Vérifier le groupe propriétaire du fichier /var/log/localmessages*
Garantit que le fichier de journal /var/log/localmessages appartient au groupe adm.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le fichier /var/log/localmessages* contient les messages de journalisation de certains scripts de démarrage, dont le client DHCP. L'accès en lecture doit être limité au personnel autorisé : les journaux divulguent souvent des noms d'hôte, des adresses IP, des versions de services et des traces d'erreur qui aident un attaquant à cartographier le système et à repérer ses faiblesses.
Ce que vérifie Pavois
Pavois lit le groupe propriétaire effectif du fichier via la ressource InSpec file et vérifie qu'il vaut adm, uniquement si le fichier existe. Inspecter les métadonnées réelles du système de fichiers (et non un manifeste de paquet ou un modèle de configuration) reflète les permissions réellement appliquées à l'instant T, y compris les changements dus à la rotation des journaux, à un chgrp manuel ou à un service défaillant.
only_if { file('/var/log/localmessages').exist? }
describe file('/var/log/localmessages') do
its('group') { should eq 'adm' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /var/log/localmessages. Sortie attendue : adm. Vous pouvez aussi utiliser ls -l /var/log/localmessages et vérifier que la colonne du groupe affiche adm.
Inspecter et investiguer
Les changements de propriétaire sont visibles avec ls -l /var/log/localmessages et stat /var/log/localmessages. Si auditd surveille /var/log, les appels système chgrp/chown correspondants apparaissent dans /var/log/audit/audit.log. La règle rsyslog qui crée ce fichier se trouve sous /etc/rsyslog.d/ (à vérifier avec journalctl -u rsyslog).
Remédiation
Le plan de durcissement de Pavois utilise la ressource file pour fixer le groupe propriétaire de /var/log/localmessages à adm (équivalent à chgrp adm /var/log/localmessages). Appliquez-le avec pavois harden apply ; aucun redémarrage de service n'est nécessaire.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | adm |
|---|---|
| path | /var/log/localmessages |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Si le groupe est incorrect, les membres d'un groupe trop privilégié ou par défaut peuvent lire les journaux de démarrage/DHCP et collecter des informations de reconnaissance. Modifier le groupe propriétaire est peu risqué : les outils qui lisent le fichier via root ou via le groupe adm ne sont pas affectés. Précaution : avant d'appliquer, vérifiez qu'aucun service de traitement des journaux ne s'exécute sous un autre groupe en s'appuyant sur l'ancienne appartenance.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.1.4.1, 6.2.2.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.