Vérifier le groupe propriétaire des fichiers dans /var/log/apt
Garantit que le répertoire /var/log/apt appartient au groupe adm afin que les journaux du gestionnaire de paquets ne soient lisibles que par les comptes habilités aux journaux.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /var/log/apt contient les journaux du gestionnaire de paquets (installations, mises à jour, suppressions). Ces enregistrements révèlent exactement quels logiciels et quelles versions sont présents sur l'hôte, une information qu'un attaquant peut exploiter pour cibler des vulnérabilités connues. Restreindre le répertoire au groupe adm garde cet inventaire hors de portée des utilisateurs ordinaires.
Ce que vérifie Pavois
Pavois lit l'appartenance de groupe résolue de /var/log/apt via la ressource InSpec file et vérifie que le groupe est adm. Il inspecte les métadonnées réelles de l'inode, et non une valeur par défaut de paquet ou un fragment de configuration, ce qui reflète l'état effectif du répertoire sur le disque au moment de l'audit.
only_if { file('/var/log/apt').exist? }
describe file('/var/log/apt') do
its('group') { should eq 'adm' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /var/log/apt. La sortie attendue est :
adm
Vous pouvez inspecter toute l'arborescence avec ls -ld /var/log/apt et find /var/log/apt -printf '%g %p\n'.
Inspecter et investiguer
Les changements de propriétaire ne sont pas journalisés par APT lui-même. Pour les auditer, examinez le contexte de dpkg.log avec dpkg -V, ou ajoutez une surveillance auditd (auditctl -w /var/log/apt -p wa -k logperms) et inspectez /var/log/audit/audit.log pour key="logperms".
Remédiation
Le plan de durcissement de Pavois applique la ressource file pour définir le groupe de /var/log/apt sur adm. Il s'applique avec pavois harden apply et laisse inchangés le propriétaire et les bits de permission.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | adm |
|---|---|
| path | /var/log/apt |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Une mauvaise configuration expose l'inventaire logiciel de l'hôte aux utilisateurs non privilégiés, facilitant la reconnaissance. Le changement est peu risqué : seul le groupe propriétaire est modifié, et adm est le groupe de journaux standard sur Debian/Ubuntu. Précaution : si un collecteur de journaux ou un agent de supervision lit les journaux APT sous un autre groupe, ajoutez-le à adm ou accordez-lui l'accès avant d'appliquer, afin de ne pas interrompre la collecte des journaux.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.1.4.1, 6.2.2.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.