-
Notifications
You must be signed in to change notification settings - Fork 293
/
Copy pathanssi-recommandations-configuration-systeme-gnu-linux.yaml
1642 lines (1642 loc) · 92.7 KB
/
anssi-recommandations-configuration-systeme-gnu-linux.yaml
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
498
499
500
501
502
503
504
505
506
507
508
509
510
511
512
513
514
515
516
517
518
519
520
521
522
523
524
525
526
527
528
529
530
531
532
533
534
535
536
537
538
539
540
541
542
543
544
545
546
547
548
549
550
551
552
553
554
555
556
557
558
559
560
561
562
563
564
565
566
567
568
569
570
571
572
573
574
575
576
577
578
579
580
581
582
583
584
585
586
587
588
589
590
591
592
593
594
595
596
597
598
599
600
601
602
603
604
605
606
607
608
609
610
611
612
613
614
615
616
617
618
619
620
621
622
623
624
625
626
627
628
629
630
631
632
633
634
635
636
637
638
639
640
641
642
643
644
645
646
647
648
649
650
651
652
653
654
655
656
657
658
659
660
661
662
663
664
665
666
667
668
669
670
671
672
673
674
675
676
677
678
679
680
681
682
683
684
685
686
687
688
689
690
691
692
693
694
695
696
697
698
699
700
701
702
703
704
705
706
707
708
709
710
711
712
713
714
715
716
717
718
719
720
721
722
723
724
725
726
727
728
729
730
731
732
733
734
735
736
737
738
739
740
741
742
743
744
745
746
747
748
749
750
751
752
753
754
755
756
757
758
759
760
761
762
763
764
765
766
767
768
769
770
771
772
773
774
775
776
777
778
779
780
781
782
783
784
785
786
787
788
789
790
791
792
793
794
795
796
797
798
799
800
801
802
803
804
805
806
807
808
809
810
811
812
813
814
815
816
817
818
819
820
821
822
823
824
825
826
827
828
829
830
831
832
833
834
835
836
837
838
839
840
841
842
843
844
845
846
847
848
849
850
851
852
853
854
855
856
857
858
859
860
861
862
863
864
865
866
867
868
869
870
871
872
873
874
875
876
877
878
879
880
881
882
883
884
885
886
887
888
889
890
891
892
893
894
895
896
897
898
899
900
901
902
903
904
905
906
907
908
909
910
911
912
913
914
915
916
917
918
919
920
921
922
923
924
925
926
927
928
929
930
931
932
933
934
935
936
937
938
939
940
941
942
943
944
945
946
947
948
949
950
951
952
953
954
955
956
957
958
959
960
961
962
963
964
965
966
967
968
969
970
971
972
973
974
975
976
977
978
979
980
981
982
983
984
985
986
987
988
989
990
991
992
993
994
995
996
997
998
999
1000
urn: urn:protocolpaladin:risk:library:anssi-recommandations-configuration-systeme-gnu-linux
locale: fr
ref_id: ANSSI-REC-LINUX
name: "Recommandations de s\xE9curit\xE9 relatives \xE0 un syst\xE8me GNU-Linux"
description: "Renforcer la s\xE9curit\xE9 d\u2019un syst\xE8me GNU-Linux\nhttps://cyber.gouv.fr/sites/default/files/document/fr_np_linux_configuration-v2.0.pdf"
copyright: Licence ouverte / Open Licence v2.0 (Etalab)
version: 2
publication_date: 2024-05-12
provider: ANSSI
packager: protocolpaladin
objects:
framework:
urn: urn:protocolpaladin:risk:framework:anssi-recommandations-configuration-systeme-gnu-linux
ref_id: ANSSI-REC-LINUX
name: "Recommandations de s\xE9curit\xE9 relatives \xE0 un syst\xE8me GNU-Linux"
description: "Renforcer la s\xE9curit\xE9 d\u2019un syst\xE8me GNU-Linux"
implementation_groups_definition:
- ref_id: M
name: minimal
description: null
- ref_id: I
name: "interm\xE9diaire "
description: null
- ref_id: R
name: "renforc\xE9"
description: null
- ref_id: E
name: "\xE9lev\xE9"
description: null
requirement_nodes:
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4
assessable: false
depth: 1
ref_id: '4'
name: "Configuration mat\xE9rielle"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.1
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4
ref_id: '4.1'
name: "Support mat\xE9riel"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r1
assessable: true
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.1
ref_id: R1
name: "Choisir et configurer son mat\xE9riel"
description: "Il est conseill\xE9 d\u2019appliquer les recommandations du support\
\ mat\xE9riel mentionn\xE9es dans la note technique \xAB Recommandations de\
\ configuration mat\xE9rielle de postes clients et serveurs x86 \xBB. Les\
\ recommandations de la note technique \xAB Recommandations de configuration\
\ mat\xE9rielle de postes clients et serveurs x86 \xBB s\u2019appliquent aux\
\ architectures x86. L\u2019approche reste cependant applicable \xE0 d\u2019\
autres architectures \xE0 ceci pr\xE8s que les m\xE9canismes et directives\
\ de configuration seront susceptibles d\u2019\xEAtre diff\xE9rents."
implementation_groups:
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.2
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4
ref_id: '4.2'
name: BIOS/UEFI
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r2
assessable: true
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.2
ref_id: R2
name: Configurer le BIOS/UEFI
description: "Il est conseill\xE9 d\u2019appliquer les recommandations de la\
\ configuration du BIOS/UEFI mentionn\xE9es dans la note technique \xAB Recommandations\
\ de configuration mat\xE9rielle de postes clients et serveurs x86 \xBB."
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.3
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4
ref_id: '4.3'
name: "D\xE9marrage s\xE9curis\xE9 UEFI"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.3.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.3
ref_id: 4.3.1
name: "Cl\xE9s pr\xE9charg\xE9es"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r3
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.3.1
ref_id: R3
name: "Activer le d\xE9marrage s\xE9curis\xE9 UEFI"
description: "Il est recommand\xE9 d\u2019activer la configuration du d\xE9\
marrage s\xE9curis\xE9 UEFI associ\xE9e \xE0 \nla distribution."
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.3.2
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.3
ref_id: 4.3.2
name: "Nouvelles cl\xE9s"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r4
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:4.3.2
ref_id: R4
name: "Remplacer les cl\xE9s pr\xE9charg\xE9es"
description: "Il est recommand\xE9 de remplacer les cl\xE9s pr\xE9charg\xE9\
es dans l\u2019UEFI par de nouvelles cl\xE9s avec lesquelles seront sign\xE9\
s : le chargeur de d\xE9marrage et le noyau Linux ou l\u2019image du noyau\
\ Linux au format EFI."
