Sudo : 10 contrôles de durcissement Linux

Pavois audite 10 contrôles de durcissement du domaine Sudo, sur 9 systèmes Linux et 5 normes (CIS, ANSSI BP-028, NIST 800-53, PCI DSS, DISA STIG). Chaque contrôle déclare la preuve qu'il collecte, sa sévérité, sa remédiation et ses références de norme.

Le domaine en chiffres

Contrôles	10
Sévérités	élevée 1moyenne 8faible 1
Preuves collectées	config persistante 10
Normes	CISANSSI BP-028NIST 800-53PCI DSSDISA STIG
Systèmes	Debian 12Debian 13FedoraRHEL 10 / Rocky 10 / AlmaLinux 10RHEL 8 / Rocky 8 / AlmaLinux 8RHEL 9 / Rocky 9 / AlmaLinux 9Ubuntu 22.04Ubuntu 24.04Ubuntu 26.04
Profondeur de couverture	en profondeur

Que vérifie Pavois dans ce domaine ?

config persistante 10: Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.

Quelles normes ce domaine couvre-t-il ?

Un même contrôle de configuration effective sert de preuve pour plusieurs normes à la fois. Les références ci-dessous sont celles que porte réellement le corpus, jamais une équivalence revendiquée. comment lire un mapping de norme.

CIS: 2.2.6, 5.2.2, 5.2.3, 5.2.4, 5.2.5, 5.2.6
ANSSI BP-028: R39
NIST 800-53: CM-6(a), IA-11
PCI DSS: 2.2.6
DISA STIG: UBTU-22-432010, UBTU-24-300021

Les 10 contrôles du domaine Sudo

Réf.	Règle	Sév.	OS	Normes
SOCLE-CLD-IAM-058	S'assurer que les commandes privilégiées ne peuvent pas en exécuter d'autres - sudo NOEXEC	élevée	9	bp28
SOCLE-CLD-IAM-062	S'assurer que seuls les utilisateurs connectés sur un vrai tty peuvent exécuter sudo - sudo requiretty	moyenne	9	bp28
SOCLE-CLD-IAM-064	Vérifier que seuls les utilisateurs connectés à un vrai tty peuvent exécuter sudo - use_pty sudo	moyenne	9	bp28cispci-dss
SOCLE-CLD-IAM-057	S'assurer que sudo ignore les commandes du répertoire courant - sudo ignore_dot	moyenne	8	bp28
SOCLE-CLD-IAM-056	S'assurer que sudo s'exécute dans un environnement minimal - sudo env_reset	moyenne	8	bp28
SOCLE-CLD-IAM-063	Vérifier que le umask de sudo est approprié - umask sudo	moyenne	8	bp28
SOCLE-CLD-IAM-060	S'assurer que les utilisateurs se ré-authentifient pour l'élévation de privilèges - sudo	moyenne	8	cisnistpci-dss
SOCLE-CLD-IAM-059	S'assurer que les utilisateurs se ré-authentifient pour l'élévation de privilèges - sudo !authenticate	moyenne	9	cisnistpci-dssstig
SOCLE-CLD-IAM-061	Exiger une réauthentification lors de l'utilisation de la commande sudo	moyenne	8	cisnistpci-dss
SOCLE-CLD-IAM-055	Vérifier l'existence d'un fichier de journal sudo dédié	faible	8	cispci-dss

Sources & références

manuel Pavois : Durcir sudo sudo hardening & logging, blog.stephane-robert.info ↗

sudoers ↗

Catalogue complet des contrôles · Tous les domaines de contrôles