Vérifier l'utilisateur propriétaire du répertoire /var/log
Garantit que le répertoire des journaux système /var/log est détenu par root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/var/log est la racine de l'arborescence des journaux système. Quiconque possède ce répertoire peut créer, renommer ou supprimer les fichiers de log qu'il contient, indépendamment des permissions des fichiers individuels. S'il n'appartient pas à root (UID 0), un attaquant pourrait remplacer un journal par un lien symbolique, échanger un log sensible contre une copie lisible par tous, ou supprimer des entrées en masse, anéantissant la journalisation en tant que contrôle et paralysant l'analyse forensique.
Ce que vérifie Pavois
Pavois vérifie que l'UID propriétaire du répertoire /var/log est 0 (root) lorsqu'il existe (only_if). Il lit le propriétaire réel du répertoire (stat) sur la cible, pas une valeur par défaut de paquet, ainsi, même si un script de déploiement ou une construction d'image conteneur a réattribué /var/log, le contrôle rapporte l'état effectif sur le disque.
only_if { file('/var/log').exist? }
describe file('/var/log') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Confirmez le propriétaire avec :
stat -c '%U %u' /var/log
La sortie attendue est root 0.
Inspecter et investiguer
Il s'agit du répertoire de logs lui-même. Inspectez la propriété directement :
stat /var/log
ls -ld /var/log
Les changements de propriété du répertoire peuvent être suivis avec grep ' name="/var/log"' /var/log/audit/audit.log si des surveillances auditd sont configurées.
Remédiation
Aucun plan de remédiation automatisé n'est défini ; cette règle doit donc être appliquée manuellement. Restaurez la propriété root avec :
chown root /var/log
Utilisez chown root /var/log (sans -R) pour ne réattribuer que le répertoire ; les fichiers de log à l'intérieur ont leurs propres règles de propriété. (pavois harden apply ne modifiera pas ce répertoire tant qu'une ressource de remédiation n'aura pas été ajoutée.)
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /var/log |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Conséquences en cas de mauvaise configuration : un propriétaire non-root de /var/log peut supprimer ou remplacer des fichiers de log (par ex. attaques par lien symbolique), effaçant ou empoisonnant la piste d'audit de tout le système.
Précautions avant application : réattribuer le répertoire à root est sûr, les journaliseurs système s'exécutent en root ou possèdent leurs fichiers individuellement. N'ajoutez pas -R : un chown récursif écraserait la propriété par fichier requise par d'autres règles (par ex. logs détenus par syslog) et pourrait casser la rotation des logs ou les agents de collecte. Ne réattribuez que le répertoire de tête.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| DISA STIG | UBTU-22-232120, UBTU-24-700110 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.