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5
assessable: false
depth: 1
ref_id: '5'
name: Configuration du noyau Linux
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.1
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5
ref_id: '5.1'
name: "Chargeur de d\xE9marrage"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r5
assessable: true
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.1
ref_id: R5
name: "Configurer un mot de passe pour le chargeur de d\xE9marrage"
description: "Un chargeur de d\xE9marrage permettant de prot\xE9ger son d\xE9\
marrage par mot de passe est \xE0 privil\xE9gier. Ce mot de passe doit emp\xEA\
cher un utilisateur quelconque de modifier ses options de configuration.\L\
\LQuand le chargeur de d\xE9marrage n\u2019offre pas la possibilit\xE9 de\
\ lui adjoindre un mot de passe, une autre mesure technique ou organisationnelle\
\ doit \xEAtre mise en place afin de bloquer toutes tentatives de modification\
\ des options de configuration par un utilisateur non-autoris\xE9."
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5
ref_id: '5.2'
name: Configuration dynamique
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r6
assessable: true
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2
ref_id: R6
name: "Prot\xE9ger les param\xE8tres de ligne de commande du noyau et l\u2019\
initramfs"
description: "Il est recommand\xE9 de prot\xE9ger les param\xE8tres de ligne\
\ de commande du noyau Linux et l\u2019initramfs pour qu\u2019ils soient v\xE9\
rifi\xE9s lors du d\xE9marrage s\xE9curis\xE9 UEFI."
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2
ref_id: 5.2.1
name: "Configuration de la m\xE9moire"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r7
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.1
ref_id: R7
name: "Activer l\u2019IOMMU"
description: "Il est recommand\xE9 d\u2019activer l\u2019IOMMU en ajoutant la\
\ directive iommu=force \xE0 la liste des param\xE8tres du noyau lors du d\xE9\
marrage en plus de celles d\xE9j\xE0 pr\xE9sentes dans les fichiers de configuration\
\ du chargeur de d\xE9marrage."
implementation_groups:
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r8
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.1
ref_id: R8
name: "Param\xE9trer les options de configuration de la m\xE9moire"
description: "Les listes ci-dessous pr\xE9sentent les options de configuration\
\ de la m\xE9moire recommand\xE9es."
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.2
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2
ref_id: 5.2.2
name: Configuration du noyau
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r9
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.2
ref_id: R9
name: "Param\xE9trer les options de configuration du noyau"
description: "La liste ci-dessous pr\xE9sente les options de configuration du\
\ noyau recommand\xE9es.\L\LListe des options de configuration du noyau recommand\xE9\
es \L\nLes options de configuration du noyau d\xE9taill\xE9es dans cette liste\
\ sont pr\xE9sent\xE9es telles que rencontr\xE9es dans le fichier de configuration\
\ sysctl.conf : \L\n# Restreint l'acc\xE8s au buffer dmesg (\xE9quivalent\
\ \xE0\L# CONFIG_SECURITY_DMESG_RESTRICT=y)\Lkernel.dmesg_restrict=1\L# Cache\
\ les adresses noyau dans /proc et les diff\xE9rentes autres interfaces, y\
\ compris aux utilisateurs privil\xE9gi\xE9s \nkernel.kptr_restrict=2 \n#\
\ Sp\xE9cifie explicitement l'espace d'identifiants de processus support\xE9\
\ par le noyau, 65 536 \xE9tant une valeur donn\xE9e \xE0 titre d'exemple\
\ kernel.pid_max=65536\L# Restreint l'utilisation du sous-syst\xE8me perf\L\
kernel.perf_cpu_time_max_percent=1 \nkernel.perf_event_max_sample_rate=1 \n\
# Interdit l'acc\xE8s non privil\xE9gi\xE9 \xE0 l'appel syst\xE8me perf_event_open().\
\ Avec une valeur plus grande que 2, on impose la possession de CAP_SYS_ADMIN,\
\ pour pouvoir recueillir les \xE9v\xE8nements perf.\Lkernel.perf_event_paranoid=2\L\
# Active l'ASLR\Lkernel.randomize_va_space=2\L# D\xE9sactive les combinaisons\
\ de touches magiques (Magic System Request Key)\Lkernel.sysrq=0\L# Restreint\
\ l'usage du BPF noyau aux utilisateurs privil\xE9gi\xE9s\Lkernel.unprivileged_bpf_disabled=1\L\
# Arr\xEAte compl\xE8tement le syst\xE8me en cas de comportement inattendu\
\ du noyau Linux\Lkernel.panic_on_oops=1"
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r10
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.2
ref_id: R10
name: "D\xE9sactiver le chargement des modules noyau"
description: "Il est recommand\xE9 de bloquer le chargement des modules noyau\
\ par l\u2019activation de \nl\u2019option de configuration du noyau kernel.modules_disabled.\n"
implementation_groups:
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.3
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2
ref_id: 5.2.3
name: Configuration des processus
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r11
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.3
ref_id: R11
name: Activer et configurer le LSM Yama
description: "Il est recommand\xE9 de charger le module de s\xE9curit\xE9 Yama\
\ lors du d\xE9marrage, par exemple en passant la directive security=yama\
\ au noyau, et d\u2019affecter \xE0 l\u2019option de configuration du noyau\
\ kernel.yama.ptrace_scope une valeur au moins \xE9gale \xE0 1."
