← Toutes les règles
SOCLE-CLD-FSP-005// File ownershipmoyenneétat du système de fichiers

Vérifier le groupe propriétaire du fichier de sauvegarde passwd

Garantit que /etc/passwd-, la copie de sauvegarde de /etc/passwd, a root (gid 0) pour groupe propriétaire.

Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.

Un PASS prouve✓ actif maintenant✓ sur disque✓ survit au rebootle verdict qualifié →
Debian 12CIS 1.1.0Debian 13CIS 1.0.0FedoraRHEL 10 / Rocky 10 / AlmaLinux 10RHEL 8 / Rocky 8 / AlmaLinux 8CIS 4.0.0RHEL 9 / Rocky 9 / AlmaLinux 9CIS 2.0.0Ubuntu 22.04CIS 3.0.0Ubuntu 24.04CIS 1.0.0Ubuntu 26.04
Un seul check, mappé sur 3 normes

Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.

Pourquoi cette règle

/etc/passwd- est la sauvegarde de /etc/passwd et liste chaque compte local, son UID/GID, son répertoire personnel et son shell de connexion. Si son groupe propriétaire n'est pas root (gid 0), un groupe non privilégié pourrait le lire pour énumérer les comptes (notamment les comptes UID-0) ou altérer la sauvegarde afin qu'une restauration ultérieure introduise un utilisateur malveillant ou privilégié dans le fichier actif.

Ce que vérifie Pavois

Pavois lit la propriété effective de /etc/passwd- depuis l'inode (via stat) et vérifie gid == 0. Contrôler l'inode réel détecte la dérive due aux restaurations manuelles ou aux outils de sauvegarde plutôt que de se fier à un modèle. La garde only_if ignore le contrôle lorsque la sauvegarde est absente.

only_if { file('/etc/passwd-').exist? }
describe file('/etc/passwd-') do
  its('gid') { should eq 0 }
end

Comment vérifier qu’elle est appliquée

Exécutez stat -c '%G %g' /etc/passwd-. Sortie attendue : root 0. Si le fichier de sauvegarde n'existe pas, le contrôle est ignoré.

Inspecter et investiguer

Les changements de propriété ne sont pas journalisés par défaut. Inspectez avec ls -l /etc/passwd- ou stat /etc/passwd-. Avec une surveillance auditd (auditctl -w /etc/passwd- -p wa), les événements chown apparaissent dans /var/log/audit/audit.log.

Remédiation

Aucun plan de durcissement automatisé n'est encore défini pour cette règle ; elle doit donc être appliquée manuellement : exécutez chgrp root /etc/passwd- (ou chown :root /etc/passwd-) pour restaurer le groupe propriétaire root.

Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :

grouproot
path/etc/passwd-
resourcefile
pavois harden plan local

où la cible est local, un alias SSH user@hôte, ou un conteneur , Docs

Impact & précautions

Un mauvais groupe propriétaire sur /etc/passwd- expose l'inventaire des comptes et une sauvegarde restaurable à des utilisateurs non privilégiés. Précautions : restaurer la propriété de groupe root est sûr et n'a aucun effet fonctionnel sur les services en cours, la sauvegarde n'est consultée que lors des opérations de gestion des comptes. Vérifiez qu'aucun outil de sauvegarde ne le recrée avec une propriété incorrecte.

Mapping des normes

NormeRéférenceTypeVersionConfiance
CIS2.2.6, 7.1.2directper OS, see the benchmark tablehaute
NISTAC-6 (1)support800-53 Rev 5 · 800-171 Rev 2 (pinned)moyenne
PCI DSS2.2.6support4.0.1moyenne

Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.

Sources & références