Vérifier le propriétaire de cron.weekly
Garantit que le répertoire /etc/cron.weekly appartient à l'utilisateur root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /etc/cron.weekly contient des scripts que cron exécute en tant que root une fois par semaine. S'il n'appartient pas à root, un utilisateur non privilégié pouvant y écrire peut déposer ou modifier un script et le faire exécuter avec les pleins privilèges root, une voie directe d'élévation de privilèges. Restreindre la propriété à root garantit que seul l'administrateur contrôle les tâches hebdomadaires planifiées.
Ce que vérifie Pavois
Pavois interroge l'inode réel de /etc/cron.weekly et vérifie que son propriétaire est l'UID 0. Le contrôle est ignoré si le répertoire n'existe pas. Lire les métadonnées réelles du système de fichiers (et non un fichier de configuration) reflète la propriété effective que cron respectera à l'exécution, y compris toute modification effectuée après l'installation par un paquet ou un administrateur.
only_if { file('/etc/cron.weekly').exist? }
describe file('/etc/cron.weekly') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %u' /etc/cron.weekly. La sortie attendue est root 0.
Inspecter et investiguer
L'exécution de cron est consignée dans /var/log/cron (famille RHEL) ou /var/log/syslog et journalctl -u cron (Debian/Ubuntu). Les changements de propriété peuvent être suivis avec auditd si une surveillance est posée : auditctl -w /etc/cron.weekly -p wa.
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit être corrigée manuellement : exécutez chown root /etc/cron.weekly pour rétablir la propriété root.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/cron.weekly |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Si le répertoire appartient à un utilisateur non root, celui-ci peut planifier des commandes arbitraires de niveau root, menant à une compromission complète du système. La correction présente peu de risque : chown root /etc/cron.weekly ne change que le propriétaire, ni les scripts ni leur planification. Vérifiez qu'aucune automatisation légitime ne dépend d'un propriétaire non root avant d'appliquer, ce qui n'arrive quasiment jamais pour les répertoires cron système.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.2.6, 2.4.1.5 | direct | per OS, see the benchmark table | haute |
| NIST | AC-6(1), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.