter (équivalent à sysctl fs.protected_regular), et non /etc/sysctl.conf ou un drop-in *.conf. Une valeur écrite dans un fichier peut n'avoir jamais été chargée (faute de frappe, ordre, drop-in qui l'écrase) ; lire le noyau en cours d'exécution reflète ce qui est réellement appliqué.
describe kernel_parameter('fs.protected_regular') do
its('value') { should cmp 2 }
end
describe command("grep -hsE '^[[:space:]]*fs.protected_regular[[:space:]]*=[[:space:]]*2([[:space:]]|$)' /etc/sysctl.conf /etc/sysctl.d/*.conf /run/sysctl.d/*.conf /usr/lib/sysctl.d/*.conf /lib/sysctl.d/*.conf 2>/dev/null") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez sysctl fs.protected_regular, sortie attendue fs.protected_regular = 2.
Inspecter et investiguer
Lisez la valeur courante avec sysctl fs.protected_regular ou cat /proc/sys/fs/protected_regular. Une ouverture bloquée renvoie EACCES à l'appelant sans entrée de log noyau ; consultez les journaux propres au programme affecté.
Remédiation
Le plan de durcissement de Pavois définit la clé sysctl fs.protected_regular à 2, la persiste dans un drop-in géré et l'applique à chaud, de sorte que le noyau en cours d'exécution comme les démarrages futurs l'utilisent. Appliqué avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | fs.protected_regular |
|---|---|
| resource | sysctl |
| value | 2 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque faible sur les systèmes modernes. Cela n'affecte que les créations/ouvertures de fichiers que vous ne possédez pas dans des répertoires sticky partagés ; les applications normales écrivent dans des fichiers qu'elles possèdent ou dans leurs propres répertoires. De rares logiciels partageant des fichiers pré-créés dans /tmp entre utilisateurs pourraient recevoir EACCES, testez ces flux avant d'appliquer. Réversible en remettant la clé à 0 ou 1.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R14 | direct | 2.0 | haute |
| NIST | AC-6(1), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.