Description :

Description :

Vérifier les paramètres critiques

declare -A expected=(

["net.ipv4.conf.all.rp_filter"]="1"

["net.ipv4.conf.all.accept_redirects"]="0"

["net.ipv4.conf.all.send_redirects"]="0"

["net.ipv4.conf.all.accept_source_route"]="0"

["net.ipv4.conf.all.log_martians"]="1"

["net.ipv4.tcp_syncookies"]="1"

["net.ipv4.icmp_echo_ignore_broadcasts"]="1"

["net.ipv6.conf.all.accept_redirects"]="0"

["net.ipv6.conf.all.accept_source_route"]="0"

)

for key in "${!expected[@]}"; do

val=$(sysctl -n "$key" 2>/dev/null)

[ "$val" = "${expected[$key]}" ] && echo "PASS: $key = $val" \

done

**Remédiation** :

Créer `/etc/sysctl.d/90-cis-network.conf` :

CIS 3.3.1 — Source routed packets

net.ipv4.conf.all.accept_source_route = 0

net.ipv4.conf.default.accept_source_route = 0

net.ipv6.conf.all.accept_source_route = 0

net.ipv6.conf.default.accept_source_route = 0

CIS 3.3.2 — ICMP redirects

net.ipv4.conf.all.accept_redirects = 0

net.ipv4.conf.default.accept_redirects = 0

net.ipv6.conf.all.accept_redirects = 0

net.ipv6.conf.default.accept_redirects = 0

CIS 3.3.3 — Secure ICMP redirects

net.ipv4.conf.all.secure_redirects = 0

net.ipv4.conf.default.secure_redirects = 0

CIS 3.3.4 — Suspicious packets logged

net.ipv4.conf.all.log_martians = 1

net.ipv4.conf.default.log_martians = 1

CIS 3.3.5 — Broadcast ICMP requests

net.ipv4.icmp_echo_ignore_broadcasts = 1

CIS 3.3.6 — Bogus ICMP responses

net.ipv4.icmp_ignore_bogus_error_responses = 1

CIS 3.3.7 — Reverse path filtering

net.ipv4.conf.all.rp_filter = 1

net.ipv4.conf.default.rp_filter = 1

CIS 3.3.8 — TCP SYN cookies

net.ipv4.tcp_syncookies = 1

CIS 3.3.9 — IPv6 router advertisements

net.ipv6.conf.all.accept_ra = 0

net.ipv6.conf.default.accept_ra = 0

CIS 3.3.10 — Do not send ICMP redirects (not a router)

net.ipv4.conf.all.send_redirects = 0

net.ipv4.conf.default.send_redirects = 0

CIS 3.3.11 — IP forwarding

ATTENTION PVE : NE PAS DÉSACTIVER si les VM ont un accès réseau !

Proxmox gère ce paramètre — il DOIT être à 1 pour le réseau VM

net.ipv4.ip_forward = 0 # UNIQUEMENT si aucun réseau VM routé/NAT

sysctl --system

**Valeur par défaut** : La plupart de ces paramètres sont à des valeurs permissives (accept_redirects=1, log_martians=0, etc.). `ip_forward` est activé par Proxmox.

**Rollback** : `rm /etc/sysctl.d/90-cis-network.conf && sysctl --system`

**Spécificité PVE** : **`net.ipv4.ip_forward = 1` est requis par Proxmox** pour le réseau des VM (bridges, NAT). Ne le désactivez PAS. Le CIS recommande de le mettre à 0 « si le système n'est pas un routeur » mais un hyperviseur Proxmox EST effectivement un routeur pour ses VM.

