Rejeter les trames ARP gratuites sur toutes les interfaces IPv4
Définit net.ipv4.conf.all.drop_gratuitous_arp=1 pour que le noyau ignore les annonces ARP non sollicitées servant à l'empoisonnement de cache.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Les trames ARP gratuites sont des annonces ARP non sollicitées (« cette IP est désormais à cette MAC ») qu'un hôte diffuse sans que personne ne le demande. L'ARP n'étant pas authentifié, un attaquant peut inonder le segment de trames ARP gratuites forgées pour empoisonner les caches ARP des voisins et rediriger leur trafic vers lui, la technique de base des attaques d'homme du milieu par usurpation ARP. Définir net.ipv4.conf.all.drop_gratuitous_arp=1 fait que le noyau ignore ces annonces non sollicitées, neutralisant ce vecteur d'empoisonnement. L'usage légitime de l'ARP gratuit (ex. reprise d'IP lors d'un basculement) est le principal élément à mettre en balance.
Ce que vérifie Pavois
Pavois lit la valeur noyau effective via kernel_parameter('net.ipv4.conf.all.drop_gratuitous_arp') et vérifie qu'elle vaut 1. Le fait que l'ARP gratuit soit réellement rejeté dépend de la valeur noyau effective, pas d'un fichier de configuration : une entrée de sysctl.d écrite mais non rechargée, ou écrasée par une clé d'interface, laisserait l'hôte accepter encore les trames d'empoisonnement. Lire la valeur effective est la seule preuve que la protection est active.
describe kernel_parameter('net.ipv4.conf.all.drop_gratuitous_arp') do
its('value') { should cmp 1 }
end
describe command("grep -hsE '^[[:space:]]*net.ipv4.conf.all.drop_gratuitous_arp[[:space:]]*=[[:space:]]*1([[:space:]]|$)' /etc/sysctl.conf /etc/sysctl.d/*.conf /run/sysctl.d/*.conf /usr/lib/sysctl.d/*.conf /lib/sysctl.d/*.conf 2>/dev/null") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécutez sysctl net.ipv4.conf.all.drop_gratuitous_arp. Sortie attendue :
net.ipv4.conf.all.drop_gratuitous_arp = 1
Inspecter et investiguer
sysctl net.ipv4.conf.all.drop_gratuitous_arpaffiche la valeur courante.cat /proc/sys/net/ipv4/conf/all/drop_gratuitous_arpest la valeur brute du noyau.- Inspectez la table ARP/des voisins résolus avec
ip neigh showpour repérer des tentatives d'empoisonnement (une IP connue soudain associée à une nouvelle MAC). Utilisezsysctl -a | grep drop_gratuitous_arppour voir les valeursallet par interface.
Remédiation
Le plan de durcissement de Pavois utilise la ressource sysctl pour positionner net.ipv4.conf.all.drop_gratuitous_arp à 1. Il écrit la clé dans un drop-in géré par Pavois puis le recharge, de sorte que les trames ARP non sollicitées soient rejetées immédiatement et après redémarrage. Appliquez-le avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | net.ipv4.conf.all.drop_gratuitous_arp |
|---|---|
| resource | sysctl |
| value | 1 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
La réserve majeure concerne le basculement d'IP et la haute disponibilité : keepalived/VRRP, Pacemaker, les IP flottantes cloud et la migration à chaud reposent tous sur l'ARP gratuit pour annoncer au réseau qu'une IP virtuelle a changé de MAC. Avec drop_gratuitous_arp=1, les voisins peuvent ne pas apprendre rapidement le nouveau propriétaire, provoquant un trou noir de trafic après un basculement. Avant d'appliquer, excluez les hôtes dépendant d'une reprise d'IP pilotée par ARP gratuit, ou acceptez que la convergence du basculement puisse nécessiter un rafraîchissement ARP explicite. Sur un serveur simple à IP unique, il n'y a aucun impact fonctionnel ni risque de blocage.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R12 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.