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.4
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2
ref_id: 5.2.4
name: "Configuration du r\xE9seau"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r12
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.4
ref_id: R12
name: "Param\xE9trer les options de configuration du r\xE9seau IPv4"
description: "La liste ci-dessous pr\xE9sente les options de configuration du\
\ r\xE9seau IPv4 pour un h\xF4te \xAB serveur \xBB typique qui n\u2019effectue\
\ pas de routage et ayant une configuration IPv4 minimaliste (adressage statique).\L\
\nListe des options de configuration du r\xE9seau IPv4 recommand\xE9es \L\n\
Les options de configuration du r\xE9seau IPv4 d\xE9taill\xE9es dans cette\
\ liste sont recommand\xE9es pour un h\xF4te de type \xAB serveur \xBB n\u2019\
effectuant pas de routage et ayant une configuration IPv4 minimaliste. Elles\
\ sont pr\xE9sent\xE9es telles que rencontr\xE9es dans le fichier de configuration\
\ sysctl.conf : \L\n# Att\xE9nuation de l'effet de dispersion du JIT noyau\
\ au co\xFBt d'un compromis sur les performances associ\xE9es.\Lnet.core.bpf_jit_harden=2\L\
# Pas de routage entre les interfaces. Cette option est sp\xE9ciale et peut\
\ entrainer des modifications d'autres options. En pla\xE7ant cette option\
\ au plus t\xF4t, on s'assure que la configuration des options suivantes ne\
\ change pas. net.ipv4.ip_forward=0\L# Consid\xE8re comme invalides les paquets\
\ re\xE7us de l'ext\xE9rieur ayant comme source le r\xE9seau 127/8. \nnet.ipv4.conf.all.accept_local=0\
\ \n# Refuse la r\xE9ception de paquet ICMP redirect. Le param\xE9trage sugg\xE9\
r\xE9 de cette option est \xE0 consid\xE9rer fortement dans le cas de routeurs\
\ qui ne doivent pas d\xE9pendre d'un \xE9l\xE9ment ext\xE9rieur pour d\xE9\
terminer le calcul d'une route. M\xEAme pour le cas de machines non-routeurs,\
\ ce param\xE9trage pr\xE9munit contre les d\xE9tournements de trafic avec\
\ des paquets de type ICMP redirect. \nnet.ipv4.conf.all.accept_redirects=0\L\
net.ipv4.conf.default.accept_redirects=0\Lnet.ipv4.conf.all.secure_redirects=0\L\
net.ipv4.conf.default.secure_redirects=0\Lnet.ipv4.conf.all.shared_media=0\L\
net.ipv4.conf.default.shared_media=0\L# Refuse les informations d'en-t\xEA\
tes de source routing fournies par le paquet pour d\xE9terminer sa route.\L\
net.ipv4.conf.all.accept_source_route=0\Lnet.ipv4.conf.default.accept_source_route=0\
\ \n# Emp\xEAche le noyau Linux de g\xE9rer la table ARP globalement. Par\
\ d\xE9faut, il peut r\xE9pondre \xE0 une requ\xEAte ARP d'une interface X\
\ avec les informations d'une interface Y. Ce comportement est probl\xE9matique\
\ pour les routeurs et les \xE9quipements d'un syst\xE8me en haute disponibilit\xE9\
\ (VRRP...).\Lnet.ipv4.conf.all.arp_filter=1 \n# Ne r\xE9pond aux sollicitations\
\ ARP que si l'adresse source et destination sont sur # le m\xEAme r\xE9seau\
\ et sur l'interface sur laquelle le paquet a \xE9t\xE9 re\xE7u. Il est \xE0\
\ noter que la configuration de cette option est \xE0 \xE9tudier selon le\
\ cas d'usage. net.ipv4.conf.all.arp_ignore=2 \n# Refuse le routage de paquet\
\ dont l'adresse source ou destination est celle de la boucle locale. Cela\
\ interdit l'\xE9mission de paquet ayant comme source 127/8.\Lnet.ipv4.conf.all.route_localnet=0\L\
# Ignore les sollicitations de type gratuitous ARP. Cette configuration est\
\ efficace contre les attaques de type ARP poisoning mais ne s'applique qu'en\
\ association avec un ou plusieurs proxy ARP ma\xEEtris\xE9s. Elle peut \xE9\
galement \xEAtre probl\xE9matique sur un r\xE9seau avec des \xE9quipements\
\ en haute disponibilit\xE9 (VRRP...) net.ipv4.conf.all.drop_gratuitous_arp=1\L\
# V\xE9rifie que l'adresse source des paquets re\xE7us sur une interface donn\xE9\
e aurait bien \xE9t\xE9 contact\xE9e via cette m\xEAme interface. \xC0 d\xE9\
faut, le paquet est ignor\xE9. Selon l'usage, la valeur 1 peut permettre d'accro\xEE\
tre la v\xE9rification \xE0 l'ensemble des interfaces, lorsque l'\xE9quipement\
\ est un routeur dont le calcul de # routes est dynamique. Le lecteur int\xE9\
ress\xE9 est renvoy\xE9 \xE0 la RFC3704 pour tout compl\xE9ment concernant\
\ cette fonctionnalit\xE9.\Lnet.ipv4.conf.default.rp_filter=1\Lnet.ipv4.conf.all.rp_filter=1\L\
# Cette option ne doit \xEAtre mise \xE0 1 que dans le cas d'un routeur, car\
\ pour ces \xE9quipements l'envoi de ICMP redirect est un comportement normal.\
\ Un \xE9quipement terminal n'a pas de raison de recevoir un flux dont il\
\ n'est pas destinataire et donc d'\xE9mettre un paquet ICMP redirect.\Lnet.ipv4.conf.default.send_redirects=0\L\
net.ipv4.conf.all.send_redirects=0\L# Ignorer les r\xE9ponses non conformes\
\ \xE0 la RFC 1122\Lnet.ipv4.icmp_ignore_bogus_error_responses=1\L# Augmenter\
\ la plage pour les ports \xE9ph\xE9m\xE8res\Lnet.ipv4.ip_local_port_range=32768\
\ 65535\L# RFC 1337\Lnet.ipv4.tcp_rfc1337=1\L# Utilise les SYN cookies. Cette\
\ option permet la pr\xE9vention d'attaque de type SYN flood.\Lnet.ipv4.tcp_syncookies=1"
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r13
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.4
ref_id: R13
name: "D\xE9sactiver le plan IPv6"
description: "Quand IPv6 n\u2019est pas utilis\xE9, il est recommand\xE9 de\
\ d\xE9sactiver la pile IPv6 en :\L\LAjoutant la directive ipv6.disable=1\
\ \xE0 la liste des param\xE8tres du noyau choisi lors du d\xE9marrage en\
\ plus de celles d\xE9j\xE0 pr\xE9sentes dans les fichiers de configuration\
\ du chargeur de d\xE9marrage\LActivant les options de configuration du r\xE9\
seau pr\xE9sent\xE9es dans la liste ci-dessous.\L\nListe des options de configuration\
\ du r\xE9seau pour d\xE9sactiver le plan IPv6\L\nLes options de configuration\
\ du r\xE9seau d\xE9taill\xE9es dans cette liste d\xE9sactivent le plan IPv6.\
\ Elles sont pr\xE9sent\xE9es telles que rencontr\xE9es dans le fichier de\
\ configuration sysctl.conf : \L\Lnet.ipv6.conf.default.disable_ipv6=1 \n\
net.ipv6.conf.all.disable_ipv6=1"
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.5
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2
ref_id: 5.2.5
