Vérifier le groupe propriétaire de la bannière Message du jour (MOTD)
Garantit que /etc/motd (bannière Message du jour) appartient au groupe GID 0 (root).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/motd est le message du jour affiché après une connexion réussie ; il porte souvent un texte d'avis d'usage approuvé ou de politique. S'il appartient à un groupe non-root (GID ≠ 0), des utilisateurs non privilégiés pourraient réécrire la bannière, supprimant les avis obligatoires ou insérant un contenu trompeur. Une propriété de groupe par root garantit que seul root peut la modifier.
Ce que vérifie Pavois
Pavois demande à la ressource file le gid numérique résolu de /etc/motd et exige qu'il vaille 0. Le contrôle est ignoré si le fichier est absent. Lire directement l'appartenance de groupe effective du fichier (le gid résolu par le noyau) est exact et évite toute ambiguïté de résolution de nom.
only_if { file('/etc/motd').exist? }
describe file('/etc/motd') do
its('gid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G %g' /etc/motd. Attendu : groupe root et gid 0. ls -l /etc/motd affiche le groupe dans la colonne du propriétaire.
Inspecter et investiguer
- Inspecter la propriété :
stat -c '%U %G %a' /etc/motdouls -l /etc/motd. - Voir le contenu de la bannière :
cat /etc/motd. - Si auditd surveille le fichier, les modifications apparaissent dans
/var/log/audit/audit.log.
Remédiation
Aucune remédiation automatique n'est fournie pour cette règle. Corrigez manuellement avec chgrp 0 /etc/motd (ou chgrp root /etc/motd) pour rétablir la propriété du groupe root, puis relancez le scan.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/motd |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Une mauvaise appartenance de groupe permet à des utilisateurs non privilégiés de réécrire la bannière post-connexion, un manquement de conformité/d'intégrité plutôt qu'une brèche directe. Le correctif chgrp est trivial et sûr ; notez que sur certains systèmes /etc/motd est régénéré dynamiquement (pam_motd / update-motd), vérifiez donc que votre changement de propriété n'est pas écrasé par un générateur.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.6.4, 1.7.4 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.