Tous les fichiers de configuration GRUB doivent appartenir au groupe root
Garantit que /boot/grub2 (le répertoire de configuration du chargeur GRUB) a root (gid 0) pour groupe propriétaire.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/boot/grub2 contient la configuration du chargeur d'amorçage (grub.cfg, l'empreinte du mot de passe d'amorçage, la ligne de commande du noyau). Si son groupe propriétaire n'est pas root (gid 0), un groupe non privilégié pourrait lire l'empreinte du mot de passe GRUB pour un cassage hors ligne, ou modifier les paramètres d'amorçage (par ex. ajouter init=/bin/bash ou désactiver des options de sécurité), prenant le contrôle du système dès le tout début de l'amorçage, avant le chargement de la plupart des défenses.
Ce que vérifie Pavois
Pavois lit la propriété effective de /boot/grub2 depuis l'inode (via stat) et vérifie gid == 0. Contrôler l'inode réel détecte la dérive de propriété due aux mises à jour de paquets (grub2-mkconfig) ou aux modifications manuelles plutôt que de se fier à un modèle. La garde only_if ignore le contrôle lorsque le chemin est absent (par ex. les configurations EFI-only utilisent /boot/efi).
only_if { file('/boot/grub2').exist? }
describe file('/boot/grub2') do
its('gid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G %g' /boot/grub2. Sortie attendue : root 0. Pour vérifier récursivement : find /boot/grub2 ! -group root. Si le chemin n'existe pas, le contrôle est ignoré.
Inspecter et investiguer
Les changements de propriété ne sont pas journalisés par défaut. Inspectez avec ls -ld /boot/grub2 ou stat /boot/grub2. Avec une surveillance auditd (auditctl -w /boot/grub2 -p wa), les événements chown apparaissent dans /var/log/audit/audit.log. La régénération de GRUB est journalisée via journalctl lorsqu'elle passe par grub2-mkconfig.
Remédiation
Aucun plan de durcissement automatisé n'est encore défini pour cette règle ; elle doit donc être appliquée manuellement : exécutez chgrp -R root /boot/grub2 (ou chown -R :root /boot/grub2) pour restaurer la propriété de groupe root sur la configuration GRUB.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /boot/grub2 |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un mauvais groupe propriétaire sur /boot/grub2 peut exposer l'empreinte du mot de passe GRUB et permettre à un groupe non privilégié de modifier les paramètres d'amorçage, ouvrant la voie à une prise de contrôle avant l'amorçage. Précautions : restaurer la propriété de groupe root est sûr et n'affecte pas l'amorçage, GRUB lit ces fichiers en tant que root au démarrage. Évitez d'assouplir les permissions pour partager des journaux d'amorçage ; si grub2-mkconfig réécrit ensuite les fichiers, revérifiez la propriété.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.4.2 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.