name: "Configuration des syst\xE8mes de fichiers"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r14
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.2.5
ref_id: R14
name: "Param\xE9trer les options de configuration des syst\xE8mes de fichiers"
description: "La liste ci-dessous pr\xE9sente les options de configuration des\
\ syst\xE8mes de fichiers recommand\xE9es au format du ficher de configuration\
\ sysctl.conf.\L\nListe des options de configuration des syst\xE8mes de fichiers\
\ recommand\xE9es\L\nLes options de configuration des syst\xE8mes de fichiers\
\ d\xE9taill\xE9es dans cette liste sont pr\xE9sent\xE9es telles que rencontr\xE9\
es dans le fichier de configuration sysctl.conf :\L\n# D\xE9sactive la cr\xE9\
ation de coredump pour les ex\xE9cutables setuid\L# Notez qu'il est possible\
\ de d\xE9sactiver tous les coredumps avec la configuration CONFIG_COREDUMP=n\L\
fs.suid_dumpable = 0\L# Disponible \xE0 partir de la version 4.19 du noyau\
\ Linux, permet d'interdire l'ouverture des FIFOS et des fichiers \"r\xE9\
guliers\" qui ne sont pas la propri\xE9t\xE9 de l'utilisateur dans les dossiers\
\ sticky en \xE9criture pour tout le monde.\Lfs.protected_fifos=2\Lfs.protected_regular=2\L\
# Restreint la cr\xE9ation de liens symboliques \xE0 des fichiers dont l\u2019\
utilisateur est propri\xE9taire. Cette option fait partie des m\xE9canismes\
\ de pr\xE9vention contre les vuln\xE9rabilit\xE9s de la famille Time of Check\
\ - Time of Use (Time of Check - Time of Use)\Lfs.protected_symlinks=1\L#\
\ Restreint la cr\xE9ation de liens durs \xE0 des fichiers dont l'utilisateur\
\ est propri\xE9taire. Ce sysctl fait partie des m\xE9canismes de pr\xE9vention\
\ contre les vuln\xE9rabilit\xE9s Time of Check - Time of Use, mais aussi\
\ contre la possibilit\xE9 de conserver des acc\xE8s \xE0 des fichiers obsol\xE8\
tes\Lfs.protected_hardinks=1"
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5
ref_id: '5.3'
name: Configuration statique
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3
ref_id: 5.3.1
name: "Configuration ind\xE9pendante de la cible mat\xE9rielle"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r15
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.1
ref_id: R15
name: "Param\xE9trer les options de compilation pour la gestion de la m\xE9\
moire"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour durcir la gestion de la m\xE9moire.\L\nListe\
\ des options de compilation du noyau recommand\xE9es pour durcir la gestion\
\ de la m\xE9moire\L\n# Cette option a remplac\xE9 CONFIG_DEBUG_RODATA dans\
\ le noyau (>=4.11) qui \xE9tait une d\xE9pendance de CONFIG_DEBUG_KERNEL\L\
CONFIG_STRICT_KERNEL_RWX=y\L# CONFIG_ARCH_OPTIONAL_KERNEL_RWX et CONFIG_ARCH_HAS_STRICT_KERNEL_RWX\
\ sont des d\xE9pendances de CONFIG_STRICT_KERNEL_RWX\LCONFIG_ARCH_OPTIONAL_KERNEL_RWX=y\
\ \nCONFIG_ARCH_HAS_STRICT_KERNEL_RWX=y \n# V\xE9rifie et rapporte les permissions\
\ de mapping m\xE9moire dangereuses, par # exemple, lorsque les pages noyau\
\ sont en \xE9criture et sont ex\xE9cutables. Cette option n'est pas disponible\
\ sur l'ensemble des architectures mat\xE9rielles (x86 >=4.4, arm64 >=4.10,\
\ etc.).\LCONFIG_DEBUG_WX=y\L# D\xE9sactive le syst\xE8me de fichiers utilis\xE9\
\ uniquement dans le cadre de d\xE9bogage. Prot\xE9ger ce syst\xE8me de fichiers\
\ n\xE9cessite un travail suppl\xE9mentaire. \nCONFIG_DEBUG_FS=n \n# A partir\
\ de la version 4.18 du noyau, ces options ajoutent -fstack-protector-strong\
\ \xE0 la compilation afin de renforcer le stack canary, il est n\xE9cessaire\
\ d'avoir une version de GCC au moins \xE9gale \xE0 4.9.\L# Avant la version\
\ 4.18 du noyau linux, il faut utiliser les options CONFIG_CC_STACKPROTECTOR\
\ et CONFIG_CC_STACKPROTECTOR_STRONG\LCONFIG_STACKPROTECTOR=y\LCONFIG_STACKPROTECTOR_STRONG=y\L\
# Interdit l'acc\xE8s direct \xE0 la m\xE9moire physique. En cas de besoin\
\ et uniquement dans ce cas, il est possible d'activer un acc\xE8s strict\
\ \xE0 la m\xE9moire, limitant ainsi son acc\xE8s, avec les options CONFIG_STRICT_DEVMEM=y\
\ et CONFIG_IO_STRICT_DEVMEM=y\LCONFIG_DEVMEM is not set\L# D\xE9tecte la\
\ corruption de la pile pendant l'appel \xE0 l'ordonnanceur CONFIG_SCHED_STACK_END_CHECK=y\L\
# Impose une v\xE9rification des limites du mapping m\xE9moire du processus\
\ au moment des copies de donn\xE9es.\LCONFIG_HARDENED_USERCOPY=y\L# Interdit\
\ de revenir \xE0 une v\xE9rification du mapping aupr\xE8s de l'allocateur\
\ si l'option pr\xE9c\xE9dente a \xE9chou\xE9 (<=5.15)\L#CONFIG_HARDENED_USERCOPY_FALLBACK\
\ is not set\L# Ajout de pages de garde entre les piles noyau. Cela prot\xE8\
ge contre les effets de bord des d\xE9bordements de pile (cette option n'est\
\ pas support\xE9e sur toutes # les architectures).\LCONFIG_VMAP_STACK=y\L\
# V\xE9rifications exhaustives sur les compteurs de r\xE9f\xE9rence du noyau\
\ (<=5.4)\LCONFIG_REFCOUNT_FULL=y\L# V\xE9rifie les actions de recopie m\xE9\
moire qui pourraient provoquer une corruption de structure dans les fonctions\
\ noyau str*() et mem*(). Cette v\xE9rification est effectu\xE9e \xE0 la compilation\
\ et \xE0 l'ex\xE9cution.\LCONFIG_FORTIFY_SOURCE=y\L# D\xE9sactive l'usage\
\ dangereux de l'ACPI, pouvant entrainer une \xE9criture directe en m\xE9\
moire physique.\L#CONFIG_ACPI_CUSTOM_METHOD is not set\L# Interdit tout acc\xE8\
s direct \xE0 la m\xE9moire du noyau \xE0 partir du users-ace (<=-5.12)\L\
#CONFIG_DEVKMEM is not set\L# Interdit la fourniture de la disposition de\
\ l'image noyau\L#CONFIG_PROC_KCORE is not set\L# D\xE9sactive la r\xE9trocompatibilit\xE9\
\ VDSO, qui rend impossible l\u2019usage de l\u2019ASLR\L#CONFIG_COMPAT_VDSO\
\ is not set\L# Emp\xE8che les utilisateurs non privil\xE9gi\xE9s de r\xE9\
cup\xE9rer des adresses noyau avec dmesg(8)\LCONFIG_SECURITY_DMESG_RESTRICT=y\L\
# Active les retpoline qui sont n\xE9cessaires pour se prot\xE9ger de Spectre\
\ v2 GCC >= 7.3.0 est requis.\LCONFIG_RETPOLINE=y\L# D\xE9sactive la table\
\ vsyscall. Elle n'est plus requise par la libc et est une source potentielle\
\ de ROP gadgets.\LCONFIG_LEGACY_VSYSCALL_NONE=y\LCONFIG_LEGACY_VSYSCALL_EMULATE=n\L\
CONFIG_LEGACY_VSYSCALL_XONLY=n\LCONFIG_X86_VSYSCALL_EMULATION=n"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r16
