Vérifier l'utilisateur propriétaire du fichier group
Garantit que le fichier /etc/group appartient à l'utilisateur root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/group définit chaque groupe du système et ses membres, ce qui gouverne les décisions d'autorisation dans tout le système d'exploitation. Si un utilisateur non root le possède, il pourrait s'ajouter à des groupes privilégiés (par exemple sudo, wheel, docker) et élever ses privilèges, ou retirer d'autres utilisateurs de groupes pour provoquer un déni de service. La propriété par root est essentielle à la sécurité du système.
Ce que vérifie Pavois
Pavois interroge l'inode réel de /etc/group et vérifie que son propriétaire est l'UID 0. Lire les métadonnées réelles du système de fichiers reflète la propriété effective sur laquelle la pile d'authentification s'appuie à chaque connexion et résolution id, et non une valeur par défaut de l'installateur.
only_if { file('/etc/group').exist? }
describe file('/etc/group') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %u' /etc/group. La sortie attendue est root 0.
Inspecter et investiguer
Les modifications de groupes via groupadd/gpasswd/usermod sont consignées dans /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (famille RHEL). Pour détecter les éditions directes, posez une surveillance audit : auditctl -w /etc/group -p wa -k group, puis examinez /var/log/audit/audit.log (recherchez key="group").
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit être corrigée manuellement : exécutez chown root /etc/group pour rétablir la propriété root.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/group |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un propriétaire non root de /etc/group peut s'octroyer l'appartenance à des groupes privilégiés et obtenir une élévation de privilèges. La correction est pratiquement sans risque : chown root /etc/group ne modifie aucune définition de groupe, toutes les connexions et résolutions de groupes continuent de fonctionner. Le changement s'applique immédiatement ; aucun redémarrage de service ni de la machine n'est nécessaire.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
| CIS | 2.2.6, 7.1.3 | direct | per OS, see the benchmark table | haute |
| NIST | AC-6(1), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.