Vérifier l'utilisateur propriétaire du fichier /etc/sysconfig/sshd
Garantit que la configuration de démarrage du démon SSH /etc/sysconfig/sshd appartient à root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Sur les systèmes de la famille RHEL, /etc/sysconfig/sshd contient les variables d'environnement et options de démarrage chargées par l'unité de service sshd (par ex. OPTIONS, CRYPTO_POLICY). Si un compte non-root le possède, cet utilisateur pourrait affaiblir le démon SSH, par exemple en contournant la politique cryptographique système ou en injectant des options dangereuses, affectant chaque connexion distante. Définir root (UID 0) comme propriétaire empêche les modifications non autorisées de la configuration de démarrage SSH.
Ce que vérifie Pavois
Pavois inspecte le système de fichiers réel via la ressource InSpec file('/etc/sysconfig/sshd') et vérifie uid == 0, protégé par only_if afin d'être ignoré si le fichier est absent. Ce fichier alimente l'environnement de l'unité sshd ; lire le propriétaire réel de l'inode reflète l'état effectif sur le disque et détecte un chown qui permettrait à un utilisateur de modifier le démarrage de SSH (la configuration runtime du démon est vérifiée séparément via sshd -T).
only_if { file('/etc/sysconfig/sshd').exist? }
describe file('/etc/sysconfig/sshd') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %u %n' /etc/sysconfig/sshd. Sortie attendue : root 0 /etc/sysconfig/sshd. Le 0 numérique confirme la propriété par root.
Inspecter et investiguer
Surveillez le fichier avec auditctl -w /etc/sysconfig/sshd -p wa -k sshd-conf et inspectez /var/log/audit/audit.log (grep 'key="sshd-conf"'). Les démarrages du service SSH et les événements d'authentification apparaissent dans journalctl -u sshd et /var/log/secure.
Remédiation
Aucune remédiation automatisée n'est fournie pour cette règle. Appliquez-la manuellement avec chown root /etc/sysconfig/sshd (en root ou via sudo) ; le fichier doit rester en groupe root et mode 0640.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/sysconfig/sshd |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un propriétaire non-root pourrait affaiblir ou saboter le démarrage de sshd, affectant tout accès distant. Risque à l'application : nul, chown root ne corrige que la propriété et ne redémarre pas sshd ni ne change son comportement. Par précaution, après toute modification ultérieure du contenu, lancez systemctl restart sshd depuis une seconde session pour pouvoir récupérer si le démon ne démarre pas.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 5.1.3 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.