Vérifier le propriétaire de crontab
Garantit que la crontab système /etc/crontab appartient à l'utilisateur root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le fichier /etc/crontab est la table cron à l'échelle du système, dont les entrées s'exécutent en tant que l'utilisateur nommé sur chaque ligne, typiquement root. S'il n'appartient pas à root, un utilisateur non privilégié pourrait ajouter ou modifier des entrées pour exécuter des commandes arbitraires en root de façon planifiée, une voie directe vers l'élévation de privilèges et la persistance. La propriété root garantit la fiabilité de la crontab système.
Ce que vérifie Pavois
Pavois lit le propriétaire effectif de /etc/crontab via la ressource file d'InSpec et vérifie uid == 0, uniquement si le fichier existe (only_if). L'inspection de la propriété réelle de l'inode reflète l'état exact sur le disque et détecte une dérive due à des éditions manuelles ou des outils de migration, au lieu d'une valeur par défaut supposée.
only_if { file('/etc/crontab').exist? }
describe file('/etc/crontab') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %u' /etc/crontab. Résultat attendu : root 0. Sinon, ls -l /etc/crontab doit afficher root dans la colonne du propriétaire.
Inspecter et investiguer
La propriété ne génère aucun journal de service. Vérifiez l'état avec stat -c '%U %u' /etc/crontab. Pour tracer les changements, une surveillance auditd telle que auditctl -w /etc/crontab -p wa -k cron-tab enregistre les écritures/changements d'attributs dans /var/log/audit/audit.log ; l'exécution cron est journalisée via journalctl -u cron (Debian/Ubuntu) ou journalctl -u crond (famille RHEL).
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit être appliquée manuellement : exécutez chown root /etc/crontab en root pour fixer le propriétaire à root.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/crontab |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
En cas de mauvaise configuration, un utilisateur non root pourrait ajouter des entrées à la crontab système exécutées en root, menant à une élévation ou une persistance.
Précautions avant application : chown root /etc/crontab est sûr et réversible, sans redémarrage de service. Le changement ne concerne que la propriété, pas les entrées planifiées elles-mêmes, donc aucune tâche ne cessera de s'exécuter et il n'y a aucun risque de blocage.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.2.6, 2.4.1.2 | direct | per OS, see the benchmark table | haute |
| NIST | AC-6(1), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.