Activer le paramètre noyau pour utiliser les SYN cookies TCP sur les interfaces réseau
Active les SYN cookies TCP comme défense contre les inondations SYN en positionnant net.ipv4.tcp_syncookies à 1.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Une attaque par inondation TCP SYN provoque un déni de service en saturant la table de connexions TCP du système de connexions semi-ouvertes dans l'état SYN_RCVD. Les SYN cookies permettent au noyau de valider une connexion à partir de l'ACK suivant sans conserver d'état par connexion, confirmant que l'initiateur établit une connexion valide et n'est pas une source d'inondation. Le mécanisme ne s'active qu'en situation d'inondation, de sorte que le système continue de traiter les demandes de connexion légitimes.
Ce que vérifie Pavois
Pavois lit la valeur effective via kernel_parameter('net.ipv4.tcp_syncookies'), qui reflète le noyau en cours après fusion de tous les drop-ins sysctl.conf / /etc/sysctl.d/ et des surcharges runtime. Une lecture statique de /etc/sysctl.conf peut rater un drop-in ou un sysctl -w ayant modifié la valeur effective.
describe kernel_parameter('net.ipv4.tcp_syncookies') do
its('value') { should cmp 1 }
end
describe command("grep -hsE '^[[:space:]]*net.ipv4.tcp_syncookies[[:space:]]*=[[:space:]]*1([[:space:]]|$)' /etc/sysctl.conf /etc/sysctl.d/*.conf /run/sysctl.d/*.conf /usr/lib/sysctl.d/*.conf /lib/sysctl.d/*.conf 2>/dev/null") do
its('stdout') { should match(/\S/) }
endComment vérifier qu’elle est appliquée
Exécuter sysctl net.ipv4.tcp_syncookies et attendre net.ipv4.tcp_syncookies = 1.
Inspecter et investiguer
Confirmer avec sysctl net.ipv4.tcp_syncookies. Lorsque la défense se déclenche, le noyau journalise possible SYN flooding on port N. Sending cookies., à consulter avec journalctl -k | grep -i syn ou dmesg | grep -i syn. Les compteurs de SYN cookies sont visibles via nstat -az | grep -i syncookie.
Remédiation
Le plan de durcissement de Pavois positionne net.ipv4.tcp_syncookies = 1 via la ressource sysctl, en le persistant dans un drop-in géré par Pavois et en l'appliquant à chaud (sans redémarrage). À exécuter avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | net.ipv4.tcp_syncookies |
|---|---|
| resource | sysctl |
| value | 1 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sûr et fortement recommandé pour tout hôte acceptant des connexions TCP entrantes ; la plupart des distributions l'activent par défaut. Précaution : les SYN cookies ne sont sollicités qu'en situation d'inondation, et dans ce mode certaines options TCP (ex. grandes fenêtres / window scaling) négociées dans le SYN initial peuvent être perdues pour ces connexions, compromis acceptable face à un déni de service. Aucun impact en charge normale.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R12 | direct | 2.0 | haute |
| CIS | 1.4.3, 3.3.10, 3.3.1.18 | direct | per OS, see the benchmark table | haute |
| NIST | 3.1.20, CM-6(a), CM-7(a), CM-7(b), SC-5(1), SC-5(2), SC-5(3)(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 1.4.3 | support | 4.0.1 | moyenne |
| DISA STIG | UBTU-22-253010, UBTU-24-600190 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.