Sécurisation et durcissement du noyau CentOS 7 avec Sysctl

• introduction
• Commandes
• Sécurisation et durcissement du noyau
• Conclusion

introduction

Sysctlpermet à l'utilisateur d'affiner le noyau sans avoir à reconstruire le noyau. Il appliquera également les modifications immédiatement, ainsi le serveur n'aura pas besoin d'être redémarré pour que les modifications prennent effet. Ce didacticiel fournit une brève introduction sysctlet montre comment l'utiliser pour modifier des parties spécifiques du noyau Linux.

Commandes

Pour commencer à utiliser sysctl, passez en revue les paramètres et exemples répertoriés ci-dessous.

Paramètres

-a : Ceci affichera toutes les valeurs actuellement disponibles dans la configuration sysctl.

-A : Cela affichera toutes les valeurs actuellement disponibles dans la configuration sysctl sous forme de tableau.

-e : cette option ignorera les erreurs concernant les clés inconnues.

-p : Ceci est utilisé pour charger une configuration sysctl spécifique, par défaut il utilisera/etc/sysctl.conf

-n : cette option désactivera l'affichage des noms de clés lors de l'impression des valeurs.

-w : cette option permet de modifier (ou d'ajouter) des valeurs à sysctl à la demande.

Exemples

$ sysctl -a
$ sysctl -n fs.file-max
$ sysctl -w fs.file-max=2097152
$ sysctl -p

Nous vérifions donc d'abord les valeurs par défaut. Si votre /etc/sysctl.confest vide, il affichera toutes les clés et valeurs par défaut. Deuxièmement, nous vérifions la valeur de fs.file-maxpuis définissons la nouvelle valeur sur 2097152. Enfin, nous chargeons le nouveau /etc/sysctl.conffichier de configuration.

Si vous cherchez de l'aide supplémentaire, vous pouvez l'utiliser man sysctl.

Sécurisation et durcissement du noyau

Pour rendre les modifications permanentes, nous devrons ajouter ces valeurs à un fichier de configuration. Utilisez le fichier de configuration par défaut fournit CentOS, /etc/sysctl.conf.

Ouvrez le fichier avec votre éditeur préféré.

Par défaut, vous devriez voir quelque chose de similaire à ceci.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

Améliorons d'abord la gestion de la mémoire système.

Nous allons minimiser la quantité de swaps que nous devons faire, augmenter la taille des descripteurs de fichiers et du cache d'inode et limiter les vidages de mémoire.

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

Ensuite, permet de régler les performances optimisées du réseau.

Nous allons modifier la quantité de connexions entrantes et le retard des connexions entrantes, augmenter la quantité maximale de tampons de mémoire et augmenter les tampons d'envoi / réception par défaut et maximum.

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

Enfin, nous allons améliorer la sécurité générale du réseau.

Nous allons activer la protection des cookies TCP SYN, la protection contre l'usurpation d'adresse IP, l'ignorance des demandes ICMP, l'ignorance des demandes de diffusion et la journalisation des paquets usurpés, des paquets routés source et des paquets de redirection. Parallèlement à cela, nous allons désactiver le routage de la source IP et l'acceptation de la redirection ICMP.

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0

Enregistrez et fermez le fichier, puis chargez le fichier à l'aide de la sysctl -pcommande.

Conclusion

Au final, votre fichier devrait ressembler à ceci.

# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).

# Minimizing the amount of swapping
vm.swappiness = 20
vm.dirty_ratio = 80
vm.dirty_background_ratio = 5

# Increases the size of file handles and inode cache & restricts core dumps
fs.file-max = 2097152
fs.suid_dumpable = 0

# Change the amount of incoming connections and incoming connections backlog
net.core.somaxconn = 65535
net.core.netdev_max_backlog = 262144

# Increase the maximum amount of memory buffers
net.core.optmem_max = 25165824

# Increase the default and maximum send/receive buffers
net.core.rmem_default = 31457280
net.core.rmem_max = 67108864
net.core.wmem_default = 31457280
net.core.wmem_max = 67108864

# Enable TCP SYN cookie protection
net.ipv4.tcp_syncookies = 1

# Enable IP spoofing protection
net.ipv4.conf.all.rp_filter = 1

# Enable ignoring to ICMP requests and broadcasts request
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable logging of spoofed packets, source routed packets and redirect packets
net.ipv4.conf.all.log_martians = 1

# Disable IP source routing
net.ipv4.conf.all.accept_source_route = 0

# Disable ICMP redirect acceptance
net.ipv4.conf.all.accept_redirects = 0