Vérifier le groupe propriétaire du fichier /var/log/waagent.log
Garantit que le journal de l'agent Azure /var/log/waagent.log appartient au groupe adm.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le fichier /var/log/waagent.log enregistre les événements de l'agent invité Linux Azure, utiles au dépannage mais contenant aussi des détails de provisionnement, des URL de points de terminaison et des métadonnées d'hôte. Il doit être restreint au groupe adm afin que seul le personnel autorisé puisse le lire ; sinon il divulgue un contexte de provisionnement cloud qui aide un attaquant.
Ce que vérifie Pavois
Pavois lit le groupe propriétaire effectif du fichier avec la ressource InSpec file et vérifie qu'il vaut adm, uniquement si le fichier existe (l'agent n'est présent que sur les VM Azure). Lire les métadonnées réelles du système de fichiers reflète les permissions appliquées maintenant, détectant les dérives de rotation ou les modifications manuelles qu'un scan statique manquerait.
only_if { file('/var/log/waagent.log').exist? }
describe file('/var/log/waagent.log') do
its('group') { should eq 'adm' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /var/log/waagent.log. Sortie attendue : adm. Sinon, ls -l /var/log/waagent.log doit afficher adm dans la colonne du groupe.
Inspecter et investiguer
Le propriétaire est affiché par ls -l /var/log/waagent.log et stat /var/log/waagent.log. Le fichier est écrit par l'agent Azure, vérifiez systemctl status walinuxagent (ou waagent) et journalctl -u walinuxagent. Si auditd surveille /var/log, les appels de changement de propriétaire apparaissent dans /var/log/audit/audit.log.
Remédiation
Le plan de durcissement de Pavois utilise la ressource file pour fixer le groupe propriétaire de /var/log/waagent.log à adm (équivalent à chgrp adm /var/log/waagent.log). Appliquez-le avec pavois harden apply ; aucun redémarrage de service n'est requis.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | adm |
|---|---|
| path | /var/log/waagent.log |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Si le groupe est incorrect, des utilisateurs non privilégiés peuvent lire les journaux de provisionnement Azure et collecter des renseignements sur le contexte cloud. Définir le groupe à adm est peu risqué car l'agent Azure tourne en root. Précaution : ce contrôle ne concerne que les VM Azure ; ailleurs le fichier est absent et le contrôle est ignoré. Vérifiez qu'aucun outil personnalisé ne lit le journal via un autre groupe avant d'appliquer.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.1.4.1, 6.2.2.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.