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.1
ref_id: R16
name: "Param\xE9trer les options de compilation pour les structures de donn\xE9\
es du noyau"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour prot\xE9ger les structures de donn\xE9es du noyau.\L\
\nListe des options de compilation du noyau recommand\xE9es pour prot\xE9\
ger les structures de donn\xE9es du noyau\L\L# V\xE9rifie les structures de\
\ gestion des autorisations.\nCONFIG_DEBUG_CREDENTIALS=y \n# V\xE9rifie les\
\ structures de notification.\nCONFIG_DEBUG_NOTIFIERS=y \n# V\xE9rifie les\
\ listes noyau. \nCONFIG_DEBUG_LIST=y\n# V\xE9rifie les tables de Scatter-Gather\
\ du noyau. \nCONFIG_DEBUG_SG=y \n# G\xE9n\xE8re un appel \xE0 BUG() en cas\
\ de d\xE9tection de corruption. \nCONFIG_BUG_ON_DATA_CORRUPTION=y"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r17
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.1
ref_id: R17
name: "Param\xE9trer les options de compilation pour l\u2019allocateur m\xE9\
moire"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour durcir l\u2019allocateur m\xE9moire.\L\nListe\
\ des options de compilation du noyau recommand\xE9es pour durcir l'allocateur\
\ m\xE9moire\L \n# Positionne les informations de cha\xEEnage des blocs libres\
\ de l'allocateur de mani\xE8re al\xE9atoire.\LCONFIG_SLAB_FREELIST_RANDOM=y\L\
# CONFI_SLAB est une d\xE9pendance de CONFIG_SLAB_FREELIST_RANDOM \nCONFIG_SLUB=y\
\ \n# Prot\xE8ge les m\xE9tadonn\xE9es de l'allocateur en int\xE9grit\xE9\
. \nCONFIG_SLAB_FREELIST_HARDENED=y \n# A partir de la version 4.13 du noyau,\
\ cette option d\xE9sactive le merge des caches SLAB\LCONFIG_SLAB_MERGE_DEFAULT=n\L\
# Active la v\xE9rification des structures de l'allocateur m\xE9moire et r\xE9\
initialise \xE0 z\xE9ro les zones allou\xE9es \xE0 leur lib\xE9ration (n\xE9\
cessite l'activation de l'option de configuration de la m\xE9moire page_poison=on\
\ ajout\xE9e \xE0 la liste des # param\xE8tres du noyau lors du d\xE9marrage).\
\ Il est pr\xE9f\xE9rable d'utiliser l'option de configuration slub_debug\
\ de la m\xE9moire ajout\xE9e \xE0 la liste des param\xE8tres du noyau lors\
\ du d\xE9marrage car elle permet une gestion plus fine du slub debug. \n\
CONFIG_SLUB_DEBUG=y\L# Nettoie les pages m\xE9moire au moment de leur lib\xE9\
ration. \nCONFIG_PAGE_POISONING=y \n# Nettoyage en profondeur d\xE9sactiv\xE9\
. Cette option a un co\xFBt important; cependant si l'impact en performance\
\ est compatible avec le besoin op\xE9rationnel de l'\xE9quipement il est\
\ recommand\xE9 de l'activer (<=5.10)\LCONFIG_PAGE_POISONING_NO_SANITY=y\L\
#Le nettoyage des pages m\xE9moire est effectu\xE9 avec une r\xE9\xE9criture\
\ de z\xE9ros en # lieu et place des donn\xE9es (<=5.10)\LCONFIG_PAGE_POISONING_ZERO=y\L\
# D\xE9sactive la r\xE9trocompatibilit\xE9 avec brk() qui rend impossible\
\ une impl\xE9mentation de brk() avec l'ASLR. \n#CONFIG_COMPAT_BRK is not\
\ set"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r18
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.1
ref_id: R18
name: "Param\xE9trer les options de compilation pour la gestion des modules\
\ noyau"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour durcir la gestion des modules noyau.\L\nListe\
\ des options de compilation du noyau recommand\xE9es pour durcir la gestion\
\ des modules noyau\L\n# Activation du support des modules \nCONFIG_MODULES=y\
\ \n# Cette option a remplac\xE9 CONFIG_DEBUG_SET_MODULE_RONX dans le noyau\
\ (>=4.11) \nCONFIG_STRICT_MODULE_RWX=y \n# Les modules doivent \xEAtre sign\xE9\
s. Attention, les modules ne doivent pas \xEAtre stripp\xE9s apr\xE8s signature.\L\
CONFIG_MODULE_SIG=y\L# Emp\xE8che le chargement des modules non sign\xE9s\
\ ou sign\xE9s avec une cl\xE9 qui ne nous appartient pas. \nCONFIG_MODULE_SIG_FORCE=y\
\ \n# Activer CONFIG_MODULE_SIG_ALL permet de signer tous les modules automatiquement\
\ pendant l'\xE9tape \"make modules_install\", sans cette option les modules\
\ doivent \xEAtre sign\xE9s manuellement en utilisant le script scripts/sign-file.\
\ L'option CONFIG_MODULE_SIG_ALL d\xE9pend de CONFIG_MODULE_SIG et CONFIG_MODULE_SIG_FORCE,\
\ elles doivent donc \xEAtre activ\xE9es.\LCONFIG_MODULE_SIG_ALL=y\L# La signature\
\ des modules utilise SHA512 comme fonction de hash CONFIG_MODULE_SIG_SHA512=y\L\
CONFIG_MODULE_SIG_HASH=\"sha512\"\L# Indique le chemin vers le fichier contenant\
\ certificat X.509 au format PEM utilis\xE9 pour relatif \xE0 la racine du\
\ noyau.\LCONFIG_MODULE_SIG_KEY=\"certs/signing_key.pem\""
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r19
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.1
ref_id: R19
name: "Param\xE9trer les options de compilation pour les \xE9v\xE8nements anormaux"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour r\xE9agir aux \xE9v\xE8nements anormaux.\L\n\
Liste des options de compilation du noyau recommand\xE9es pour r\xE9agir aux\
\ \xE9v\xE8nements anormaux\L\n# \xC9met un rapport sur les conditions d'appel\
\ \xE0 la macro noyau BUG() et tue le processus \xE0 l'origine de l'appel.\
\ Ne pas positionner cette variable peut passer sous silence un certain nombre\
\ d'erreurs critiques.\LCONFIG_BUG=y\L# Arr\xEAte le syst\xE8me en cas d'erreur\
\ critique pour couper court \xE0 tout comportement erron\xE9.\LCONFIG_PANIC_ON_OOPS=y\L\
# Emp\xEAche le red\xE9marrage de la machine suite \xE0 un panic ce qui coupe\
\ court \xE0 toute tentative d'attaque par force brute. Ceci a \xE9videmment\
\ un impact fort sur des serveurs en production.\LCONFIG_PANIC_TIMEOUT=-1"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r20
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.1
ref_id: R20
name: "Param\xE9trer les options de compilation pour les primitives de s\xE9\
curit\xE9 du noyau"
description: "La liste ci-dessous pr\xE9sente une liste des options de compilation\
\ du noyau recommand\xE9es pour configurer les primitives de s\xE9curit\xE9\
\ du noyau.\L\nListe des options de compilation du noyau recommand\xE9es pour\
\ configurer les primitives de s\xE9curit\xE9 du noyau\L\n# Active la possibilit\xE9\
