Vérifier l'utilisateur propriétaire du fichier /var/log/secure
Garantit que le journal d'authentification /var/log/secure est détenu par l'utilisateur syslog.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/var/log/secure enregistre l'activité d'authentification et d'autorisation, connexions, sudo et élévations de privilèges. C'est l'un des journaux les plus sensibles du système : un attaquant capable de le lire récolte des renseignements sur les comptes et les horaires, et celui qui peut y écrire peut falsifier ou effacer les preuves d'une intrusion. Le restreindre au propriétaire syslog maintient la piste d'authentification résistante à la falsification et confidentielle.
Ce que vérifie Pavois
Pavois vérifie que le propriétaire de /var/log/secure est syslog, uniquement lorsque le fichier existe (only_if). Il lit le propriétaire réel (stat) sur la cible plutôt qu'une valeur par défaut, ainsi un chown issu de la rotation, du paquet ou d'un service défaillant est détecté comme l'état effectif sur le disque.
only_if { file('/var/log/secure').exist? }
describe command("stat -c %U /var/log/secure 2>/dev/null") do
its('stdout.strip') { should be_in ['root', 'syslog'] }
endComment vérifier qu’elle est appliquée
Confirmez le propriétaire avec :
stat -c '%U' /var/log/secure
La sortie attendue est syslog.
Inspecter et investiguer
Ce fichier est lui-même le journal d'authentification. Inspectez la propriété et le contenu :
ls -l /var/log/secure
tail -n 50 /var/log/secure
L'écrivain est rsyslog (systemctl status rsyslog). Les changements de propriété peuvent être suivis avec grep 'secure' /var/log/audit/audit.log si des surveillances auditd sont configurées.
Remédiation
Le plan de durcissement de Pavois utilise une ressource file pour définir le propriétaire de /var/log/secure sur syslog. Lancez pavois harden apply pour l'appliquer, le moteur Chef exécute l'équivalent de chown syslog /var/log/secure, sans toucher au contenu ni au groupe.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | chown root /var/log/secure 2>/dev/null; true |
|---|---|
| name | log-owner-var-log-secure |
| not_if | stat -c %U /var/log/secure 2>/dev/null | grep -qxE 'root|syslog' |
| path | /var/log/secure |
| resource | exec |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Conséquences en cas de mauvaise configuration : une propriété erronée expose des données d'authentification sensibles et permet à un attaquant de falsifier ou d'effacer le journal de sécurité, anéantissant la traçabilité.
Précautions avant application : sûr sur Debian/Ubuntu où rsyslog s'exécute sous syslog. Notez que /var/log/secure est le nom de style RHEL ; sur Debian/Ubuntu l'équivalent est /var/log/auth.log, donc la garde only_if ignore généralement cette règle. Assurez-vous que l'utilisateur syslog existe avant d'appliquer, et vérifiez qu'aucun agent d'expédition de logs ne dépend d'un autre propriétaire.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.1.4.1, 6.2.2.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.