Vérifier le groupe propriétaire des fichiers dans /var/log/landscape
Garantit que le répertoire /var/log/landscape appartient au groupe root afin que les journaux de gestion Landscape soient réservés aux comptes privilégiés.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /var/log/landscape contient les journaux du client de gestion Landscape, qui orchestre les tâches d'administration système sur les parcs Ubuntu. Ces journaux peuvent révéler des points de gestion, des actions planifiées et des détails sur l'hôte. Restreindre le répertoire au groupe root garde cette télémétrie d'administration hors de portée des utilisateurs ordinaires.
Ce que vérifie Pavois
Pavois lit l'appartenance de groupe résolue de /var/log/landscape via la ressource InSpec file et vérifie que le groupe est root. Il inspecte les métadonnées réelles de l'inode, ce qui reflète l'état effectif du répertoire sur le disque plutôt qu'une valeur par défaut de paquet.
only_if { file('/var/log/landscape').exist? }
describe file('/var/log/landscape') do
its('group') { should eq 'root' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /var/log/landscape. La sortie attendue est :
root
Inspectez l'arborescence avec ls -ld /var/log/landscape et find /var/log/landscape -printf '%g %p\n'.
Inspecter et investiguer
Les changements de propriétaire ne sont pas journalisés par Landscape lui-même. Pour les auditer, ajoutez une surveillance auditd (auditctl -w /var/log/landscape -p wa -k logperms) et recherchez key="logperms" dans /var/log/audit/audit.log.
Remédiation
Le plan de durcissement de Pavois applique la ressource file pour définir le groupe de /var/log/landscape sur root. Il s'applique avec pavois harden apply et laisse inchangés le propriétaire et les bits de permission.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /var/log/landscape |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Une mauvaise configuration expose la télémétrie de gestion Landscape aux utilisateurs non privilégiés. Le changement est peu risqué : seul le groupe propriétaire est modifié vers le groupe déjà restrictif root. Précaution : si le compte de service landscape ou un collecteur de journaux dépend de l'accès en lecture par le groupe, vérifiez qu'il lit toujours via son propriétaire ou un autre mécanisme avant d'appliquer, afin que la journalisation de gestion se poursuive sans interruption.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.2.2.1, 6.1.4.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.