Vérifier le groupe propriétaire de la bannière de connexion locale
Garantit que /etc/issue (bannière de connexion locale) appartient au groupe GID 0 (root).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/issue est la bannière affichée avant connexion sur les sessions locales/console ; de nombreuses organisations sont légalement tenues d'afficher un texte d'avertissement d'usage approuvé. Si le fichier appartient à un groupe non-root (GID ≠ 0), des utilisateurs non privilégiés pourraient altérer la bannière, supprimant ou modifiant l'avertissement légal obligatoire. Une propriété de groupe par root garantit que seul root peut la modifier.
Ce que vérifie Pavois
Pavois demande à la ressource file le gid numérique résolu de /etc/issue et exige qu'il vaille 0. Le contrôle est ignoré si le fichier est absent. Lire directement l'appartenance de groupe effective du fichier (le gid résolu par le noyau) est exact et évite toute ambiguïté de résolution de nom.
only_if { file('/etc/issue').exist? }
describe file('/etc/issue') do
its('gid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G %g' /etc/issue. Attendu : groupe root et gid 0. ls -l /etc/issue affiche le groupe dans la colonne du propriétaire.
Inspecter et investiguer
- Inspecter la propriété :
stat -c '%U %G %a' /etc/issueouls -l /etc/issue. - Voir le contenu de la bannière :
cat /etc/issue. - Si auditd surveille le fichier, les modifications apparaissent dans
/var/log/audit/audit.log.
Remédiation
Aucune remédiation automatique n'est fournie pour cette règle. Corrigez manuellement avec chgrp 0 /etc/issue (ou chgrp root /etc/issue) pour rétablir la propriété du groupe root, puis relancez le scan.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/issue |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Une mauvaise appartenance de groupe permet à des utilisateurs non privilégiés d'éditer la bannière de connexion obligatoire, un manquement de conformité et d'avis légal plutôt qu'une brèche directe. Le correctif chgrp est trivial et sûr ; il ne modifie pas le texte de la bannière, seulement qui peut modifier le fichier.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.6.5, 1.7.5 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.