Vérifier le propriétaire de la bannière de connexion système
Garantit que le fichier de bannière de connexion /etc/issue appartient à l'utilisateur root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/issue est la bannière d'avant-connexion affichée sur les consoles locales (TTY). Un avis d'utilisation autorisée standardisé doit être affiché avant d'accorder l'accès, et son libellé doit rester conforme aux lois et politiques applicables. Une propriété root correcte garantit que seul l'administrateur peut éditer la bannière, empêchant un utilisateur local d'altérer l'avis légal ou d'insérer un texte trompeur.
Ce que vérifie Pavois
Pavois interroge l'inode réel de /etc/issue et vérifie que son propriétaire est l'UID 0. Lire les métadonnées réelles du système de fichiers reflète la propriété effective de la bannière que getty/agetty affichera, et non une valeur par défaut de l'installateur.
only_if { file('/etc/issue').exist? }
describe file('/etc/issue') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %u' /etc/issue. La sortie attendue est root 0.
Inspecter et investiguer
Il n'existe pas de journal d'exécution pour l'affichage de la bannière. Pour détecter une altération, posez une surveillance audit : auditctl -w /etc/issue -p wa -k issue, puis examinez /var/log/audit/audit.log (recherchez key="issue"). La bannière elle-même peut être vérifiée à toute connexion console ou avec cat /etc/issue.
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit être corrigée manuellement : exécutez chown root /etc/issue pour rétablir la propriété root.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/issue |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un propriétaire non root de /etc/issue peut altérer l'avis légal de connexion, affaiblissant l'avertissement d'utilisation autorisée qui peut être requis pour la poursuite des intrus. La correction est pratiquement sans risque : chown root ne modifie pas le texte de la bannière, le message affiché reste inchangé. Le changement s'applique immédiatement ; aucun redémarrage n'est nécessaire.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.6.5, 1.7.5 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.