Vérifier le groupe propriétaire du fichier /var/log/secure
Garantit que le journal d'authentification /var/log/secure appartient au groupe adm.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le fichier /var/log/secure enregistre l'activité d'authentification et d'autorisation (connexions, sudo, PAM, SSH). Comme il peut révéler des noms d'utilisateur, des adresses IP sources, des schémas d'échecs de connexion et des tentatives d'élévation de privilèges, il doit être restreint au groupe adm afin que seul le personnel autorisé puisse le lire. Un accès non restreint divulgue des renseignements sur la surface d'attaque et permet à un intrus d'effacer ses traces.
Ce que vérifie Pavois
Pavois lit le groupe propriétaire effectif du fichier avec la ressource InSpec file et vérifie qu'il vaut adm, uniquement si le fichier existe. Lire les métadonnées réelles du système de fichiers reflète les permissions appliquées à l'instant T, détectant les dérives de rotation des journaux ou de chgrp manuel qu'un scan statique de configuration ou de paquet manquerait.
only_if { file('/var/log/secure').exist? }
describe file('/var/log/secure') do
its('group') { should eq 'adm' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /var/log/secure. Sortie attendue : adm. Sinon, ls -l /var/log/secure doit afficher adm dans la colonne du groupe.
Inspecter et investiguer
Le propriétaire est affiché par ls -l /var/log/secure et stat /var/log/secure. Le contenu du fichier est le journal d'authentification (connexions, sudo, SSH) ; sur Debian/Ubuntu l'équivalent est souvent /var/log/auth.log et journalctl -u ssh. Si auditd surveille /var/log, les appels de changement de propriétaire apparaissent dans /var/log/audit/audit.log.
Remédiation
Le plan de durcissement de Pavois utilise la ressource file pour fixer le groupe propriétaire de /var/log/secure à adm (équivalent à chgrp adm /var/log/secure). Appliquez-le avec pavois harden apply ; aucun redémarrage de service n'est requis.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | adm |
|---|---|
| path | /var/log/secure |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un groupe incorrect permet à des utilisateurs non privilégiés de lire les enregistrements d'authentification, une voie directe vers la reconnaissance de comptes et l'altération des journaux. Définir le groupe à adm est peu risqué car les processus d'écriture tournent en root. Précaution : assurez-vous que les agents d'expédition de journaux/SIEM s'exécutent en root ou sont membres d'adm ; sinon, ajoutez-les à adm avant d'appliquer pour qu'ils conservent l'accès en lecture.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.1.4.1, 6.2.2.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.