Vérifier le groupe propriétaire de la bannière de connexion distante
Garantit que /etc/issue.net (bannière de connexion distante) appartient au groupe GID 0 (root).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/issue.net est la bannière affichée avant connexion pour les ouvertures de session distantes (réseau), comme le texte montré par SSH/telnet avant l'authentification. S'il appartient à un groupe non-root (GID ≠ 0), des utilisateurs non privilégiés pourraient modifier ou supprimer l'avis légal d'usage obligatoire présenté aux utilisateurs distants. Une propriété de groupe par root garantit que seul root peut la modifier.
Ce que vérifie Pavois
Pavois demande à la ressource file le gid numérique résolu de /etc/issue.net et exige qu'il vaille 0. Le contrôle est ignoré si le fichier est absent. Lire directement l'appartenance de groupe effective du fichier (le gid résolu par le noyau) est exact et indépendant de la distribution.
only_if { file('/etc/issue.net').exist? }
describe file('/etc/issue.net') do
its('gid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G %g' /etc/issue.net. Attendu : groupe root et gid 0. ls -l /etc/issue.net affiche le groupe dans la colonne du propriétaire.
Inspecter et investiguer
- Inspecter la propriété :
stat -c '%U %G %a' /etc/issue.netouls -l /etc/issue.net. - Voir le contenu de la bannière :
cat /etc/issue.net. - Si auditd surveille le fichier, les modifications apparaissent dans
/var/log/audit/audit.log.
Remédiation
Aucune remédiation automatique n'est fournie pour cette règle. Corrigez manuellement avec chgrp 0 /etc/issue.net (ou chgrp root /etc/issue.net) pour rétablir la propriété du groupe root, puis relancez le scan.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/issue.net |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Une mauvaise appartenance de groupe permet à des utilisateurs non privilégiés d'altérer la bannière de connexion distante, un manquement de conformité/d'avis légal plutôt qu'une brèche directe. Le correctif chgrp est trivial et sûr ; il ne change que qui peut éditer le fichier, ni le texte de la bannière ni la façon dont SSH l'affiche.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.2.8, 1.6.6, 1.7.6 | direct | per OS, see the benchmark table | haute |
| PCI DSS | 1.2.8 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.