Vérifier le groupe propriétaire du fichier /etc/sudoers
Garantit que le fichier de politique sudo /etc/sudoers appartient au groupe root.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/sudoers définit qui peut exécuter des commandes en tant que root via sudo. Si un groupe non privilégié en est propriétaire, un membre de ce groupe pourrait obtenir un accès en écriture et s'octroyer (ou octroyer à quiconque) les pleins privilèges root, une voie directe d'élévation de privilèges. La propriété par le groupe root garde le contrôle exclusif de la politique sudo entre des mains de confiance.
Ce que vérifie Pavois
Pavois lit le groupe propriétaire réel de /etc/sudoers via la ressource InSpec file et vérifie group == 'root'. Il inspecte la propriété effective du système de fichiers réellement appliquée, de sorte qu'un chgrp accidentel ou un /etc/sudoers falsifié est détecté indépendamment de ce qu'affirme un modèle de déploiement.
only_if { file('/etc/sudoers').exist? }
describe file('/etc/sudoers') do
its('group') { should eq 'root' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /etc/sudoers. Sortie attendue : root. (Validez la syntaxe séparément avec visudo -c.)
Inspecter et investiguer
Surveillez-le avec auditd, auditctl -w /etc/sudoers -p wa -k scope, les changements de propriété ou de contenu apparaissent dans /var/log/audit/audit.log (grep 'key="scope"' /var/log/audit/audit.log). Les invocations sudo réussies sont aussi journalisées dans /var/log/auth.log (Debian/Ubuntu) ou via journalctl -t sudo.
Remédiation
Le plan de durcissement de Pavois utilise la ressource file pour remettre le groupe propriétaire de /etc/sudoers à root (équivalent à chgrp root /etc/sudoers). Appliquez-le avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/sudoers |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un groupe non-root sur /etc/sudoers constitue un risque d'élévation de privilèges. Restaurer le groupe root n'a aucun impact : sudo lit le fichier en tant que root et refuse de s'exécuter s'il est inscriptible par d'autres. Précaution : ne modifiez jamais /etc/sudoers directement, utilisez visudo pour éviter une erreur de syntaxe qui bloquerait l'accès sudo pour tous ; conservez le mode 0440.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.