\ de filtrer les appels syst\xE8me faits par une\L# application.\LCONFIG_SECCOMP=y\L\
# Active la possibilit\xE9 d'utiliser des script BPF (Berkeley Packet Filter).\
\ CONFIG_SECCOMP_FILTER=y \n# Active les primitives de s\xE9curit\xE9 du noyau\
\ Linux, n\xE9cessaire pour les LSM. \nCONFIG_SECURITY=y \n# Active Yama,\
\ qui permet de limiter simplement l'usage de l'appel syst\xE8me ptrace().\
\ Une fois les modules de s\xE9curit\xE9 utilis\xE9s par le syst\xE8me s\xE9\
lectionn\xE9, il convient de d\xE9sactiver le support des autres modules de\
\ s\xE9curit\xE9 dans le noyau afin de r\xE9duire la surface d'attaque. CONFIG_SECURITY_YAMA=y\
\ \n# Assure que les structures noyau associ\xE9es aux LSM sont toujours mapp\xE9\
es en lecture seule apr\xE8s le d\xE9marrage du syst\xE8me. Dans le cas o\xF9\
\ SELinux est utilis\xE9, il faut s'assurer que CONFIG_SECURITY_SELINUX_DISABLE\
\ is not set, pour que cette option soit disponible. Il n'est alors plus possible\
\ de d\xE9sactiver un LSM une fois le noyau d\xE9marr\xE9. Il est en revanche\
\ encore possible de le faire en modifiant la ligne de commande du noyau.\
\ Pour le noyau 4.18 les LSM pr\xE9sents sont: AppArmor, LoadPin, SELinux,\
\ Smack, TOMOYO et Yama.\L#CONFIG_SECURITY_WRITABLE_HOOKS is not set"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r21
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.1
ref_id: R21
name: "Param\xE9trer les options de compilation pour les plugins du compilateur"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour configurer les plugins du compilateur.\L\nListe\
\ des options de compilation du noyau recommand\xE9es pour configurer les\
\ plugins du compilateur\L\n# Active le support des plugins du compilateur\
\ (implique l'usage de GCC). \nCONFIG_GCC_PLUGINS=y \n# Amplifie la g\xE9\
n\xE9ration d'entropie au d\xE9marrage de l'\xE9quipement pour ceux ayant\
\ des sources d'entropie inappropri\xE9es\LCONFIG_GCC_PLUGIN_LATENT_ENTROPY=y\L\
# Nettoie le contenu de la pile au moment de l'appel syst\xE8me exit. CONFIG_GCC_PLUGIN_STACKLEAK=y\
\ \n# Impose l'initialisation des structures en m\xE9moire pour \xE9viter\
\ la fuite de donn\xE9es par superposition avec une ancienne structure.\L\
CONFIG_GCC_PLUGIN_STRUCTLEAK=y\L# Globalisation de l'option pr\xE9c\xE9dente\
\ au cas du passage de structure par r\xE9f\xE9rence entre fonction si celles-ci\
\ ont des champs non initialis\xE9s. \nCONFIG_GCC_PLUGIN_STRUCTLEAK_BYREF_ALL=y\
\ \n# Construit un plan m\xE9moire al\xE9atoire pour les structures syst\xE8\
me du noyau. Cette option a un impact fort sur les performances. L\u2019option\
\ CONFIG_GCC_PLUGIN_RANDSTRUCT_PERFORMANCE=y est \xE0 utiliser en substitution\
\ si # cet impact n'est pas acceptable.\LCONFIG_GCC_PLUGIN_RANDSTRUCT=y"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r22
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.1
ref_id: R22
name: "Param\xE9trer les options de compilation pour la pile r\xE9seau"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour configurer la pile r\xE9seau.\L\nListe des options\
\ de compilation du noyau recommand\xE9es pour configurer la pile r\xE9seau\L\
\n# D\xE9sactive le plan IPv6 \n#CONFIG_IPV6 option set. \n# Permet de pr\xE9\
venir les attaques de type SYN flood. \nCONFIG_SYN_COOKIES=y"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r23
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.1
ref_id: R23
name: "Param\xE9trer les options de compilation pour divers comportements du\
\ noyau"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour configurer divers comportements du noyau.\L\n\
Certains comportements du noyau Linux peuvent augmenter inutilement la surface\
\ d\u2019attaque du noyau. Si ceux-ci ne sont pas absolument n\xE9cessaires,\
\ ils ne doivent pas \xEAtre activ\xE9s.\L\nListe des options de compilation\
\ du noyau recommand\xE9es pour configurer divers comportements du noyau\L\
\n# Interdit l'ex\xE9cution d'une nouvelle image noyau \xE0 chaud. \n#CONFIG_KEXEC\
\ is not set \n# Interdit le passage en mode hibernation, qui permet de substituer\
\ l'image noyau \xE0 son insu.\L#CONFIG_HIBERNATION is not set\L# D\xE9sactive\
\ le support de format binaire arbitraire. \n#CONFIG_BINFMT_MISC is not set\
\ \n# Impose l'utilisation des ptys modernes (devpts) dont on peut contr\xF4\
ler le nombre et l'usage.\L#CONFIG_LEGACY_PTYS is not set\L# Si le support\
\ des modules n'est pas absolument n\xE9cessaire celui-ci doit \xEAtre d\xE9\
sactiv\xE9. \n#CONFIG_MODULES is not set"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.2
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3
ref_id: 5.3.2
name: "Configuration sp\xE9cifique aux architectures mat\xE9rielles"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r24
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.2
ref_id: R24
name: "Param\xE9trer les options de compilation sp\xE9cifiques aux architectures\
\ 32 bits"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour les architectures de type x86 32 bits. Elles\
\ ne sont pas toutes pertinentes sur des architectures 64 bits.\L\nListe des\
\ options de compilation du noyau recommand\xE9es pour les architectures 32\
\ bits\L\n# Active le support des extensions d'adresse physique, ce qui est\
\ un pr\xE9requis pour le support du bit de permission NX dans la table des\
\ pages qui permet de # marquer certaines pages comme non ex\xE9cutables.\L\
CONFIG_HIGHMEM64G=y\LCONFIG_X86_PAE=y\L# Interdit l'utilisation d'adresses\
\ m\xE9moire en dessous d'une certaine valeur\L# (contre-mesure contre les\
\ null pointer dereference). CONFIG_DEFAULT_MMAP_MIN_ADDR=65536\L# Rend non\
\ pr\xE9dictible l'adresse de base du noyau. Cette option complexifie la t\xE2\
che d'un attaquant.\LCONFIG_RANDOMIZE_BASE=y"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r25
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.2
ref_id: R25
name: "Param\xE9trer les options de compilation sp\xE9cifiques aux architectures\
\ x86_64 bits"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour les architectures de type x86_64 bits. Elles\
\ ne sont pas toutes pertinentes sur des architectures 32 bits.\L\nListe des\
\ options de compilation du noyau recommand\xE9es pour les architectures x86_64\
