Configurer le paramètre noyau d'acceptation des redirections sécurisées par défaut
Force le noyau à rejeter les redirections ICMP sécurisées sur les nouvelles interfaces IPv4 en positionnant net.ipv4.conf.default.secure_redirects à 0.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Accepter les redirections ICMP « sécurisées » (provenant des passerelles déclarées comme passerelles par défaut) n'a que peu d'usages légitimes. Une redirection issue d'une passerelle par défaut peut tout de même servir à modifier la table de routage de l'hôte et à dérouter le trafic vers un chemin contrôlé par un attaquant (homme du milieu). Sauf dépendance réelle aux redirections dynamiques, ce comportement doit être désactivé.
Ce que vérifie Pavois
Pavois lit la valeur effective du noyau via kernel_parameter('net.ipv4.conf.default.secure_redirects'), qui reflète le réglage en cours après fusion de sysctl.conf, des drop-ins de /etc/sysctl.d/, de la ligne de commande du noyau et des surcharges runtime. Un scanner de fichiers qui ne lit que /etc/sysctl.conf rate les valeurs définies dans les drop-ins ou appliquées à chaud, et produit des résultats erronés.
describe kernel_parameter('net.ipv4.conf.default.secure_redirects') do
its('value') { should cmp 0 }
end
describe command("grep -hsE '^[[:space:]]*net.ipv4.conf.default.secure_redirects[[:space:]]*=[[:space:]]*0([[:space:]]|$)' /etc/sysctl.conf /etc/sysctl.d/*.conf /run/sysctl.d/*.conf /usr/lib/sysctl.d/*.conf /lib/sysctl.d/*.conf 2>/dev/null") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécuter sysctl net.ipv4.conf.default.secure_redirects et attendre net.ipv4.conf.default.secure_redirects = 0.
Inspecter et investiguer
Inspecter la valeur effective avec sysctl net.ipv4.conf.default.secure_redirects (et par interface via sysctl -a | grep secure_redirects). Pour observer les redirections sur le réseau, capturer les ICMP de type 5 avec tcpdump -ni any 'icmp[icmptype] == icmp-redirect'.
Remédiation
Le plan de durcissement de Pavois écrit net.ipv4.conf.default.secure_redirects = 0 via la ressource sysctl : la clé est persistée dans un drop-in géré par Pavois et appliquée à chaud, sans redémarrage. À exécuter avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | net.ipv4.conf.default.secure_redirects |
|---|---|
| resource | sysctl |
| value | 0 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sur un hôte classique, ce réglage est sûr et recommandé. Précaution : si la machine dépend réellement de redirections ICMP émises par un routeur pour découvrir de meilleures routes (cas rare, surtout réseaux anciens), la désactivation peut entraîner un routage sous-optimal. Préférer alors des routes statiques ou un démon de routage. Le réglage default n'affecte que les interfaces futures ; les interfaces existantes nécessitent aussi net.ipv4.conf.all.secure_redirects = 0 puis une réapplication ou un redémarrage d'interface pour être pleinement prises en compte.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R12 | direct | 2.0 | haute |
| CIS | 3.3.6, 3.3.1.11 | direct | per OS, see the benchmark table | haute |
| NIST | 3.1.20, CM-7(a), CM-7(b), SC-5, SC-7(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.