Vérifier la propriété des fichiers dans /var/log/landscape
Garantit que le répertoire de journaux du landscape-client /var/log/landscape appartient à root.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /var/log/landscape contient les journaux du landscape-client (l'agent de gestion de systèmes de Canonical), qui enregistre les actions d'administration et de gestion effectuées sur l'hôte. Ces journaux peuvent exposer des détails opérationnels et constituent une piste d'audit. Si un utilisateur non-root possède ce répertoire, il peut le lire à des fins de reconnaissance ou l'altérer pour masquer l'activité de gestion. Le conserver sous la propriété de root en restreint l'accès au personnel autorisé.
Ce que vérifie Pavois
Pavois vérifie que le répertoire réel /var/log/landscape a pour propriétaire root, ignoré via only_if lorsque le répertoire n'existe pas (landscape-client non installé). Il lit le propriétaire effectif depuis le système de fichiers (stat), de sorte que tout changement de propriété hors-canal est détecté indépendamment des manifestes de déploiement.
only_if { file('/var/log/landscape').exist? }
describe file('/var/log/landscape') do
its('owner') { should eq 'root' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U' /var/log/landscape. Sortie attendue : root. Pour inclure le contenu, exécutez find /var/log/landscape -not -user root, il ne doit rien afficher.
Inspecter et investiguer
Le répertoire contient lui-même les journaux du landscape-client que vous pourriez vouloir examiner. La propriété n'a pas de journal distinct ; interrogez-la avec stat /var/log/landscape. Si le chemin est surveillé par auditd, les changements de propriété apparaissent dans /var/log/audit/audit.log.
Remédiation
Le plan de durcissement de Pavois utilise la ressource file pour définir le propriétaire de /var/log/landscape sur root. Appliquez-le avec pavois harden apply ; Pavois effectuera un chown du répertoire vers root s'il a dérivé. (Appliquez -R manuellement si les fichiers existants à l'intérieur doivent aussi être corrigés.)
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /var/log/landscape |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un propriétaire non-root peut lire les journaux de gestion (reconnaissance) ou falsifier le registre d'activité. Restaurer la propriété root est sans danger, landscape-client s'exécute avec des privilèges élevés et n'est pas affecté. Précaution : maintenez des permissions restrictives (root seul ou root:adm selon la politique) ; le plan de durcissement ne définit que le propriétaire, examinez donc le groupe/mode séparément si votre référentiel l'exige.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.2.2.1, 6.1.4.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.