\ bits\L\n# Activate le mode complet 64 bits. \nCONFIG_X86_64=y \n# Interdit\
\ l'utilisation d'adresses m\xE9moire en dessous d'une certaine valeur (contre-mesure\
\ contre les null pointer dereference).\LCONFIG_DEFAULT_MMAP_MIN_ADDR=65536\L\
# Rend non pr\xE9dictible l'adresse de base du noyau, cette option complexifie\
\ la t\xE2che d'un attaquant. \nCONFIG_RANDOMIZE_BASE=y \n# Rend non pr\xE9\
dictible l'adresse \xE0 laquelle les composants du noyau sont expos\xE9s dans\
\ l'espace d'adressage des processus.\LCONFIG_RANDOMIZE_MEMORY=y\L# Contre-mesure\
\ \xE0 l'attaque Meltdown. \nCONFIG_PAGE_TABLE_ISOLATION=y \n# D\xE9sactive\
\ la r\xE9tro-compatibilit\xE9 32 bits, ce qui permet de r\xE9duire la surface\
\ d'attaque mais emp\xEAche d'ex\xE9cuter des binaires 32 bits.\L#CONFIG_IA32_EMULATION\
\ is not set\L# Interdit la surcharge par processus de la Local Descriptor\
\ Table (m\xE9canisme li\xE9 \xE0 l'usage de la segmentation). \n#CONFIG_MODIFY_LDT_SYSCALL\
\ is not set"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r26
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.2
ref_id: R26
name: "Param\xE9trer les options de compilation sp\xE9cifiques aux architectures\
\ ARM"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour les architectures de type ARM.\L\nListe des options\
\ de compilation du noyau recommand\xE9es pour les architectures ARM\L \n\
# Interdit l'utilisation d'adresses m\xE9moire en dessous d'une certaine valeur\
\ (contre-mesure contre les null pointer dereference).\LCONFIG_DEFAULT_MMAP_MIN_ADDR=32768\L\
# Maximise la taille de la m\xE9moire virtuelle des processus (et de l'ASLR\
\ aff\xE9rent). \nCONFIG_VMSPLIT_3G=y \n# Interdit les mappings m\xE9moire\
\ RWX. \nCONFIG_STRICT_MEMORY_RWX=y \n# Interdit les acc\xE8s par le noyau\
\ \xE0 la m\xE9moire utilisateur (m\xE9canisme \xE9quivalent sur ARM \xE0\
\ SMAP sur x86_64).\LCONFIG_CPU_SW_DOMAIN_PAN=y\L# Cette option de compatibilit\xE9\
\ avec l'ancienne ABI ARM est dangereuse et ouvre la voie \xE0 diverses attaques.\
\ \n#CONFIG_OABI_COMPAT is unset"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r27
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:5.3.2
ref_id: R27
name: "Param\xE9trer les options de compilation sp\xE9cifiques aux architectures\
\ ARM 64 bits"
description: "La liste ci-dessous pr\xE9sente les options de compilation du\
\ noyau recommand\xE9es pour les architectures de type ARM 64 bits.\L\nListe\
\ des options de compilation du noyau recommand\xE9es pour les architectures\
\ ARM 64 bits\L\n# Interdit l'utilisation d'adresses m\xE9moire en dessous\
\ d'une certaine valeur (contre-mesure contre les null pointer dereference).\L\
CONFIG_DEFAULT_MMAP_MIN_ADDR=32768\L# Rend non pr\xE9dictible l'adresse de\
\ base du noyau, cette option complexifie la t\xE2che d'un attaquant. L'entropie\
\ n\xE9cessaire \xE0 la g\xE9n\xE9ration de l'al\xE9a doit \xEAtre fournie\
\ par l'UEFI ou, \xE0 d\xE9faut, par le chargeur de d\xE9marrage. \nCONFIG_RANDOMIZE_BASE=y\
\ \n# Interdit les acc\xE8s par le noyau \xE0 la m\xE9moire utilisateur (m\xE9\
canisme \xE9quivalent sur ARM \xE0 SMAP sur 86_64).\LCONFIG_ARM64_SW_TTBR0_PAN=y\L\
# Contre mesure \xE0 l'attaque Meltdown.\LCONFIG_UNMAP_KERNEL_AT_EL0=y \n\n"
implementation_groups:
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6
assessable: false
depth: 1
ref_id: '6'
name: "Configuration syst\xE8me"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.1
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6
ref_id: '6.1'
name: Partitionnement
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r28
assessable: true
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.1
ref_id: R28
name: Partitionnement type
description: "Le partitionnement type recommand\xE9 est le suivant :\n\nPoint\
\ de montage : /\nOptions: <sans option>\nDescription: Partition racine, contient\
\ le reste de l\u2019arborescence \nPoint de montage : /boot\nOptions: nosuid,nodev,noexec\
\ (noauto optionnel)\nDescription: Contient le noyau et le chargeur de d\xE9\
marrage. Pas d\u2019acc\xE8s n\xE9cessaire une fois le boot termin\xE9 (sauf\
\ mise \xE0 jour) \nPoint de montage : /opt\nOptions: nosuid,nodev (ro optionnel)\n\
Description: Packages additionnels au syst\xE8me. Montage en lecture seule\
\ si non utilis\xE9 \nPoint de montage : /tmp\nOptions: nosuid,nodev,noexec\n\
Description: Fichiers temporaires. Ne doit contenir que des \xE9l\xE9ments\
\ non ex\xE9cutables. Nettoy\xE9 apr\xE8s red\xE9marrage ou pr\xE9f\xE9rablement\
\ de type tmpfs \nPoint de montage : /srv\nOptions: nosuid,nodev (noexec,ro\
\ optionnels)\nDescription: Contient des fichiers servis par un service type\
\ Web, FTP... \nPoint de montage : /home\nOptions: nosuid,nodev,noexec\nDescription:\
\ Contient les HOME utilisateurs. \nPoint de montage : /proc\nOptions: hidepid=2\
\ 14\nDescription: Contient des informations sur les processus et le syst\xE8\
me \nPoint de montage : /usr\nOptions: nodev\nDescription: Contient la majorit\xE9\
\ des utilitaires et fichiers syst\xE8me \nPoint de montage : /var\nOptions:\
\ nosuid,nodev,noexec\nDescription: Partition contenant des fichiers variables\
\ pendant la vie du syst\xE8me (mails, fichiers PID, bases de donn\xE9es d\u2019\
un service) \nPoint de montage : /var/log\nOptions: nosuid,nodev,noexec\n\
Description: Contient les logs du syst\xE8me \nPoint de montage : /var/tmp\n\
Options: nosuid,nodev,noexec\nDescription: Fichiers temporaires conserv\xE9\
s apr\xE8s extinction \n"
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r29
assessable: true
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.1
ref_id: R29
name: "Restreindre les acc\xE8s au dossier /boot"
description: "Lorsque c\u2019est possible, il est recommand\xE9 de ne pas monter\
\ automatiquement la partition /boot. Dans tous les cas, l\u2019acc\xE8s au\
\ dossier /boot doit \xEAtre uniquement autoris\xE9 pour l\u2019utilisateur\
\ root.\L\nAttention \nLa modification du montage de /boot demande une adaptation\
\ des outils syst\xE8me \xE0 cette configuration particuli\xE8re, notamment\
\ pour la mise \xE0 jour du noyau et du chargeur de d\xE9marrage."
