Interdire la touche magique SysRq
Fixe kernel.sysrq = 0 pour désactiver la touche magique SysRq et ses commandes directes vers le noyau.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
La touche magique SysRq envoie des commandes directement au noyau en cours d'exécution, contournant les contrôles d'accès normaux. Elle peut vider l'état du système et des processus (divulguant potentiellement des informations sensibles) et peut redémarrer, arrêter, tuer tous les processus ou synchroniser/remonter les systèmes de fichiers immédiatement, perturbant la disponibilité. Quiconque dispose d'un accès physique ou à la console série (et dans certains cas via /proc/sysrq-trigger) pourrait en abuser. Fixer kernel.sysrq = 0 désactive ces fonctions.
Ce que vérifie Pavois
Pavois lit la valeur noyau en vigueur via kernel_parameter('kernel.sysrq') (équivalent à sysctl kernel.sysrq), et non une ligne de /etc/sysctl.d/*.conf. La valeur est un masque de bits : les distributions livrent souvent une valeur par défaut non nulle et un drop-in ultérieur peut réactiver certaines fonctions ; un fichier de configuration seul ne révèle donc pas ce qui est actuellement autorisé. Seul le paramètre effectif montre la politique SysRq réelle du noyau.
describe kernel_parameter('kernel.sysrq') do
its('value') { should cmp 0 }
end
describe command("grep -hsE '^[[:space:]]*kernel.sysrq[[:space:]]*=[[:space:]]*0([[:space:]]|$)' /etc/sysctl.conf /etc/sysctl.d/*.conf /run/sysctl.d/*.conf /usr/lib/sysctl.d/*.conf /lib/sysctl.d/*.conf 2>/dev/null") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez sysctl kernel.sysrq. Sortie attendue :
kernel.sysrq = 0
Inspecter et investiguer
Aucune ligne de journal dédiée pour le réglage lui-même. Vérifiez via sysctl kernel.sysrq. Chaque fois qu'une commande SysRq est réellement invoquée, le noyau journalise sysrq: ... dans dmesg/journalctl -k ; avec la valeur à 0, ces invocations sont rejetées.
Remédiation
Le plan de durcissement de Pavois utilise la ressource sysctl pour fixer kernel.sysrq = 0, le persiste dans un drop-in géré par Pavois sous /etc/sysctl.d/, et l'applique à chaud (sans redémarrage). Appliquez-le avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | kernel.sysrq |
|---|---|
| resource | sysctl |
| value | 0 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque si non appliqué : un attaquant disposant d'un accès console/série (ou à /proc/sysrq-trigger) peut arrêter, redémarrer ou vider la machine, nuisant à la disponibilité et à la confidentialité.
Précautions avant application :
- Désactiver SysRq supprime un précieux outil de récupération d'urgence et de débogage. La séquence de redémarrage sûr (
Alt+SysRq+R-E-I-S-U-B), les déclencheurs de crash et les dumps de pile à la demande ne fonctionneront plus. Si vos opérations reposent sur SysRq pour la récupération de systèmes headless ou figés, envisagez un masque de bits restrictif plutôt que0, ou assurez-vous d'une récupération hors-bande alternative (IPMI/iLO). - Aucun risque de blocage applicatif ou au démarrage ; le changement est entièrement réversible à chaud.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R9 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.