Vérifier le groupe propriétaire du fichier de sauvegarde group
Garantit que /etc/group-, la copie de sauvegarde de /etc/group, a root (gid 0) pour groupe propriétaire.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/group- est la sauvegarde de /etc/group écrite automatiquement par des outils comme useradd/groupadd. Il contient les mêmes données d'appartenance aux groupes, dont les comptes membres de groupes privilégiés. Si son groupe propriétaire n'est pas root (gid 0), un groupe non privilégié pourrait le lire pour énumérer la structure des groupes ou altérer la sauvegarde, qui pourrait ensuite être restaurée sur le fichier actif.
Ce que vérifie Pavois
Pavois lit la propriété effective de /etc/group- depuis l'inode (via stat) et vérifie gid == 0. Lire l'état réel détecte la dérive introduite par des restaurations manuelles ou des outils de sauvegarde, plutôt que de se fier à un modèle de configuration. La garde only_if ignore le contrôle sur les systèmes où la sauvegarde n'a pas encore été créée.
only_if { file('/etc/group-').exist? }
describe file('/etc/group-') do
its('gid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G %g' /etc/group-. Sortie attendue : root 0. Si le fichier de sauvegarde n'existe pas, le contrôle est ignoré.
Inspecter et investiguer
Les changements de propriété ne sont pas journalisés par défaut. Inspectez avec ls -l /etc/group- ou stat /etc/group-. Avec une surveillance auditd (auditctl -w /etc/group- -p wa), les événements chown apparaissent dans /var/log/audit/audit.log.
Remédiation
Aucun plan de durcissement automatisé n'est encore défini pour cette règle ; elle doit donc être appliquée manuellement : exécutez chgrp root /etc/group- (ou chown :root /etc/group-) pour restaurer le groupe propriétaire root.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/group- |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un mauvais groupe propriétaire sur /etc/group- expose les données d'appartenance aux groupes et une sauvegarde restaurable à des utilisateurs non privilégiés. Précautions : restaurer la propriété de groupe root est sûr et n'a aucun effet fonctionnel sur les services en cours, /etc/group- n'est consulté que lors des opérations de gestion des comptes. Vérifiez qu'aucun outil de sauvegarde ne le recréera avec une propriété incorrecte.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.2.6, 7.1.4 | direct | per OS, see the benchmark table | haute |
| NIST | AC-6 (1) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.