Vérifier l'utilisateur propriétaire du fichier de sauvegarde group
Garantit que le fichier de sauvegarde /etc/group- appartient à root (uid 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/group- est la copie de sauvegarde de /etc/group et liste chaque groupe configuré sur le système. S'il n'appartient pas à root (uid 0), un utilisateur non autorisé pourrait lire les appartenances aux groupes (cartographiant les relations de privilèges) ou altérer la sauvegarde pour préparer une restauration ultérieure. La propriété par root est essentielle pour que les définitions de groupes restent fiables.
Ce que vérifie Pavois
Pavois lit l'uid propriétaire effectif du fichier avec la ressource InSpec file et vérifie qu'il vaut 0 (root), uniquement si le fichier existe. Lire le propriétaire réel du système de fichiers reflète la protection réellement appliquée, détectant la dérive de chown, plutôt que de supposer que la valeur par défaut créée par passwd/groupadd a été conservée.
only_if { file('/etc/group-').exist? }
describe file('/etc/group-') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U' /etc/group-. Sortie attendue : root. Sinon, ls -l /etc/group- doit afficher root dans la colonne du propriétaire.
Inspecter et investiguer
Le propriétaire est affiché par ls -l /etc/group- et stat /etc/group-. La sauvegarde est réécrite à chaque modification des bases de groupes (groupadd, groupmod, gpasswd). Si auditd surveille /etc/group- (surveillance courante des fichiers d'identité), les événements chown et d'écriture apparaissent dans /var/log/audit/audit.log.
Remédiation
Aucun plan de durcissement automatisé n'est fourni pour cette règle : elle doit être corrigée manuellement avec chown root /etc/group- (souvent accompagné de chgrp root et chmod 644 pour correspondre à /etc/group).
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/group- |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Une propriété autre que root expose la sauvegarde de la base de groupes à la lecture ou à l'altération, affaiblissant l'intégrité des identités et facilitant la cartographie des privilèges. Rétablir la propriété root n'a aucun impact opérationnel, seuls les outils d'administration touchent ce fichier. Précaution : si /etc/group- est absent (aucune modification de groupe n'a encore eu lieu), le contrôle est ignoré ; relancez-le simplement après la première modification de groupe.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.2.6, 7.1.4 | direct | per OS, see the benchmark table | haute |
| NIST | AC-6 (1) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.