118 lines
4.6 KiB
YAML
118 lines
4.6 KiB
YAML
---
|
|
# Durcissement CIS Ubuntu 24.04 — core dumps restreints, Apport désactivé, auditd installé/actif
|
|
# (checks 35543, 35545, 35723-35726, 35756, 35757)
|
|
#
|
|
# IMPORTANT — REBOOT :
|
|
# - audit=1 et audit_backlog_limit=8192 sont ajoutés à /etc/default/grub puis `update-grub`
|
|
# régénère immédiatement /boot/grub/grub.cfg → les checks CIS 35725/35726 passent au VERT
|
|
# dès ce playbook exécuté (ils inspectent le fichier grub.cfg généré, pas le noyau en cours
|
|
# d'exécution).
|
|
# - MAIS la protection réelle (auditer les process qui démarrent avant auditd) ne prend effet
|
|
# qu'après un REDÉMARRAGE du serveur (le paramètre kernel n'est actif qu'au prochain boot).
|
|
# Ce playbook NE redémarre PAS automatiquement les serveurs — décision à prendre séparément,
|
|
# en fenêtre de maintenance, host par host (impact Docker/VPN/prod public à chaque reboot).
|
|
#
|
|
# - apport est PURGÉ (pas juste désactivé) : cohérent avec le choix déjà fait pour rsync/telnet/ftp
|
|
# dans ce même chantier. apport-core-dump-handler et python3-apport partent avec (dépendances),
|
|
# sans impact sur les services applicatifs de cette infra (aucun ne dépend d'apport).
|
|
#
|
|
# `serial: 1` + `any_errors_fatal` : un host a la fois, arret immediat si un host casse.
|
|
#
|
|
# Usage recommande : tester sur un host avant le rollout complet :
|
|
# ansible-playbook hardening/playbook-coredump-auditd-hardening.yml --limit pre-prod-uber
|
|
|
|
- name: Durcissement core dumps + apport + auditd (CIS Ubuntu 24.04)
|
|
hosts: prod,pre-prod,bdd-redis-prod,replica-prod,infra,infra-runner,infra-utils,load-balancer
|
|
become: true
|
|
serial: 1
|
|
any_errors_fatal: true
|
|
|
|
tasks:
|
|
# --- 1.5.3 Core dumps restreints ---
|
|
- name: Deployer fs.suid_dumpable=0
|
|
ansible.builtin.template:
|
|
src: ../templates/60-cis-coredump-sysctl.conf.j2
|
|
dest: /etc/sysctl.d/60-cis-coredump-sysctl.conf
|
|
owner: root
|
|
group: root
|
|
mode: "0644"
|
|
register: coredump_sysctl
|
|
|
|
- name: Appliquer fs.suid_dumpable
|
|
ansible.builtin.command:
|
|
cmd: sysctl --system
|
|
when: coredump_sysctl.changed
|
|
changed_when: true
|
|
|
|
- name: Deployer la limite hard core 0
|
|
ansible.builtin.template:
|
|
src: ../templates/60-cis-coredump-limits.conf.j2
|
|
dest: /etc/security/limits.d/60-cis-coredump.conf
|
|
owner: root
|
|
group: root
|
|
mode: "0644"
|
|
|
|
# --- 1.5.5 Apport (Automatic Error Reporting) ---
|
|
- name: Purger apport (et ses dependances python3-apport, apport-core-dump-handler)
|
|
ansible.builtin.apt:
|
|
name: apport
|
|
state: absent
|
|
purge: true
|
|
|
|
# --- 6.2.1.x auditd ---
|
|
- name: Installer auditd et audispd-plugins
|
|
ansible.builtin.apt:
|
|
name:
|
|
- auditd
|
|
- audispd-plugins
|
|
state: present
|
|
update_cache: true
|
|
cache_valid_time: 3600
|
|
|
|
- name: Demasquer, activer et demarrer auditd
|
|
ansible.builtin.systemd:
|
|
name: auditd
|
|
masked: false
|
|
enabled: true
|
|
state: started
|
|
|
|
- name: Verifier la presence de audit=1 dans GRUB_CMDLINE_LINUX
|
|
ansible.builtin.lineinfile:
|
|
path: /etc/default/grub
|
|
regexp: '^GRUB_CMDLINE_LINUX='
|
|
line: 'GRUB_CMDLINE_LINUX="audit=1 audit_backlog_limit=8192"'
|
|
backup: true
|
|
register: grub_conf
|
|
|
|
- name: Regenerer grub.cfg si la config a change
|
|
ansible.builtin.command:
|
|
cmd: update-grub
|
|
when: grub_conf.changed
|
|
changed_when: true
|
|
|
|
- name: Verifier que audit=1 est bien present dans grub.cfg genere
|
|
ansible.builtin.command:
|
|
cmd: grep -q 'audit=1' /boot/grub/grub.cfg
|
|
changed_when: false
|
|
|
|
# --- 6.2.4.9 / 6.2.4.10 Ownership des outils d'audit ---
|
|
- name: Proprietaire/groupe root:root sur les outils d'audit
|
|
ansible.builtin.file:
|
|
path: "{{ item }}"
|
|
owner: root
|
|
group: root
|
|
loop:
|
|
- /sbin/auditctl
|
|
- /sbin/aureport
|
|
- /sbin/ausearch
|
|
- /sbin/autrace
|
|
- /sbin/auditd
|
|
- /sbin/augenrules
|
|
ignore_errors: true # certains binaires peuvent etre des symlinks vers /usr/sbin selon la distro
|
|
|
|
- name: Confirmer le succes pour cet host
|
|
ansible.builtin.debug:
|
|
msg: >-
|
|
✅ Core dumps/apport/auditd appliqués sur {{ inventory_hostname }}.
|
|
REDÉMARRAGE requis pour que audit=1 protège les process pré-auditd (non fait par ce playbook).
|