Vérifier l'utilisateur propriétaire du fichier /etc/sestatus.conf
Garantit que la configuration de rapport d'état SELinux /etc/sestatus.conf appartient à root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le fichier /etc/sestatus.conf contrôle quels fichiers et processus la commande sestatus -v rapporte lors de la vérification de l'état SELinux. Si un compte non-root le possède, cet utilisateur pourrait altérer la sortie sur laquelle un administrateur se fie pour confirmer que SELinux est en mode enforcing, masquant un contexte de sécurité affaibli. Définir root (UID 0) comme propriétaire garantit un contrôle privilégié exclusif de cette configuration liée à SELinux.
Ce que vérifie Pavois
Pavois inspecte le système de fichiers réel via la ressource InSpec file('/etc/sestatus.conf') et vérifie uid == 0, protégé par only_if. Lire le propriétaire réel de l'inode reflète l'état effectif sur le disque et détecte un chown qui permettrait à un utilisateur de manipuler le rapport d'état SELinux.
only_if { file('/etc/sestatus.conf').exist? }
describe file('/etc/sestatus.conf') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %u %n' /etc/sestatus.conf. Sortie attendue : root 0 /etc/sestatus.conf. Le 0 numérique confirme la propriété par root.
Inspecter et investiguer
Surveillez le fichier avec auditctl -w /etc/sestatus.conf -p wa -k selinux-conf et inspectez /var/log/audit/audit.log (grep 'key="selinux-conf"'). Le mode SELinux effectif est affiché par sestatus et getenforce ; les refus AVC apparaissent dans le journal d'audit (grep AVC).
Remédiation
Aucune remédiation automatisée n'est fournie pour cette règle. Appliquez-la manuellement avec chown root /etc/sestatus.conf (en root ou via sudo) ; le fichier doit rester en groupe root et mode 0644.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/sestatus.conf |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un propriétaire non-root pourrait manipuler ce que le contrôle d'état SELinux rapporte, masquant une posture dégradée. Risque à l'application : nul, /etc/sestatus.conf n'influence que la sortie de sestatus -v ; chown root ne change pas l'application de SELinux ni ne casse de service.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.