Limiter la fréquence d'échantillonnage du sous-système Perf
Fixe kernel.perf_event_max_sample_rate = 1 pour plafonner le nombre d'échantillons Perf par seconde collectés par le noyau, protégeant la disponibilité.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
kernel.perf_event_max_sample_rate définit la fréquence maximale, en échantillons par seconde, à laquelle le sous-système Perf collecte les événements. Une fréquence très élevée force le noyau à passer plus de temps à traiter les interruptions de performance, ce qui peut être détourné pour dégrader la disponibilité. Restreindre la fréquence (ici à 1 échantillon/s) réduit le risque de problèmes de disponibilité dus à une activité Perf excessive.
Ce que vérifie Pavois
Pavois lit la valeur noyau en vigueur via kernel_parameter('kernel.perf_event_max_sample_rate') (équivalent à sysctl kernel.perf_event_max_sample_rate), et non une ligne de /etc/sysctl.d/*.conf. Le noyau peut aussi ajuster automatiquement cette valeur à chaud lorsqu'il s'auto-bride ; un fichier statique ne refléterait donc pas la réalité. Seul le paramètre effectif montre la fréquence réellement appliquée.
describe kernel_parameter('kernel.perf_event_max_sample_rate') do
its('value') { should cmp 1 }
end
describe command("grep -hsE '^[[:space:]]*kernel.perf_event_max_sample_rate[[:space:]]*=[[:space:]]*1([[:space:]]|$)' /etc/sysctl.conf /etc/sysctl.d/*.conf /run/sysctl.d/*.conf /usr/lib/sysctl.d/*.conf /lib/sysctl.d/*.conf 2>/dev/null") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez sysctl kernel.perf_event_max_sample_rate. Sortie attendue :
kernel.perf_event_max_sample_rate = 1
Inspecter et investiguer
Aucune ligne de journal dédiée. Vérifiez via sysctl kernel.perf_event_max_sample_rate. Lorsque le noyau abaisse la fréquence pour cause de dépassement, il journalise perf: interrupt took too long ... lowering kernel.perf_event_max_sample_rate dans dmesg/journalctl -k.
Remédiation
Le plan de durcissement de Pavois utilise la ressource sysctl pour fixer kernel.perf_event_max_sample_rate = 1, le persiste dans un drop-in géré par Pavois sous /etc/sysctl.d/, et l'applique à chaud (sans redémarrage). Appliquez-le avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | kernel.perf_event_max_sample_rate |
|---|---|
| resource | sysctl |
| value | 1 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque si non appliqué : une fréquence d'échantillonnage Perf trop élevée laisse l'activité de profilage consommer un CPU disproportionné, menaçant la disponibilité.
Précautions avant application :
- C'est un compromis observabilité. Un maximum de 1 échantillon/s rend le profilage haute résolution pratiquement impossible ; des exécutions
perf recordlégitimes produiront des données éparses. Sur des hôtes dédiés à l'analyse de performance, assouplissez cette valeur. - Aucun risque de casse applicative ou de blocage ; le changement est entièrement réversible à chaud.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R9 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.