---

**Remédiation** :

Créer `/etc/sysctl.d/90-cis-kernel.conf` :

**Valeur par défaut** : La plupart à 0 ou 1 (permissif). `kptr_restrict=0`, `dmesg_restrict=0`, `ptrace_scope=0`.

**Rollback** : `rm /etc/sysctl.d/90-cis-kernel.conf && sysctl --system`

---

**Remédiation** :

Créer `/etc/modprobe.d/cis-hardening.conf` :

**Valeur par défaut** : Modules chargeables à la demande.

**Rollback** : `rm /etc/modprobe.d/cis-hardening.conf && update-initramfs -u`

---

GRUB_CMDLINE_LINUX_DEFAULT="quiet init_on_alloc=1 init_on_free=1 page_alloc.shuffle=1 slab_nomerge pti=on randomize_kstack_offset=on"

update-grub

**Audit** :

**Valeur par défaut** : `quiet` uniquement.

---

**Remédiation** :

Configurer `/etc/security/pwquality.conf` :

**Valeur par défaut** : Aucune politique de complexité.

---

**Remédiation** :

Configurer `/etc/security/faillock.conf` :

**Valeur par défaut** : Pas de verrouillage.

**Spécificité PVE** : **`even_deny_root` peut bloquer le cluster.** Les migrations et la réplication Proxmox utilisent SSH root entre les nœuds. Si l'authentification échoue plusieurs fois (ex : clé expirée), le compte root se verrouille sur le nœud distant → cluster cassé. Préférer Fail2Ban (Phase 3) pour la protection brute-force de root.

---

readonly TMOUT=900
export TMOUT

**Valeur par défaut** : Informations système dans `/etc/issue` (version Debian, hostname).

---

**Remédiation** :

Créer `/etc/audit/rules.d/cis-hardening.rules` :

**Valeur par défaut** : `auditd` non installé.

**Rollback** : `systemctl stop auditd && apt purge auditd`

---

[Journal]
Storage=persistent
Compress=yes
SystemMaxUse=2G
SystemKeepFree=1G
ForwardToSyslog=yes

systemctl restart systemd-journald

**Remédiation** :

**Valeur par défaut** : Tous les services PVE actifs.

**Rollback** : `systemctl unmask <service>`

**Spécificité PVE** : Sur un nœud membre d'un cluster, ne JAMAIS masquer `corosync.service`, `pve-ha-lrm.service`, `pve-ha-crm.service`.

---

**Remédiation** :

**Valeur par défaut** : AppArmor installé et actif sur Debian 13 et PVE 9.

**Spécificité PVE** : AppArmor est utilisé par PVE pour confiner les conteneurs LXC. Les profils par défaut sont fonctionnels. ⚠️ Régressions connues sur kernel 6.17 avec LXC nested — tester si nesting est utilisé.

---

DÉPÔTS & PAQUETS
[ ] 1.1.1 — Dépôts Proxmox configurés, apt update sans erreur
[ ] 1.1.2 — unattended-upgrades configuré (sécurité Debian uniquement)
[ ] 1.1.3 — Paquets inutiles supprimés

KERNEL & BOOT
[ ] 1.2.1 — Mot de passe GRUB configuré (Level 2)
[ ] 1.2.2 — Sysctl réseau CIS 3.3.x appliqués
[ ] 1.2.3 — Sysctl kernel appliqués (Level 2)
[ ] 1.2.4 — Modules kernel inutiles blacklistés
[ ] 1.2.5 — Paramètres boot kernel appliqués (Level 2)

COMPTES & AUTH
[ ] 1.3.1 — Politique mots de passe (pwquality)
[ ] 1.3.2 — Verrouillage après échecs (faillock)
[ ] 1.3.3 — Timeout shell (TMOUT=900)
[ ] 1.3.4 — Bannière de connexion

JOURNALISATION
[ ] 1.4.1 — auditd installé + règles CIS + règle /etc/pve
[ ] 1.4.2 — journald en mode persistent

SERVICES
[ ] 1.5.1 — Services inutiles désactivés
[ ] 1.5.2 — Services PVE non utilisés masqués

APPARMOR
[ ] 1.6.1 — AppArmor actif et fonctionnel

VALIDATION
[ ] Reboot effectué
[ ] SSH fonctionnel
[ ] Web UI :8006 accessible
[ ] VM/CT de test démarrable
[ ] En cluster : migration live testée
[ ] ss -tlnp : uniquement les ports attendus