implementation_groups:
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6
ref_id: '6.2'
name: "Comptes d'acc\xE8s"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2
ref_id: 6.2.1
name: Comptes utilisateur
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r30
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2.1
ref_id: R30
name: "D\xE9sactiver les comptes utilisateur inutilis\xE9s"
description: "Les comptes utilisateur inutilis\xE9s doivent \xEAtre d\xE9sactiv\xE9\
s au niveau du syst\xE8me."
implementation_groups:
- M
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r31
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2.1
ref_id: R31
name: Utiliser des mots de passe robustes
description: "Il est conseill\xE9 d\u2019appliquer les recommandations de la\
\ note technique \xAB Recommandations relatives \xE0 l\u2019authentification\
\ multifacteur et aux mots de passe \xBB. Ce mot de passe doit \xEAtre unique\
\ et propre \xE0 chaque machine."
implementation_groups:
- M
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r32
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2.1
ref_id: R32
name: "\xC9xpirer les sessions utilisateur locales"
description: "Les sessions utilisateur locales (console TTY, session graphique)\
\ doivent \xEAtre verrouill\xE9es au bout d\u2019un certain d\xE9lai d\u2019\
inactivit\xE9."
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2.2
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2
ref_id: 6.2.2
name: Comptes administrateur
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r33
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2.2
ref_id: R33
name: "Assurer l\u2019imputabilit\xE9 des actions d\u2019administration"
description: "Les actions d\u2019administration n\xE9cessitant des privil\xE8\
ges doivent \xEAtre trac\xE9es afin de pouvoir identifier l\u2019administrateur\
\ \xE0 l\u2019origine d\u2019une activit\xE9 malveillante."
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2.3
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2
ref_id: 6.2.3
name: Comptes de service
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r34
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2.3
ref_id: R34
name: "D\xE9sactiver les comptes de service"
description: "Les comptes de service doivent \xEAtre d\xE9sactiv\xE9s."
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r35
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.2.3
ref_id: R35
name: Utiliser des comptes de service uniques et exclusifs
description: "Chaque service m\xE9tier (nginx, php, mysql, ...) ajout\xE9 par\
\ l\u2019administrateur doit poss\xE9der son propre compte syst\xE8me d\xE9\
di\xE9."
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.3
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6
ref_id: '6.3'
name: "Contr\xF4le d'acc\xE8s"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.3.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.3
ref_id: 6.3.1
name: "Mod\xE8le traditionnel Unix"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r36
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.3.1
ref_id: R36
name: "Modifier la valeur par d\xE9faut de UMASK"
description: "La valeur par d\xE9faut de UMASK des shells doit \xEAtre positionn\xE9\
e \xE0 0077 pour permettre un acc\xE8s au fichier ou au r\xE9pertoire cr\xE9\
\xE9 en lecture et \xE9criture uniquement \xE0 l\u2019utilisateur propri\xE9\
taire. Celle-ci peut \xEAtre sp\xE9cifi\xE9e dans le fichier de configuration\
\ /etc/profile que la plupart des shells (bash, dash, ksh...) utiliseront.\L\
\nLa valeur par d\xE9faut de UMASK des services doit \xEAtre \xE9tudi\xE9\
e au cas par cas mais devrait g\xE9n\xE9ralement \xEAtre \xE00027(ou plus\
\ restrictif). Ceci permet un acc\xE8s au fichier ou au r\xE9pertoire cr\xE9\
\xE9 en lecture uniquement \xE0 l\u2019utilisateur propri\xE9taire et \xE0\
\ son groupe et un acc\xE8s en \xE9criture au propri\xE9taire. Pour les services\
\ systemd, cette valeur peut \xEAtre sp\xE9cifi\xE9e dans le fichier de configuration\
\ du service avec la directive UMask=0027."
implementation_groups:
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r37
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.3.1
ref_id: R37
name: "Utiliser des fonctionnalit\xE9s de contr\xF4le d\u2019acc\xE8s obligatoire\
\ MAC"
description: "Il est recommand\xE9 d\u2019utiliser les fonctionnalit\xE9s de\
\ Mandatory Access Control ou contr\xF4le d\u2019acc\xE8s obligatoire (MAC)\
\ en plus du traditionnel mod\xE8le utilisateur Unix, Discretionary Access\
\ Control ou contr\xF4le d\u2019acc\xE8s discr\xE9tionnaire (DAC), voire \xE9\
ventuellement de les combiner avec des m\xE9canismes de cloisonnement."
implementation_groups:
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r38
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.3.1
ref_id: R38
name: "Cr\xE9er un groupe d\xE9di\xE9 \xE0 l\u2019usage de sudo"
description: "Un groupe d\xE9di\xE9 \xE0 l\u2019usage de sudo doit \xEAtre cr\xE9\
\xE9. Seuls les utilisateurs membres de ce groupe doivent avoir le droit d\u2019\
ex\xE9cuter sudo."
implementation_groups:
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r39
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.3.1
ref_id: R39
name: Modifier les directives de configuration sudo
description: "Les directives suivantes doivent \xEAtre activ\xE9es par d\xE9\
faut : \nnoexec appliquer le tag NOEXEC par d\xE9faut sur les commandes\L\
requiretty imposer \xE0 l\u2019utilisateur d\u2019avoir un tty de login\L\
use_pty utiliser un pseudo-tty lorsqu\u2019une commande est ex\xE9cut\xE9\
e\Lumask=0077 forcer umask \xE0 un masque plus restrictif \nignore_dot ignorer\
\ le \xAB . \xBB dans $PATH\Lenv_reset r\xE9initialiser les variables d\u2019\
environnement"
implementation_groups:
- I
- R
- E
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:r40
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-configuration-systeme-gnu-linux:6.3.1
ref_id: R40
name: "Utiliser des utilisateurs cibles non-privil\xE9gi\xE9s pour les commandes\
\ sudo"
description: "Les utilisateurs cibles d\u2019une r\xE8gle doivent autant que\
\ possible \xEAtre des utilisateurs non privil\xE9gi\xE9s (c\u2019est-\xE0\
-dire non root)."
implementation_groups:
- I
- R