Vérifier le groupe propriétaire de /boot/grub2/grub.cfg
Garantit que la configuration de démarrage GRUB2 /boot/grub2/grub.cfg appartient au groupe root (gid 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/boot/grub2/grub.cfg définit le menu de démarrage, la ligne de commande du noyau et le mot de passe GRUB qui protège le démarrage mono-utilisateur/de secours. Le groupe root est hautement privilégié, et le groupe propriétaire de ce fichier ne devrait de toute façon disposer d'aucun accès. Si un groupe non-root en est propriétaire, un attaquant pourrait obtenir un accès en écriture et ajouter des paramètres noyau (par ex. init=/bin/bash) ou supprimer le mot de passe de démarrage, obtenant un contrôle hors-ligne, avant l'OS de la machine. La propriété par le groupe root (gid 0) est la protection de base.
Ce que vérifie Pavois
Pavois lit l'identifiant de groupe réel de /boot/grub2/grub.cfg via la ressource InSpec file et vérifie gid == 0. Il contrôle la propriété effective sur le disque, point essentiel car grub2-mkconfig régénère ce fichier à chaque mise à jour du noyau, et Pavois détecte une régénération ayant laissé un mauvais groupe, ce qu'un audit de déploiement ponctuel manquerait.
only_if { file('/boot/grub/grub.cfg').exist? }
describe file('/boot/grub/grub.cfg') do
its('gid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G %g' /boot/grub2/grub.cfg. Sortie attendue : root 0. (Sur les systèmes UEFI, le fichier actif peut se trouver sous /boot/efi/EFI/<distro>/grub.cfg.)
Inspecter et investiguer
Ajoutez une surveillance auditd, auditctl -w /boot/grub2/grub.cfg -p wa -k grub, les modifications apparaissent dans /var/log/audit/audit.log (grep 'key="grub"' /var/log/audit/audit.log). La régénération de GRUB lors des mises à jour de paquets est journalisée dans /var/log/dnf.log / journalctl.
Remédiation
Aucune remédiation automatique n'est câblée pour cette règle ; elle doit être appliquée manuellement : chgrp 0 /boot/grub2/grub.cfg. Relancez ensuite pavois harden verify.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /boot/grub/grub.cfg |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un groupe non-root sur grub.cfg expose à une altération avant démarrage et au contournement du mot de passe GRUB. Remettre le groupe à root est sans danger, seuls le chargeur d'amorçage et root lisent ce fichier au démarrage. Précaution : conservez le mode 0600 pour que l'empreinte du mot de passe de démarrage reste illisible ; n'oubliez pas qu'un futur grub2-mkconfig peut réécrire le fichier, revérifiez donc après une mise à jour du noyau.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R29 | direct | 2.0 | haute |
| CIS | 2.2.6, 1.4.2 | direct | per OS, see the benchmark table | haute |
| NIST | 3.4.5, AC-6(1), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.