← Toutes les règles
SOCLE-CLD-FSP-059// File ownershipmoyenneétat du système de fichiers

Vérifier l'utilisateur propriétaire du fichier de sauvegarde group

Garantit que le fichier de sauvegarde /etc/group- appartient à root (uid 0).

Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.

Un PASS prouve✓ actif maintenant✓ sur disque✓ survit au rebootle verdict qualifié →
Debian 12CIS 1.1.0Debian 13CIS 1.0.0FedoraRHEL 10 / Rocky 10 / AlmaLinux 10RHEL 8 / Rocky 8 / AlmaLinux 8CIS 4.0.0RHEL 9 / Rocky 9 / AlmaLinux 9CIS 2.0.0Ubuntu 22.04CIS 3.0.0Ubuntu 24.04CIS 1.0.0Ubuntu 26.04
Un seul check, mappé sur 3 normes

Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.

Pourquoi cette règle

/etc/group- est la copie de sauvegarde de /etc/group et liste chaque groupe configuré sur le système. S'il n'appartient pas à root (uid 0), un utilisateur non autorisé pourrait lire les appartenances aux groupes (cartographiant les relations de privilèges) ou altérer la sauvegarde pour préparer une restauration ultérieure. La propriété par root est essentielle pour que les définitions de groupes restent fiables.

Ce que vérifie Pavois

Pavois lit l'uid propriétaire effectif du fichier avec la ressource InSpec file et vérifie qu'il vaut 0 (root), uniquement si le fichier existe. Lire le propriétaire réel du système de fichiers reflète la protection réellement appliquée, détectant la dérive de chown, plutôt que de supposer que la valeur par défaut créée par passwd/groupadd a été conservée.

only_if { file('/etc/group-').exist? }
describe file('/etc/group-') do
  its('uid') { should eq 0 }
end

Comment vérifier qu’elle est appliquée

Exécutez stat -c '%U' /etc/group-. Sortie attendue : root. Sinon, ls -l /etc/group- doit afficher root dans la colonne du propriétaire.

Inspecter et investiguer

Le propriétaire est affiché par ls -l /etc/group- et stat /etc/group-. La sauvegarde est réécrite à chaque modification des bases de groupes (groupadd, groupmod, gpasswd). Si auditd surveille /etc/group- (surveillance courante des fichiers d'identité), les événements chown et d'écriture apparaissent dans /var/log/audit/audit.log.

Remédiation

Aucun plan de durcissement automatisé n'est fourni pour cette règle : elle doit être corrigée manuellement avec chown root /etc/group- (souvent accompagné de chgrp root et chmod 644 pour correspondre à /etc/group).

Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :

ownerroot
path/etc/group-
resourcefile
pavois harden plan local

où la cible est local, un alias SSH user@hôte, ou un conteneur , Docs

Impact & précautions

Une propriété autre que root expose la sauvegarde de la base de groupes à la lecture ou à l'altération, affaiblissant l'intégrité des identités et facilitant la cartographie des privilèges. Rétablir la propriété root n'a aucun impact opérationnel, seuls les outils d'administration touchent ce fichier. Précaution : si /etc/group- est absent (aucune modification de groupe n'a encore eu lieu), le contrôle est ignoré ; relancez-le simplement après la première modification de groupe.

Mapping des normes

NormeRéférenceTypeVersionConfiance
CIS2.2.6, 7.1.4directper OS, see the benchmark tablehaute
NISTAC-6 (1)support800-53 Rev 5 · 800-171 Rev 2 (pinned)moyenne
PCI DSS2.2.6support4.0.1moyenne

Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.

Sources & références